La urgencia no es una prueba
CISA describe el phishing como un intento de conseguir que abras un adjunto dañino o compartas información personal. Su material recomienda reconocer, denunciar y eliminar los mensajes sospechosos. [1] La dificultad práctica es que un mensaje puede parecer oportuno: quizá estás esperando un paquete o acabas de iniciar sesión.
En lugar de decidir por la apariencia, separa dos preguntas: ¿es verosímil la historia? y ¿he comprobado quién solicita la acción? Una respuesta afirmativa a la primera no resuelve la segunda. Un atacante no necesita conocer todos tus movimientos para coincidir con una actividad habitual.
Comprueba la petición por otro camino
Si recibes una alerta sobre una cuenta, abre la aplicación que utilizas normalmente o escribe la dirección que ya conoces. Busca allí el aviso. Para una petición de una persona, utiliza un número o conversación previamente verificados, no el contacto que aparece en el mensaje dudoso.
Este método evita que el propio mensaje controle tanto la historia como la vía de comprobación. No hace falta abrir el enlace sospechoso para demostrar que es falso. Si el aviso no aparece en el servicio, consulta su soporte por un canal oficial antes de actuar.
| El mensaje dice… | Comprueba así |
|---|---|
| «Tu paquete está retenido» | Consulta el pedido y su seguimiento desde la tienda o la aplicación conocida. |
| «Tu cuenta se cerrará» | Accede al servicio por tu ruta habitual y revisa sus notificaciones. |
| «Necesito que pagues ahora» | Confirma con la persona por un contacto que ya tenías. |
Qué señales ayudan y cuáles no bastan
Revisa la dirección completa del remitente y el dominio del enlace sin abrirlo, si tu dispositivo permite mostrarlo de forma segura. Una dirección extraña es una señal útil, pero una aparentemente correcta no resuelve todos los casos. No compartas códigos de verificación ni apruebes solicitudes de acceso que no has iniciado.
La buena ortografía y el diseño profesional no acreditan una identidad. Del mismo modo, HTTPS protege el transporte de la conexión, pero no demuestra que el propietario de una web sea quien dice ser. Usa estas pistas como motivos para investigar, no como un examen automático que declare seguro un mensaje.
Si ya has interactuado
Distingue lo ocurrido: abrir un mensaje, descargar un archivo, ejecutar un programa o entregar credenciales son situaciones diferentes. Si has introducido una contraseña en una página sospechosa, entra al servicio real desde un dispositivo seguro y cambia esa contraseña; revisa sesiones y métodos de recuperación. Cambia también cualquier otra cuenta donde la reutilizabas.
Si ejecutaste un archivo o se trata de un equipo de trabajo, pide ayuda al responsable de seguridad y explica exactamente lo que ocurrió. Si hay un pago o datos bancarios involucrados, contacta con tu entidad por su canal oficial. Conserva la información necesaria para comunicar el incidente sin reenviar adjuntos peligrosos a otras personas.
CISA también recomienda contraseñas robustas, un gestor y autenticación multifactor como medidas generales. [2] Nuestra propuesta es añadir un hábito sencillo: ante una petición inesperada, detén la acción y verifica por una vía independiente.
Ejemplo: un aviso de entrega que pide un pequeño pago
Recibes un mensaje que usa tu nombre y dice que falta pagar una cantidad pequeña para entregar un paquete. Ni conocer tu nombre ni acertar la empresa demuestra que sea auténtico. No utilices su enlace para comprobarlo.
- Abre por tu cuenta la aplicación o dirección oficial de la empresa.
- Busca el envío con el número de tu compra original, no con datos facilitados por el mensaje sospechoso.
- Si no coincide, contacta mediante los datos de la web oficial.
- Si lo envió un conocido, comprueba por otro canal si realmente lo mandó: su cuenta podría estar comprometida.
Si ya introdujiste una contraseña, cámbiala desde el servicio oficial, revisa sesiones abiertas y métodos de recuperación y cambia otros sitios donde la reutilizaste. Si facilitaste datos de pago, contacta con tu entidad por un canal conocido. Guardar el mensaje puede ayudar a reportarlo; reenviarlo a otros para que lo abran añade riesgo.
Fuentes y documentación
Fuentes consultadas el 7 de octubre de 2026. Documentación original; algunas fuentes están en inglés.
