Phishing, spam y llamadas comerciales: guía completa para protegerte

Un correo que te pide "verificar tu cuenta", un SMS de un número desconocido, una llamada comercial a la hora de comer: son situaciones distintas, pero las respuestas se parecen. Esta guía las ordena. Primero, cómo reconocer un mensaje fraudulento. Después, qué hacer si ya has picado o si alguien se ha hecho pasar por ti. Por último, cómo reducir la publicidad y las llamadas comerciales que no has pedido.

Todo lo que sigue se apoya únicamente en páginas públicas de la Agencia Española de Protección de Datos (AEPD) y del Instituto Nacional de Ciberseguridad (INCIBE).

Qué hacer primero

Si acabas de recibir un mensaje que te inquieta, las páginas consultadas coinciden en un orden sencillo.

1. No facilites la información que te solicitan ni respondas. El INCIBE indica que no contestes en ningún caso a estos mensajes.
2. No pulses los enlaces ni descargues los adjuntos. Podrían contener malware.
3. Contrasta el mensaje por un canal oficial. En caso de duda, pregunta directamente a la empresa o al servicio que supuestamente lo envía, a través de sus canales oficiales.
4. Elimina el mensaje y, si puedes, avisa a tus contactos para que no caigan en la misma trampa.
5. Si ya has dado datos o has pulsado un enlace, actúa cuanto antes: cambia contraseñas, contacta con el banco y denuncia. Más abajo se detalla.

Si lo que te ocurre es una suplantación de identidad, una avalancha de publicidad o un acoso telefónico, ve al apartado correspondiente.

Qué es el phishing y cómo funciona

El INCIBE lo define como una técnica que usan los ciberdelincuentes para obtener información personal y bancaria de los usuarios. Envían mensajes que suplantan a una entidad legítima, como un banco, una red social, un servicio o una entidad pública, para engañar y manipular a la persona hasta que realice una acción que ponga en peligro sus datos.

El mecanismo

El INCIBE explica que el principal medio de propagación del phishing es el correo electrónico, pero que también se usan redes sociales y sistemas de mensajería instantánea. Por cualquiera de esas vías es sencillo enviar un mensaje con un enlace que lleva a un sitio fraudulento, que estéticamente es igual o muy parecido a la web oficial. Si la persona cree que está en un sitio de confianza e introduce contraseñas, datos personales o bancarios, esa información llega a los delincuentes.

Una excusa y una solución sencilla

El INCIBE describe un patrón que se repite. El mensaje intenta asustar y empujar a actuar. Siempre añade una excusa, como "problemas técnicos o de seguridad", y ofrece una solución fácil, del tipo "acceda a su banco utilizando este enlace". Es muy habitual que pidan nombre de usuario, claves y otros datos de acceso, algo que, según el INCIBE, las entidades legítimas nunca harían.

Cómo reconocer un mensaje de phishing

El INCIBE propone una serie de preguntas. Ninguna es concluyente por sí sola; lo que debe ponerte en alerta es que se acumulen.

¿El contenido es sospechoso?

El INCIBE cita servicios que se suplantan con frecuencia: Dropbox, Facebook, Google Drive, Apple ID, Correos y Telégrafos o la Agencia Tributaria, entre otros. Aconseja ser precavido cuando el mensaje de un banco o servicio conocido no lo esperabas, es alarmista o resulta extraño.

¿La redacción es correcta?

Según el INCIBE, resulta extraño que una entidad envíe una comunicación a todos sus clientes con una redacción y ortografía descuidadas. Explica que quienes realizan estas campañas a veces son extranjeros y deben traducir sus mensajes, en general con errores: artículos "el" y "la" intercambiados, palabras con símbolos extraños donde deberían ir vocales acentuadas o frases mal construidas. El INCIBE añade que, si hay errores gramaticales, conviene sospechar: pueden haber usado un traductor automático para redactar el mensaje.

¿A quién va dirigido?

Quien quiere estafar a muchas personas no conoce el nombre de cada una, así que usa fórmulas genéricas. El INCIBE cita "Estimado cliente", "Notificación a usuario" o "Querido amigo". El INCIBE añade que una entidad que se dirige a un cliente envía correos personalizados con su nombre e incluso, a veces, parte de su DNI. Un correo no personalizado es, según esa página, probablemente un intento de estafa.

¿Te mete prisa?

Otra técnica es pedir una acción en un plazo muy corto, con la amenaza de consecuencias si no se cumple. El INCIBE explica que con esa urgencia los delincuentes buscan una decisión precipitada. Si el mensaje te obliga a decidir de inmediato o en pocas horas, es mala señal. Su consejo es comprobar si la urgencia es real directamente con el servicio o consultando fuentes de confianza como la OSI, la Policía o la Guardia Civil.

