Cómo detectar phishing paso a paso en 2026

Todos hemos recibido alguna vez un correo o un mensaje raro que nos hace dudar: el típico email del “banco” pidiendo que confirmes tus datos urgente, o un SMS sospechoso con un enlace para seguir un paquete que ni siquiera esperas. Por eso hoy en día es vital saber cómo detectar phishing y protegerse de este tipo de ataques.

El objetivo de esta guía es que aprendas a identificar ataques de phishing. Qué señales debes vigilar en correos, SMS y mensajes de redes sociales y qué hacer si sospechas que has caído en la trampa. Cuanta más información tengas, más difícil se lo pondrás a los ciberdelincuentes.

Qué es exactamente el phishing y por qué es tan peligroso

En pocas palabras, el phishing es una técnica de ingeniería social en la que un delincuente se hace pasar por una entidad legítima (banco, empresa de mensajería, red social, plataforma de pago, institución pública, etc.) para robarte información sensible o dinero, o para infectar tus dispositivos.

Estos ataques se suelen ejecutar mediante correos electrónicos, SMS o mensajes directos que incluyen enlaces a páginas web falsas o archivos adjuntos maliciosos. En esas webs fraudulentas te piden iniciar sesión o introducir datos bancarios, e incluso pueden simular un restablecimiento de contraseña falso, mientras que los adjuntos pueden contener malware que se instala sin que te des cuenta.

La finalidad de los atacantes es hacerse con tus contraseñas, números de cuenta, tarjetas, datos de inicio de sesión o documentos personales. Con esa información pueden entrar en tu correo, en tus redes sociales, en la banca online o vender tus datos a otros estafadores en la dark web.

Hoy en día el phishing se ha convertido en una auténtica molestia global: afecta tanto a usuarios particulares como a empresas pequeñas y grandes corporaciones. Informes recientes de brechas de datos muestran que un porcentaje importante de incidentes comienza con un simple mensaje de phishing que alguien abre sin desconfiar.

Cómo funciona un ataque de phishing en la práctica

En un ataque típico, los ciberdelincuentes envían miles de correos o mensajes intentando que, al menos, un pequeño porcentaje de personas “pique”. Aunque sólo caiga una de cada cien, el volumen es tan grande que el fraude sigue saliendo muy rentable.

El mensaje suele contar una historia convincente para que hagas clic o abras algo sin pensar demasiado. Pueden decir, por ejemplo, que han visto actividad sospechosa en tu cuenta, que hay un problema de facturación, que necesitas confirmar tus datos personales o que tienes derecho a un reembolso del gobierno o a un cupón muy jugoso. Todo mentira, claro.

En el caso del correo electrónico, es muy habitual que te inviten a pulsar en un botón o enlace “para solucionar el problema”. Ese enlace, en lugar de llevarte a la web original, te redirige a una página copiada donde introduces tus datos creyendo que es legítima.

Otra variante habitual consiste en adjuntar una supuesta factura o documento importante. Si lo descargas y lo abres, puede ejecutar código malicioso e instalar malware sin archivos persistentes o ransomware en tu equipo, lo que puede afectar también a toda la red de tu empresa.

Los atacantes actualizan continuamente sus métodos para aprovechar noticias de actualidad, modas o servicios populares. De ahí que veas campañas relacionadas con paquetería, declaraciones de impuestos, ayudas, renovaciones de servicios o incluso notificaciones de redes sociales.

Señales clave para detectar un correo de phishing

Por suerte, la mayoría de ataques de phishing dejan pistas. Si sabes en qué fijarte, puedes identificar muchos intentos a simple vista antes de cometer un error.

La primera pista es el remitente: desconfía siempre de los correos que llegan desde un dominio de correo público (por ejemplo, @gmail.com, @hotmail.com, etc.) cuando se supone que vienen de un banco, una gran empresa o una institución. Las organizaciones serias usan su propio dominio corporativo; la suplantación de dominio es frecuente.

Sin embargo, incluso cuando parece que el dominio es corporativo también puede haber truco. Los atacantes registran nombres de dominio casi idénticos a los legítimos, introduciendo pequeños errores ortográficos o de sintaxis. Un ejemplo típico sería algo como “PayPall.com” con una letra de más o cambiada.

