Diez claves para reconocer el phishing
Un mensaje convincente puede pedirte datos, dinero o acceso. Aprende a comprobar la petición por otra vía y a responder según lo que hayas hecho.
Imagina un aviso de cuenta que exige actuar de inmediato mediante un enlace. Es una situación hipotética, no una campaña documentada. Para decidir, importa menos lo profesional que parece y más comprobar quién pide qué.
El engaño busca conseguir una acción
El phishing utiliza mensajes o páginas que intentan parecer de una persona o entidad fiable para llevarte a actuar. Puede buscar credenciales, datos financieros o acceso al equipo. No se reconoce únicamente por faltas de ortografía: un mensaje correcto también puede engañar. Antes de responder, identifica la acción solicitada y qué entregaría. Esa pregunta sirve aunque no sepas nombrar la variante técnica que estás viendo.
La apariencia no acredita al remitente
Un nombre visible, un logotipo y un tono profesional se pueden imitar. Comprueba la petición desde una aplicación o contacto que ya conozcas, sin responder dentro del mensaje dudoso. Una dirección parecida tampoco demuestra que pertenezca a la entidad esperada. Si no puedes confirmar el origen, no completes la acción por cortesía ni por miedo a perder una oportunidad; conserva la duda hasta comprobarla por un canal independiente.
La urgencia reduce tu margen
Amenazas de bloqueo, premios con plazo y solicitudes de secreto pueden intentar impedir que consultes a otra persona. Son motivos para pausar, no un diagnóstico infalible de fraude. Una necesidad real puede ser urgente, pero todavía tienes que comprobar la identidad de quien te contacta. Cierra el mensaje y entra por la vía habitual del servicio para verificar si existe el problema antes de entregar datos o autorizar cambios.
Mira la petición antes del enlace
Distingue recibir un mensaje, abrir una página, introducir una contraseña, autorizar una conexión e instalar un archivo. No son acciones equivalentes y su respuesta tampoco lo es. Leer una alerta no demuestra que una cuenta esté comprometida. Anota qué llegaste a hacer si la petición resulta sospechosa. Esa descripción permite elegir medidas proporcionadas y evita tratar cualquier contacto como una infección completa del dispositivo sin evidencia.
Comprueba el destino por otra vía
Abre la aplicación del servicio o escribe su dirección conocida en lugar de utilizar el enlace recibido. Si necesitas contactar, busca el canal en documentación que ya tengas o en su sitio oficial comprobado. HTTPS cifra una conexión, pero no convierte una web de un impostor en la entidad esperada. No pruebes una página dudosa introduciendo datos reales para averiguar si después muestra una pantalla que parezca legítima.
Los mensajes dirigidos aprovechan contexto
El engaño puede dirigirse a una persona concreta usando su trabajo, relaciones o información pública. Se habla de spear phishing para selección dirigida y de whaling cuando apunta a responsables relevantes; el fraude de correo empresarial puede imitar instrucciones de trabajo o pagos. Son descripciones que pueden solaparse. Que conozcan tu nombre o una tarea reciente no demuestra identidad: confirma una petición sensible con el responsable por una vía conocida.
Una conversación conocida puede estar comprometida
Un mensaje puede copiar uno anterior o llegar desde una cuenta a la que otra persona consiguió acceso. Por eso el historial de conversación no acredita automáticamente una nueva petición de dinero, códigos o documentos. Si cambia la instrucción habitual, verifica por otro medio sin utilizar los datos nuevos que propone el propio mensaje. No necesitas demostrar cómo se obtuvo la cuenta para detener una operación que todavía no has podido confirmar.
El canal puede cambiar durante el engaño
Una petición puede empezar en correo, continuar en una llamada y terminar en una página o aplicación. Cambiar de canal no confirma legitimidad cuando la misma persona dirige todos los pasos. Vishing, smishing y quishing describen usos de voz, SMS y códigos QR con comprobaciones propias. Mantén la pregunta central sobre identidad y acción, y vuelve a un canal elegido por ti antes de aceptar el siguiente paso.
Responde según lo que entregaste
Si compartiste una contraseña, revisa acceso y sesiones desde un dispositivo fiable. Si autorizaste una aplicación, consulta las conexiones de la cuenta; cambiar la clave puede no retirar esa autorización. Si hubo pago, contacta cuanto antes al proveedor financiero por su canal habitual. Si instalaste algo, sigue la revisión oficial del sistema. No se garantiza recuperar cualquier perjuicio ni existe un único trámite válido para todos los países.
Elige la ruta por los hechos
Utiliza la tabla según lo que hiciste y lo que puedes comprobar. Reportar un mensaje al servicio no equivale a presentar denuncia formal ante autoridades. Si necesitas esa vía, confirma requisitos y canales del territorio antes de enviar datos. No te culpes por un engaño: ahora sirve registrar acciones, limitar exposición y pedir ayuda fiable, sin entregar más información a quien promete resolver el problema dentro del mismo contacto sospechoso.
Qué necesitas Dónde empezar Solo recibiste el mensaje Verificar por vía independiente Entregaste una contraseña Recuperación y sesiones Autorizaste una aplicación Conexiones de la cuenta Pagaste o instalaste Proveedor financiero o ayuda del sistema
Por dónde empezar
Identifica la acción que te piden y compruébala desde la vía habitual del servicio. Si ya actuaste, anota qué entregaste para elegir la respuesta adecuada.
Revisado el 12 de noviembre de 2026. Las funciones y rutas pueden cambiar; consulta la documentación vigente antes de aplicar cambios. Fuentes: FTC, reconocer phishing · Centro Canadiense de Ciberseguridad, ingeniería social · Google, revisar sesiones.
Para ponerlo en práctica
Los controles gratuitos de la cuenta y una comprobación independiente son el primer paso.
- Gestor de contraseñas
Ayuda a mantener claves distintas; hay opciones gratuitas y no verifica cualquier petición.
- Segundo factor
Usa primero las opciones incluidas del servicio, con su recuperación preparada.
En esta guía no hay enlaces a tiendas. Diez Claves no tiene por ahora acuerdo de afiliación con ninguna tienda; cuando lo tenga, lo dirá aquí. Las alternativas gratuitas van siempre junto a las de pago.