Qué es el Phishing y Cómo Detectarlo: Guía Completa
Recibes un correo del «banco» avisando de un problema urgente en tu cuenta. O un SMS de «Correos» pidiendo que pagues una tasa de aduana de dos euros. O un mensaje de un compañero de trabajo pidiéndote, con prisa, que le hagas una transferencia. En los tres casos podrías estar ante un ataque de phishing: la técnica de ciberestafa más extendida y, a la vez, una de las más fáciles de evitar cuando sabes qué buscar.
En esta guía te explicamos qué es exactamente el phishing, cómo funciona, qué tipos existen y, sobre todo, cómo reconocer un intento de phishing antes de caer en él.
¿Qué es el phishing?
El phishing es una técnica de ciberdelincuencia que consiste en hacerse pasar por una entidad de confianza (un banco, una empresa, un organismo público o incluso un contacto conocido) para engañar a la víctima y conseguir que revele información sensible: contraseñas, datos bancarios, números de tarjeta o credenciales de acceso a sistemas de empresa.
El nombre proviene del inglés fishing («pescar»), con una «ph» que hace referencia a la jerga hacker de los años 90. La metáfora es exacta: el atacante lanza un «cebo» (un correo, un SMS, una llamada) esperando que alguien «muerda el anzuelo».
A diferencia de otros ciberataques que explotan vulnerabilidades técnicas de un sistema, el phishing explota algo mucho más difícil de «parchear»: la confianza y la falta de atención humana. Por eso sigue siendo, año tras año, una de las puertas de entrada más utilizadas para robos de datos, fraudes económicos y ataques de ransomware en empresas de todos los tamaños.
Cómo funciona un ataque de phishing
El esquema básico de un ataque de phishing suele seguir estos pasos:
- Selección del objetivo. Puede ser masiva (millones de correos genéricos) o dirigida a una persona o empresa concreta (lo que se conoce como spear phishing).
- Creación del cebo. El atacante diseña un mensaje que imita a la perfección la identidad visual de una marca conocida: logotipo, tipografía, tono, incluso el pie de firma de un empleado real.
- Generación de urgencia. Casi todos los mensajes de phishing incluyen un elemento de presión: «tu cuenta será bloqueada en 24 horas», «pago pendiente», «actividad sospechosa detectada». El objetivo es que actúes rápido y sin pensar.
- El enlace o archivo trampa. El mensaje incluye un enlace a una web falsa (una réplica casi idéntica de la original) o un archivo adjunto con malware.
- Captura de datos o infección. Si introduces tus credenciales en la web falsa, el atacante las recibe en tiempo real. Si abres el archivo adjunto, puede instalarse malware en tu equipo sin que lo notes.
Tipos de phishing más comunes
No todo el phishing llega por correo electrónico. Estas son las variantes que más deberías vigilar:
Email phishing
La forma clásica: un correo que suplanta a un banco, una plataforma de pago (PayPal, Bizum) o un servicio muy usado (Netflix, Microsoft, Correos). Suele incluir un enlace a una página de login falsa.
Smishing (phishing por SMS)
Mensajes de texto que simulan ser de empresas de paquetería, bancos o la Seguridad Social. Muy habituales los falsos avisos de «tienes un paquete retenido, paga la tasa aduanera aquí».
Vishing (phishing por voz/llamada)
Llamadas telefónicas en las que el atacante se hace pasar por un técnico de soporte, un empleado del banco o incluso de la policía, para conseguir datos o convencer a la víctima de realizar una transferencia.
Spear phishing
Ataque dirigido a una persona concreta, normalmente con acceso a información valiosa dentro de una empresa (contabilidad, dirección, RRHH). El atacante investiga previamente a la víctima en redes sociales o webs corporativas para que el mensaje resulte totalmente creíble.
Whaling (fraude del CEO)
Una variante de spear phishing dirigida a directivos o mandos altos, o que suplanta a un directivo para ordenar un pago o transferencia urgente a un empleado de administración. Es responsable de algunas de las mayores pérdidas económicas por ciberfraude en pymes.
Phishing por redes sociales y mensajería
Mensajes directos en Instagram, WhatsApp o LinkedIn que suplantan a un contacto, una marca o incluso un perfil verificado, a menudo con enlaces a sorteos falsos o «ofertas exclusivas».
Cómo detectar un intento de phishing: señales de alarma
Aunque los ataques cada vez están mejor elaborados, casi siempre hay señales que permiten identificarlos si sabes dónde mirar:
1. Remitente sospechoso. Revisa la dirección de correo completa, no solo el nombre que se muestra. Un correo que dice ser de «Banco Santander» pero llega desde una dirección tipo soporte@santander-verificacion.info es una señal clara de fraude.
