Cómo reconocer el phishing y no dar tu clave a estafadores

El phishing ataca a la persona, y el servidor no tiene nada que ver: te convencen de introducir tú mismo la contraseña, un código SMS o los datos de la tarjeta en una página falsa. Sigue siendo el tipo de intrusión más extendido por una razón: es barato. Enviar miles de correos casi no cuesta nada, y una sola víctima lo paga todo. La buena noticia es que protegerse también sale barato: atención y unos cuantos hábitos.

Cómo es el phishing hoy

El clásico es un correo del «banco» o del «servicio de correo» que pide confirmar la cuenta con urgencia. A él se han sumado mensajería y SMS con enlaces de «seguimiento de paquete», páginas de acceso falsas tras anuncios en el buscador, códigos QR en folletos y correos de «compañeros» con adjuntos. Las redes neuronales eliminaron la gran señal de otros años: el mal idioma. Ahora el texto es correcto y los logotipos exactos, así que fíjate en las señales técnicas e ignora el estilo.

Diez reglas que lo cubren casi todo

1. Entra en los servicios importantes desde un marcador o escribiendo la dirección, sin usar enlaces de correos.
2. Comprueba letra por letra el dominio de la barra de direcciones antes de escribir la contraseña.
3. Activa la verificación en dos pasos allí donde exista: una contraseña robada sin el segundo factor casi no sirve. Explicamos cómo funciona en el artículo sobre autenticación de dos factores.
4. Donde se pueda, pasa a las llaves de acceso: la llave está ligada al dominio y en un sitio falso simplemente no funciona.
5. Usa un gestor de contraseñas. Solo rellena la contraseña en el dominio real, así que el silencio del autocompletado en un sitio conocido ya es una señal.
6. No abras adjuntos que no esperabas, ni siquiera de direcciones conocidas: quizá hackearon al remitente.
7. Lee enteros los códigos SMS y las confirmaciones push: indican qué acción estás confirmando.
8. Crea un buzón aparte para registros puntuales y boletines, y reserva el principal para bancos y documentos.
9. Actualiza el navegador: sus listas de sitios peligrosos detectan buena parte de las falsificaciones antes de que cargue la página.
10. Cuenta estos trucos a tu familia: la víctima suele ser un pariente de quien lee artículos como este.

El phishing no solo llega por correo

El correo es solo el canal más antiguo. Los mismos esquemas funcionan en mensajería: «vota por mi sobrina», «tienes un paquete, paga el envío», la cuenta hackeada de un amigo que pide dinero. La versión telefónica es una llamada de la «seguridad del banco» que te apremia a dictar un código SMS. Los QR en mesas y carteles llevan a las mismas páginas falsas, solo que la dirección ni la ves. Aparte está la publicidad de pago en el buscador, donde la falsificación aparece por encima del sitio real. La regla vale para todos los canales: el canal no acredita al interlocutor, solo lo hacen el dominio de la barra de direcciones y el segundo factor.

También funciona con gente experta, porque golpea tu estado y deja de lado tus conocimientos: cansancio, prisa, miedo a perder dinero. El estafador crea una falta de tiempo en la que comprobar parece innecesario. Por eso las reglas de arriba están pensadas para funcionar en automático, sin reflexionar.

Si un correo parece sospechoso pero no estás seguro

Analízalo técnicamente. Abre el código fuente del correo y mira las cabeceras de servicio: de dónde salió en realidad y si pasó las comprobaciones de autenticidad del remitente. Nuestro analizador de cabeceras de correo muestra la cadena de servidores y los resultados de SPF, DKIM y DMARC sin lectura manual. El dominio del enlace puedes pasarlo por la consulta DNS: los dominios desechables recién registrados casi no tienen historial.

Contraseña ya introducida: la primera media hora

1. Cambia la contraseña en el sitio real. Si la usabas en otro lugar, cámbiala también allí.
2. Cierra todas las sesiones en los ajustes de seguridad de la cuenta: una contraseña robada suele usarse en los primeros minutos.
3. Revisa el correo y el teléfono vinculados, las reglas de reenvío y los códigos de respaldo: a los atacantes les gusta dejarse una entrada de reserva.
4. Si introdujiste datos de tarjeta, bloquéala a través del banco. Con eso basta, y la reemisión resuelve el resto.
5. Vigila la cuenta unos días. La lista completa de señales de acceso ajeno y los pasos de recuperación están en el artículo sobre cuentas hackeadas.

Lo que el phishing no puede hacer

Conviene conocer también los límites del ataque para no temer de más. Abrir un correo no roba la contraseña por sí solo: el peligro empieza en la página falsa o en el adjunto ejecutado. Navegar por HTTPS no entrega al estafador tus contraseñas de otros servicios. Y una llave de acceso o llave física no se puede «introducir donde no toca» ni a propósito, porque el navegador no la presenta a un dominio ajeno. Cuantas más cuentas protejas así, menos sentido tiene para ti toda la industria de páginas falsas.

El phishing se apoya en tu piloto automático: el correo presiona con urgencia y la mano va al enlace. Una pausa de diez segundos con la pregunta «¿es este el dominio correcto?» rompe todo el esquema. El hábito sale más barato que recuperar el acceso.