Cómo reconocer un correo de phishing y qué hacer si caes

Qué es el phishing y cómo llega

El phishing es una técnica con la que los ciberdelincuentes intentan conseguir de forma fraudulenta información como contraseñas o datos bancarios. Para ello envían mensajes que suplantan a un banco, una red social, un servicio, una entidad pública u otra entidad legítima, y engañan a la persona para que haga algo que ponga en peligro sus datos.

El medio más utilizado es el correo electrónico, pero no el único. El INCIBE cita también las redes sociales y los sistemas de mensajería instantánea. Por cualquiera de esas vías es sencillo enviar un mensaje con un enlace que lleve a un sitio fraudulento.

Suele funcionar así: el mensaje incluye un enlace a una página que simula ser la legítima. La persona cree estar en un sitio de confianza, introduce la información que le piden y esa información va a parar al estafador.

Señales de que un mensaje puede ser fraudulento

El INCIBE describe varias pistas. Ninguna es concluyente por sí sola, pero cuantas más veas, más motivos tienes para sospechar.

El contenido te asusta o te apremia

El objetivo del mensaje es asustar y empujarte a actuar. Suele añadir una excusa, como «problemas técnicos o de seguridad», y una solución sencilla, como «accede a tu banco con este enlace». Es habitual que pidan nombre de usuario, claves y otros datos de acceso a las cuentas, algo que según el INCIBE las entidades legítimas nunca harían.

Si el mensaje te obliga a decidir de forma inminente o en pocas horas, el INCIBE lo considera mala señal. Para saber si la urgencia es real, contrástala directamente con el servicio o con fuentes de confianza.

La redacción es descuidada

El INCIBE recomienda sospechar si hay errores gramaticales. El INCIBE explica que los mensajes pueden haberse traducido con un traductor automático y que los errores aparecen como artículos intercambiados, palabras con símbolos extraños donde debería haber vocales acentuadas o frases mal construidas. Según el INCIBE, ningún servicio con cierta reputación enviará mensajes mal redactados.

El saludo es genérico

Fórmulas como «Estimado cliente», «Notificación a usuario» o «Querido amigo» son un indicio para ponerse en alerta. El INCIBE señala que, cuando una entidad se dirige a ti por correo, lo hace con mensajes personalizados que usan tu nombre. Un correo no personalizado es, probablemente, un intento de estafa.

El enlace no coincide

Revisa si el texto del enlace coincide con la dirección a la que apunta, y si esa dirección corresponde a la web del servicio legítimo. El INCIBE da un truco: coloca el puntero encima del enlace y mira la dirección real que se muestra en la parte inferior izquierda del navegador.

El remitente no cuadra

Un servicio con cierto prestigio usa sus propios dominios para las direcciones de correo corporativas. Si el mensaje llega desde un buzón tipo @gmail.com o @outlook.com, sospecha. Pero el INCIBE advierte de que un remitente aparentemente correcto no es indicio concluyente de que el correo sea legítimo, porque puede estar falsificado.

Qué hacer cuando sospechas

Estos pasos salen de las recomendaciones del INCIBE:

1. No facilites la información que te solicitan y no contestes a estos mensajes en ningún caso.
2. No pulses los enlaces ni descargues los adjuntos, porque podrían contener malware.
3. Si quieres entrar en la web del servicio, el INCIBE aconseja escribir directamente la dirección en la barra del navegador, si la conoces.
4. En caso de duda, pregunta directamente a la empresa o servicio por sus canales oficiales.
5. Elimina el mensaje y bloquea al remitente. Si puedes, avisa a tus contactos para que no caigan en la trampa.

Además, el INCIBE recomienda mantener actualizados todos tus dispositivos y programas, usar software de seguridad actualizado como un antivirus y activar la autenticación de dos factores siempre que un servicio lo permita.

Si ya has caído en la trampa

Si has introducido datos en una web fraudulenta, el INCIBE recomienda:

• Recopilar toda la información posible: correos, capturas de conversaciones y documentación enviada.
• Presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado.
• En el caso de phishing bancario, contactar con tu oficina bancaria para informarle de lo sucedido con tu cuenta online.
• Cambiar la contraseña de todos los servicios donde usabas la misma clave que en la banca online.

El INCIBE añade que no conviene repetir la misma contraseña en varios servicios.

Qué puede aportar un análisis gratuito

Remove Me ofrece un análisis gratuito y sin cuenta: busca en resultados web públicos, en filtraciones de datos conocidas (Have I Been Pwned) y en un registro de intermediarios de datos (data brokers), y muestra un informe que se desbloquea con un código de 6 dígitos enviado por correo.

Remove Me todavía no envía solicitudes de supresión en tu nombre.