Esos detalles son fáciles de pasar por alto si vas con prisa, pero revisar con calma la barra de direcciones y la dirección de correo completa del remitente suele sacar a la luz la estafa. Fíjate sobre todo en lo que hay después del símbolo @, que es lo que identifica de verdad a la organización.

Otra señal muy frecuente es el uso de un saludo genérico tipo “Estimado cliente” o “Hola usuario”. Normalmente, cuando tu banco o un servicio con el que tienes cuenta real te escribe algo importante, utiliza tu nombre y apellidos o, al menos, tu nombre de pila.

También conviene fijarse en el tono y en el lenguaje: muchos correos de phishing están llenos de errores gramaticales, frases raras o expresiones poco naturales. Aunque hoy en día algunos delincuentes usan traductores avanzados o IA, aún se notan estructuras extrañas y un estilo poco profesional.

Urgencia, miedo y otras tácticas de ingeniería social

La mayoría de campañas de phishing se apoyan en la psicología. Los atacantes saben que si consiguen que sientas prisa, miedo o presión, tendrás menos tiempo para pensar con claridad y más probabilidades de hacer clic o responder de forma impulsiva.

Por eso muchos mensajes incluyen frases del tipo “actúa ahora o perderás tu cuenta”, “último aviso antes de bloquear el acceso”, “tienes un pago pendiente que debe resolverse hoy”, etc. El objetivo es que no te pares a comprobar si el mensaje tiene sentido.

En entornos de trabajo es muy común la suplantación de directivos (por ejemplo, el “CEO fraud”): un delincuente se hace pasar por tu jefe o por alguien de la dirección y te pide realizar una transferencia urgente, comprar tarjetas regalo o enviar datos sensibles, a menudo insistiendo en que es algo confidencial o muy urgente. Esta suplantación de directivos es una forma avanzada de phishing dirigida.

También pueden darse solicitudes sospechosas que se salen por completo de lo habitual: compañeros que nunca te han pedido nada por correo pidiéndote códigos, contraseñas o información financiera. En estos casos, lo sensato es verificar por otro canal (teléfono, chat corporativo, cara a cara) antes de hacer nada.

Los ataques de spear phishing llevan esta idea más lejos: los delincuentes investigan a fondo a la víctima en redes sociales y otras fuentes públicas para personalizar el mensaje al máximo. Cuanto más detallado y creíble resulte, más complicado es detectarlo.

Archivos adjuntos sospechosos y enlaces maliciosos

Uno de los componentes más peligrosos de un correo de phishing son los archivos adjuntos y los enlaces. En casi todos los casos, el estafador quiere que hagas clic en algo o descargues un archivo.

Los enlaces maliciosos pueden llevarte a páginas que parecen idénticas a las de tu banco o tu correo, pero que en realidad son copias creadas para capturar tus credenciales. Otras veces pueden redirigirte a sitios que intentan explotar vulnerabilidades del navegador para instalar malware.

Los enlaces pueden estar “disfrazados” en imágenes, botones o textos atractivos, de forma que no veas la URL real a simple vista. Una buena práctica es pasar el ratón por encima (sin hacer clic) para previsualizar la dirección a la que apunta y comprobar si el dominio tiene sentido.

En cuanto a los archivos adjuntos, deberías desconfiar especialmente de los que llegan de remitentes desconocidos o inesperados. Documentos de Office, PDFs y ficheros comprimidos pueden contener macros o ejecutables que, al abrirlos, descargan e instalan software malicioso.

La recomendación más segura es no abrir nunca un adjunto ni pulsar en un enlace si no estás totalmente seguro de quién te lo envía y por qué. Cuando algo te huela raro, lo mejor es contactar a la organización por otros medios usando teléfonos o webs que tú busques, y no los que aparezcan en el mensaje.

Señales comunes de phishing en cualquier canal

Aunque solemos pensar en el phishing como algo de correo electrónico, las mismas técnicas se usan en SMS, mensajería instantánea, redes sociales o incluso videojuegos. En todos estos canales se repiten una serie de patrones.

Uno de ellos es la mezcla de urgencia y oferta atractiva: premios, sorteos, reembolsos inesperados, devoluciones de impuestos, cupones de descuentos irreales… Si suena demasiado bueno para ser verdad, es casi seguro que es un fraude.

