Qué hacer si haces clic en un enlace malicioso desde el móvil

Detecta señales de phishing: urgencia, URL sospechosas y peticiones de datos sensibles, además de webs sin https o con calidad deficiente.
Actúa en la primera hora: desconecta el móvil, no introduzcas información, guarda evidencias y analiza el dispositivo sin conexión.
Si cediste datos o pagaste, cambia credenciales desde un equipo limpio, activa 2FA y contacta con el banco por canales oficiales.
Refuerza la seguridad: filtros web y antispam, actualizaciones, contraseñas únicas con 2FA, y reporta el intento para cortar la cadena.

¿Qué hacer si haces clic en un enlace malicioso desde el móvil? Ese segundo de duda tras tocar un enlace en el móvil y notar que algo no cuadra puede ponerte el corazón en un puño. La buena noticia es que actuar con rapidez y cabeza suele marcar la diferencia: la mayoría de incidentes de phishing se quedan en un susto si reaccionas a tiempo y sigues una secuencia clara de pasos.

En esta guía práctica encontrarás qué riesgos existen, cómo reconocer un intento de suplantación y, sobre todo, qué hacer inmediatamente después de haber pulsado un enlace malicioso desde el móvil. Vas a ver distintos escenarios (solo abriste la web, escribiste datos, pagaste, o instalaste una app) y cómo afrontarlos, junto a medidas de prevención para que no te vuelva a pasar.

Qué ocurre realmente al tocar un enlace malicioso

No todos los enlaces peligrosos hacen lo mismo. En la práctica, la gran mayoría buscan una de dos cosas: robarte datos en una web falsa o intentar que instales algún tipo de malware. Entender esta diferencia te ayuda a decidir el siguiente movimiento.

En el primer caso, el enlace te lleva a una página que copia la apariencia de tu banco, tu correo o una empresa conocida. La trampa está en que teclees tus credenciales o datos de tarjeta; el clic por sí solo no roba nada si no interactúas. El objetivo es que te precipites con mensajes de urgencia o amenazas del estilo “tu cuenta se cerrará”.

En el segundo escenario, la web intenta ejecutar o forzar la descarga de un archivo para infectar el dispositivo. Aquí el riesgo existe incluso si no escribes nada, sobre todo si aceptas permisos o instalas una app fuera de las tiendas oficiales. Algunas de estas apps maliciosas pueden leer SMS y capturar códigos de verificación.

Para más tranquilidad: en móviles actualizados es poco común que una simple carga de página te infecte sin más interacción. El verdadero peligro llega al introducir datos, conceder permisos o instalar software, por eso la respuesta rápida es tan importante.

Señales para detectar phishing en mensajes y páginas

Los estafadores juegan con la prisa, el miedo y el despiste. Si te fijas en estas señales, es más fácil evitar el anzuelo antes de morderlo:

Lenguaje alarmista o urgente. Mensajes que piden “acción inmediata”, amenazan con cancelar cuentas o hablan de “actividad sospechosa” buscan que actúes sin pensar. Las entidades serias no presionan así por mensajería.
Enlaces y dominios raros. Pasa el dedo para previsualizar la URL o copia el enlace sin abrirlo para revisarlo. Errores sutiles, subdominios extraños o terminaciones inusuales son mala señal.
Adjuntos inesperados. Facturas, comprobantes o “actualizaciones” no solicitadas suelen esconder malware. Si no esperabas ese archivo, no lo abras.
Remitentes que imitan a los oficiales. Correos con dominios casi iguales al real o números desconocidos haciéndose pasar por tu banco. Comprueba siempre el dominio legítimo.
Errores de redacción. Faltas de ortografía, frases raras o diseño descuidado del mensaje. No siempre aparecen, pero si están, huelen a trampa.
Petición de datos sensibles. Contraseñas, PIN, números de tarjeta o de documento por correo, SMS o chat. Ninguna empresa seria los pide por un enlace.
Ofertas imposibles. Premios, devoluciones o chollos increíbles que caducan “ya”. Si suena demasiado bien, es phishing con todas las letras.

Contenido exclusivo - Clic Aquí Cómo influye el tiempo en la divulgación de vulnerabilidades y explotación

En las páginas falsas, hay más pistas: ausencia de “https” o candado en la barra, muy pocas secciones o enlaces que devuelven siempre a la misma página, contenido con errores, falta de datos de contacto y políticas visibles, ventanas emergentes agresivas y formularios que piden más de lo razonable. Todo suma.

La primera hora cuenta: acciones inmediatas tras el clic

Mantén la calma, pero muévete rápido. Los primeros minutos reducen al mínimo los daños si el enlace era malicioso.