2. Urgencia y amenazas. Frases como «tu cuenta será suspendida en 24 horas» o «actividad sospechosa detectada, verifica ahora» buscan que actúes por impulso, sin pararte a analizar el mensaje.
3. Enlaces que no coinciden. Antes de hacer clic, pasa el cursor por encima del enlace (sin pulsarlo) para ver la URL real que aparece en la parte inferior del navegador o del cliente de correo. Si el texto dice «Banco Santander» pero el enlace apunta a un dominio extraño, es phishing.
4. Errores de ortografía y redacción. Aunque los ataques más sofisticados ya casi no los tienen, muchos correos de phishing masivo siguen incluyendo fallos gramaticales, traducciones automáticas o formatos extraños.
5. Solicitud directa de datos sensibles. Ninguna entidad seria (banco, Hacienda, Seguridad Social) pide contraseñas, PIN o el código completo de tu tarjeta por correo, SMS o teléfono.
6. Archivos adjuntos inesperados. Especialmente si son ejecutables (.exe), macros de Office (.docm, .xlsm) o archivos comprimidos (.zip, .rar) que no esperabas recibir.
7. Diseño casi perfecto, pero no del todo. Logotipos ligeramente pixelados, colores distintos a los oficiales o un pie de página genérico son detalles que delatan una web o correo falsificado.
Ejemplo real de un correo de phishing
Un caso muy habitual en España: un correo que simula venir de la Agencia Tributaria, informando de que «tienes una devolución de impuestos pendiente» y que debes «verificar tus datos bancarios» a través de un enlace. La Agencia Tributaria nunca solicita datos bancarios por correo electrónico, y este tipo de comunicaciones siempre debe verificarse directamente en la sede electrónica oficial, escribiendo tú mismo la dirección en el navegador, nunca a través del enlace del correo recibido.
Qué hacer si has recibido un correo de phishing
- No hagas clic en ningún enlace ni descargues archivos adjuntos.
- No respondas al mensaje, ni siquiera para «avisar» al remitente de que lo has detectado.
- Verifica directamente con la entidad, pero por sus canales oficiales (web escrita a mano en el navegador, app oficial o teléfono de atención al cliente conocido), nunca usando los datos de contacto que aparecen en el propio correo sospechoso.
- Marca el mensaje como phishing/spam en tu cliente de correo; la mayoría de proveedores (Gmail, Outlook) tienen esta opción específica y ayuda a mejorar los filtros para el resto de usuarios.
- Si has llegado a introducir tus datos, cambia la contraseña afectada de inmediato desde el sitio oficial y activa el doble factor de autenticación si aún no lo tenías activo.
- Si has facilitado datos bancarios, contacta con tu banco sin demora para bloquear la tarjeta o cuenta y notificar la incidencia.
Cómo protegerte del phishing de forma preventiva
- Activa el doble factor de autenticación (2FA) en el correo, las redes sociales y cualquier servicio que lo permita. Aunque un atacante consiga tu contraseña, no podrá acceder sin el segundo factor.
- Usa un gestor de contraseñas para no reutilizar la misma contraseña en varios servicios; así, aunque una credencial se vea comprometida, el resto de tus cuentas quedan protegidas.
- Desconfía por sistema de la urgencia. Cualquier mensaje que te empuje a actuar «ya mismo» merece una segunda lectura antes de hacer clic.
- Verifica siempre por un canal alternativo cuando se trate de solicitudes de pago o cambios de datos bancarios, especialmente en el entorno de empresa (una simple llamada de confirmación evita la mayoría de los fraudes del CEO).
- Mantén el navegador y el antivirus actualizados, ya que muchos bloquean automáticamente el acceso a webs de phishing conocidas.
Por qué el phishing es especialmente peligroso para pymes y autónomos
Si gestionas un pequeño negocio, un solo correo de phishing exitoso puede comprometer el acceso a tu banco online, a la plataforma de facturación o al correo desde el que gestionas pagos con clientes y proveedores. A diferencia de una gran empresa, muchas pymes no cuentan con un equipo de IT que detecte estos intentos a tiempo, lo que convierte a estos negocios en un objetivo especialmente atractivo para los atacantes.
Conclusión
El phishing no deja de evolucionar, pero su base sigue siendo la misma: aprovechar un momento de prisa, confianza o distracción para robar información valiosa. Conocer sus señales de alarma —remitentes extraños, urgencia artificial, enlaces que no coinciden y solicitudes de datos sensibles— es, hoy por hoy, la defensa más eficaz que existe, muy por delante de cualquier software de seguridad. La regla de oro es simple: ante la duda, no hagas clic, y verifica siempre por un canal oficial distinto al del propio mensaje.