Otra señal es la presencia de errores ortográficos y gramaticales, vocabulario inusual o malas traducciones. Aunque no es una prueba definitiva, suele ser indicio de que el mensaje no viene de una fuente profesional.

También es importante observar el número de teléfono o la cuenta de origen en SMS, WhatsApp o redes sociales. Los estafadores pueden suplantar nombres visibles, pero muchos detalles técnicos (como números completos, alias extraños o falta de verificación de cuenta) dan pistas de la falsedad.

Y, de nuevo, cualquier mensaje que invite a hacer clic en un enlace acortado o desconocido para “verificar tu cuenta” o “evitar el bloqueo” debería ponerte automáticamente en alerta máxima.

Cómo protegerte de los ataques de phishing: pasos prácticos

Aunque ningún sistema es perfecto, sí puedes reducir mucho el riesgo si combinas buenas prácticas personales con medidas técnicas. La idea es que, incluso si un mensaje malicioso llega a ti, tengas varias capas de protección.

Lo primero es contar con un buen programa de seguridad en tu ordenador y mantenerlo siempre actualizado. Muchos antivirus y suites de seguridad incluyen filtros antiphishing y bloquean webs maliciosas conocidas antes de que llegues a entrar.

En el caso del móvil, es fundamental activar las actualizaciones automáticas del sistema y de las apps. Los fabricantes y desarrolladores corrigen continuamente fallos de seguridad que los atacantes podrían aprovechar para instalar malware si haces clic en enlaces peligrosos.

Otra medida clave es el uso de autenticación de múltiples factores (MFA) en todas las cuentas importantes (correo, redes sociales, banca, servicios corporativos). Esto implica que, además de la contraseña, necesitarás otro dato para iniciar sesión: un código temporal, una llave de seguridad física o un dato biométrico como la huella o el reconocimiento facial. Herramientas como las que explican enfoques de protección anti-phishing ayudan a implementar mejores prácticas.

Gracias a la MFA, aunque un atacante consiga tu usuario y tu contraseña mediante phishing, le resultará mucho más difícil acceder efectivamente a tus cuentas sin ese segundo factor.

Por último, es recomendable hacer copias de seguridad periódicas de tus datos más importantes, tanto en el ordenador como en el móvil. Si algún día un malware o ransomware entra a través de un phishing, podrás recuperar tu información sin pagar ni ceder a chantajes.

Buenas prácticas de navegación y contraseñas seguras

Además de las medidas de seguridad técnicas, tus hábitos diarios en Internet marcan la diferencia. Una de las reglas de oro es no hacer clic a la ligera. Si un enlace te llega por correo, SMS o red social y no lo esperabas, desconfía.

Muchas veces es más seguro abrir el navegador y escribir manualmente la dirección de tu banco, red social o servicio en la barra, en lugar de usar enlaces incluidos en mensajes. Así evitas caer en webs que imitan a las originales con pequeños cambios en el dominio, por ejemplo una tienda falsa.

En cuanto a tus datos personales, evita compartir información sensible en foros, comentarios públicos o perfiles abiertos. Los atacantes rastrean todo tipo de sitios para recopilar trocitos de información que luego usan en ataques de spear phishing muy personalizados.

Antes de introducir datos confidenciales (contraseñas, números de tarjeta, documentos, etc.) asegúrate de que la web utiliza HTTPS y muestra un candado en la barra de direcciones. Aunque esto no garantiza al 100 % que la web sea legítima, sí es un requisito mínimo. Si no ves el candado o el navegador da un aviso de seguridad, sal de ahí sin introducir nada.

Respecto a las contraseñas, nunca las compartas por correo, SMS o llamadas telefónicas. Ninguna empresa seria te pedirá tu contraseña o tu PIN por esos medios. Utiliza un gestor de contraseñas para generar claves largas y diferentes para cada servicio y revisa periódicamente si alguna ha podido filtrarse en brechas conocidas.

Protección en la red corporativa y filtros de seguridad

En el entorno empresarial, los ataques de phishing pueden tener consecuencias especialmente graves: robo de datos de clientes, paradas de servicio, pérdidas económicas y daños reputacionales. Por eso, además de formar a los empleados, las empresas deben desplegar soluciones técnicas de defensa.