Primero, no introduzcas ningún dato en la web a la que has llegado. Cierra la pestaña y desconecta la conectividad del móvil: desactiva Wi‑Fi y datos o activa el modo avión. Evitas que el dispositivo siga hablando con servidores sospechosos y reduces la exposición.

Si viste mensajes extraños o fallos inusuales, haz una captura de pantalla. Guardar evidencias ayuda a tu banco, a las autoridades o al equipo de TI si se trata de un dispositivo de trabajo. No elimines el mensaje original que te enviaron: conservar cabeceras y detalles técnicos es útil al reportarlo.

A partir de aquí, el siguiente paso depende de si llegaste a interactuar. Si solo abriste la web y la cerraste al sospechar, normalmente basta con continuar con comprobaciones básicas; si escribiste datos o instalaste algo, pasa a los escenarios específicos de más abajo.

Si escribiste credenciales o datos personales

Considera esa información comprometida. Actúa desde un dispositivo limpio (otro móvil u ordenador) para no reintroducir la contraseña en un equipo potencialmente afectado.

Cambia las contraseñas críticas (correo principal, banca, redes sociales, tiendas online). Hazlas únicas y robustas, y evita reutilizarlas. Un gestor de contraseñas facilita mucho esta tarea.
Activa la autenticación de dos factores en todas las cuentas posibles. Preferiblemente con app de códigos en lugar de SMS si puedes. Así cortas accesos incluso si ya tienen tu contraseña.
Revisa la actividad y los dispositivos activos en tus cuentas: sesiones abiertas, ubicaciones nuevas o cambios de seguridad que no hiciste. Cierra sesiones desconocidas y ajusta opciones de recuperación (correo alternativo, teléfono, preguntas).

En empresas, avisa al soporte de TI si usaste credenciales corporativas. Cuanto antes sepan que hubo exposición, antes podrán contener accesos no autorizados.

Si facilitaste información financiera o llegaste a pagar

Prioridad absoluta al dinero. Contacta con tu banco usando canales oficiales (app, web o número del reverso de tu tarjeta, nunca el del mensaje fraudulento).

Bloquea o congela la tarjeta y solicita una nueva si introdujiste el número en la web falsa. Así evitas nuevos cargos.
Activa alertas de movimientos y revisa tus cuentas por si hay transacciones que no reconoces. Inicia la reclamación por fraude cuanto antes.
Valora un aviso o congelación de crédito si compartiste datos amplios (documento, fecha de nacimiento, etc.). Es una barrera extra contra aperturas de líneas a tu nombre.
Denuncia el fraude ante las autoridades de tu país; tu banco puede pedir el justificante. Reportar ayuda a perseguir a los responsables y potencia la recuperación.

Contenido exclusivo - Clic Aquí ¿Cómo activar la verificación en 2 pasos en Box?

Si descargaste o instalaste una app sospechosa

Aquí conviene ser metódico. Si solo descargaste el archivo pero no lo abriste ni instalaste, bórralo y listo. Si instalaste la app y no la abriste, desinstálala sin más.

Si llegaste a abrirla, complica la cosa: algunas apps maliciosas piden permisos críticos (Accesibilidad, lectura de SMS, Administración del dispositivo) para interceptar códigos o impedir su eliminación.

Desconecta el móvil (modo avión) y entra en Ajustes para retirar permisos de Accesibilidad y quitarla de “Administrador de dispositivos”. Después, desinstala.
Pasa un análisis antimalware de confianza. Hazlo preferiblemente sin volver a conectarte a la red hasta terminar. Si el escaneo detecta algo, elimina o aísla lo encontrado.
Cambia las contraseñas clave desde otro dispositivo por seguridad y revisa tus cuentas en busca de accesos raros. Si notas comportamientos persistentes, plantéate un restablecimiento de fábrica tras hacer copia a salvo.

Analiza, limpia y refuerza el dispositivo

Con la situación bajo control, toca asegurarte de que el móvil se queda limpio y blindado. Un buen repaso técnico evita sorpresas más adelante.

Antivirus/antimalware actualizado. Ejecuta un análisis completo y, si es posible, sin conexión. Deja que termine y sigue las recomendaciones para eliminar o poner en cuarentena lo sospechoso.
Navegador a punto. Elimina la caché, cookies y datos de sitios, y borra extensiones o perfiles web que no reconozcas. Esto corta sesiones fraudulentas y rastreadores.
Actualizaciones. Instala las últimas versiones de sistema y apps. Muchos ataques tiran de fallos ya corregidos.
Filtrado de contenido. Activa la protección antiphishing del navegador y valora usar DNS con bloqueo de dominios maliciosos. Es un cortafuegos extra contra enlaces peligrosos.

Si trabajas con soluciones específicas, existen herramientas que ayudan: bloqueadores de anuncios que frenan el malvertising, servicios DNS que cortan dominios peligrosos y VPN para cifrar tu tráfico en redes públicas. Incluso usar correos temporales para registros puntuales reduce el spam y la exposición a nuevas campañas.

Cómo comprobar si la página era falsa antes de arriesgarte

Cuando dudes, no hagas clic directamente. Copia el enlace y verifica la URL con servicios de reputación (por ejemplo, los informes de transparencia de grandes proveedores). También puedes teclear tú mismo la dirección de la entidad en el navegador o abrir su app oficial para confirmar si “realmente” te pedían algo.

Muchos enlaces de phishing intentan camuflar la dirección con textos tipo “Iniciar sesión” para que no veas la URL real. Previsualiza la dirección en el móvil manteniendo pulsado el enlace y, si algo chirría (dominio extraño, faltas, rutas raras), mejor salir por la tangente.

Señales de que tu cuenta o móvil podrían estar comprometidos

Incluso si todo parece en calma, conviene observar durante un tiempo. Estas banderas rojas suelen aparecer en incidentes de phishing exitosos:

Correos de restablecimiento que no solicitaste o avisos de inicio de sesión desde dispositivos/ubicaciones desconocidos.
Extensiones o apps nuevas que no recuerdas haber instalado, cambios de seguridad que no hiciste o redirecciones raras al navegar.
Rendimiento pobre, datos móviles disparados o actividad de red inusual sin explicación aparente.
Contactos que reciben mensajes raros desde tus cuentas pidiendo dinero o enviando enlaces.

Contenido exclusivo - Clic Aquí Mejores cortafuegos

Si detectas alguno de estos síntomas, acelera: cambia claves desde un dispositivo limpio, revisa métodos de recuperación, cierra sesiones activas y ejecuta un análisis en profundidad. Ante signos persistentes, plantéate el “botón nuclear”.

Copias de seguridad y restablecimiento de fábrica: cuándo usarlos

Las copias salvan días. Mantener backups regulares en la nube o en soportes físicos desconectados te permite recuperar archivos sin arrastrar posibles infecciones.

Tras un incidente, hacer una copia “nueva” puede ser arriesgado si no estás seguro del estado del dispositivo. Es mejor tirar de una copia previa fiable y, si decides restablecer a valores de fábrica, hacerlo después de rescatar fotos y documentos a un medio seguro.

¿Cuándo resetear? Si hay problemas persistentes, apps que reaparecen, permisos que no se dejan revocar o si el análisis detecta amenazas que no se eliminan del todo. Un restablecimiento completo suele solucionar la mayoría de casos en móviles, aunque algunos tipos de malware sofisticado pueden resistir; no es lo habitual.

Reporta para cortar la cadena

Reportar sirve, y mucho. Ayuda a mejorar filtros, alerta a otros usuarios y aporta datos a las investigaciones.

Autoridades de tu país: denuncia el intento o el fraude si ha habido perjuicio económico.
Organismos y grupos antiphishing: existen iniciativas internacionales que recopilan enlaces maliciosos para bloquearlos cuanto antes.
Tu proveedor de correo y la app donde recibiste el mensaje: Gmail, Outlook, Yahoo, WhatsApp o Mensajes permiten marcar como phishing o spam. Usa esas opciones para “entrenar” los filtros.

Guarda el correo o el SMS original con todos sus detalles antes de borrarlo. Los encabezados completos y metadatos facilitan el rastreo técnico.

Prevención que funciona y no requiere ser experto

Ponerte por delante no es complicado. Estas medidas elevan muchísimo el listón de seguridad en tu día a día:

Contraseñas únicas y robustas apoyadas en un gestor, más autenticación de dos factores en servicios críticos.
Actualizaciones al día de sistema y apps, y protección en el navegador contra sitios peligrosos.
Desconfianza sana con enlaces y adjuntos inesperados: verifica por canales oficiales, teclea la dirección tú mismo o usa la app oficial.
Verificadores de enlaces y filtros (DNS con bloqueo, filtros antispam, bloqueadores de malvertising) para frenar el contenido malicioso antes de que llegue a ti.
Formación y avisos en familia y trabajo: que todos sepan reconocer las señales típicas del phishing reduce muchísimo el riesgo colectivo.

Caer en un enlace malicioso nos puede pasar a cualquiera, y no es sinónimo de desastre. Con sangre fría, pasos rápidos y controles básicos, lo normal es neutralizar el problema sin mayores consecuencias. Si hubo exposición de datos o dinero, prioriza banco y contraseñas desde un equipo limpio; si instalaste algo raro, desinstala, analiza y valora un restablecimiento. Refuerza el móvil con actualizaciones, filtros y buenas prácticas, y no dudes en reportar: cada aviso ayuda a que el siguiente enlace fraudulento no llegue a otra persona. Ahora ya sabes todo sobre qué hacer si haces clic en un enlace malicioso desde el móvil.