Una de las primeras barreras son los filtros de correo electrónico avanzados que analizan los mensajes entrantes, evalúan su reputación y contenido, y envían a spam o bloquean directamente los emails que parezcan sospechosos.

Otra capa importante son los firewalls y sistemas de filtrado a nivel de red, incluidos servicios de filtrado DNS. Estos dispositivos y servicios monitorizan el tráfico entrante y saliente y bloquean conexiones hacia dominios conocidos por alojar malware, phishing o contenido malicioso.

Algunas soluciones de seguridad para empresas combinan la protección a nivel de endpoint (ordenadores, móviles, tablets) con funciones de análisis y reporte centralizado. De esta forma, si un empleado hace clic en un enlace malicioso, el sistema puede bloquear la conexión y registrar el incidente para que el equipo de TI investigue, incluso permitiendo detectar ataques de red cuando es necesario.

También existen herramientas específicas para proteger el correo corporativo frente a suplantaciones (como la implementación de estándares de autenticación del dominio de correo) que dificultan que los atacantes puedan enviar emails falsos aparentando venir de direcciones internas de la empresa.

Qué hacer si sospechas que un mensaje es phishing

Si recibes un correo, SMS o mensaje en el que te piden hacer clic en un enlace, descargar algo o compartir datos sensibles, el primer paso es preguntarte: “¿Tengo realmente una cuenta con esta empresa o conozco a esta persona?”.

Si la respuesta es no, tienes casi todas las papeletas de estar ante un intento de phishing. En ese caso, lo más prudente es no contestar, no hacer clic y no descargar nada. Puedes marcar el mensaje como spam o phishing en tu cliente de correo o aplicación y eliminarlo.

Si la respuesta es sí (por ejemplo, tu banco, tu operador o una tienda online en la que compras), no te fíes de los enlaces ni de los números de teléfono que aparecen en el propio mensaje. En su lugar, entra en la web escribiendo tú la dirección o llama al teléfono oficial que figura en su página legítima; si dudas, consulta guías para fraudes en Amazon y otros comercios antes de actuar.

Siempre que tengas dudas, ve despacio y consulta con alguien de confianza o con el departamento de TI en tu empresa. A veces, unos segundos de verificación extra evitan un disgusto enorme.

Qué hacer si has caído en un phishing

Si sospechas que ya has hecho clic en un enlace malicioso, descargado un archivo sospechoso o compartido información sensible, es importante actuar rápido para minimizar daños.

En el caso de haber dado contraseñas, accede cuanto antes a tus cuentas afectadas (desde un dispositivo de confianza) y cámbialas inmediatamente. Si usabas esa misma contraseña en otros servicios, cámbiala también allí.

Si has facilitado datos bancarios, ponte en contacto de inmediato con tu banco para bloquear tarjetas o cuentas si es necesario y vigila muy de cerca los movimientos en los días siguientes.

Cuando creas que has podido descargar malware al hacer clic en un adjunto o enlace, actualiza tu solución de seguridad, ejecuta un análisis completo del sistema y sigue las recomendaciones del programa para eliminar cualquier amenaza detectada.

En muchos países existen portales oficiales para gestionar incidentes de robo de identidad o fraude online, donde se recomiendan pasos específicos según el tipo de datos que se hayan visto comprometidos. También es buena idea informar a las autoridades competentes y, si procede, presentar una denuncia formal.

A nivel corporativo, si eres empleado y crees que has “picado”, avisa cuanto antes a tu departamento de TI o seguridad. No te lo guardes por vergüenza: cuanto antes se sepa, antes pueden limitar el impacto en toda la organización.

En el día a día digital actual, estar permanentemente conectados implica asumir que en algún momento seremos objetivo de intentos de phishing. La mejor defensa combina tecnología, sentido común y formación continua: revisar siempre el remitente y el dominio, desconfiar de la urgencia y de las solicitudes extrañas, proteger los dispositivos, usar autenticación multifactor y compartir lo aprendido con compañeros y familiares, de forma que cada vez haya menos gente dispuesta, aunque sea sin querer, a abrirle la puerta al estafador.