¿El enlace es fiable?

El INCIBE da dos pautas concretas:

• Revisa si el texto del enlace coincide con la dirección a la que apunta. Para verla, sitúa el puntero encima del enlace y mira la dirección real en la parte inferior izquierda del navegador. Debe corresponder con la URL del servicio legítimo.
• No accedas a una web a través de un enlace del correo. Si quieres entrar en la página legítima, lo mejor es escribir su dirección en la barra del navegador, si la conoces.

¿Quién lo envía?

El INCIBE deja esta pregunta para el final porque no permite saber con certeza si un correo es fiable. Debes sospechar si la dirección no pertenece a la entidad que dice enviarlo. Pero lo contrario no vale: que parezca correcta no prueba que sea legítimo, porque el remitente puede manipularse y los delincuentes pueden enviar correos con el remitente falsificado.

El INCIBE añade una pauta sobre el dominio. Un servicio con cierto prestigio usa sus propios dominios para los correos corporativos; si llega desde un buzón tipo @gmail.com o @outlook.com, sospecha.

Qué hacer si has caído en la trampa

Protege tus cuentas y tu dinero

• Contacta con tu oficina bancaria si se trata de phishing bancario, para informarles de lo sucedido con tu cuenta online.
• Cambia la contraseña de todos los servicios en los que usases la misma clave que para la banca online. El INCIBE recuerda que no conviene usar la misma contraseña en varios servicios.

Reúne pruebas y denuncia

El INCIBE recomienda recopilar toda la información posible: correos, capturas de conversaciones, documentación enviada. Indica que puedes apoyarte en testigos online para reunir las evidencias. Después, presenta una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado. El INCIBE remite además a su sección "Reporte de Fraude".

Si quieres ver qué hay hoy visible sobre ti, Remove Me ofrece un análisis gratuito, sin crear cuenta. Tú introduces tus datos y el servicio busca resultados visibles públicamente en la web, filtraciones de datos conocidas (Have I Been Pwned) y un registro de intermediarios de datos (data brokers). Después muestra un informe que se desbloquea con un código de 6 dígitos enviado por correo. Remove Me todavía no envía solicitudes de supresión en tu nombre.

Suplantación de identidad: dónde denunciarla

La suplantación de identidad, explica la AEPD en una pregunta frecuente, además de atentar contra la privacidad puede dar lugar a distintos tipos de delitos.

Denuncia ante los cuerpos de seguridad

En estos casos la AEPD considera aconsejable presentar la correspondiente denuncia ante los Cuerpos y Fuerzas de Seguridad. Cita tres vías: la Policía Nacional, la Guardia Civil o la herramienta AlertCops.

Si el perfil falso está en una red social

Las redes sociales más populares disponen de mecanismos establecidos para comunicar estas vulneraciones mediante sus propios formularios. La campaña de la AEPD y el Ministerio de Consumo detalla el procedimiento para la suplantación en redes sociales:

1. Contacta primero con la red social donde se ha publicado el perfil falso con tus datos, a través de los formularios habilitados.
2. Si la respuesta no es satisfactoria, puedes formular una reclamación ante la AEPD a través de su Sede electrónica.
3. Acompaña la documentación que acredite que contactaste primero con la empresa.

La nota de prensa enlaza a los formularios de Facebook, Google, Twitter, Instagram y TikTok.

Contenidos sexuales o violentos

La nota menciona un supuesto distinto: la publicación de contenidos sexuales o violentos de terceros sin su consentimiento. El Canal Prioritario de la AEPD ofrece una vía rápida y gratuita para denunciarla. Por la especial gravedad de estas situaciones, indica que no es necesario contactar primero con la web o la red social donde se publicaron. Para menores de 18 años, la Agencia ha habilitado un contacto específico.

Publicidad y llamadas comerciales no deseadas

Las páginas de la AEPD proponen una escalera de acciones: prevenir, usar los mecanismos de la propia empresa, ejercer derechos, reclamar y, de forma independiente, valorar la mediación.

Apúntate a una lista de exclusión publicitaria

La AEPD propone como primer paso inscribir tus datos, de forma gratuita y voluntaria, en un sistema de exclusión publicitaria. Quien vaya a hacer una campaña debe consultar esos sistemas para excluir a las personas inscritas. Puedes elegir el medio por el que no quieres recibir publicidad: correo postal, llamadas, correo electrónico u otro. Para las llamadas, solo tienes que registrar los números de teléfono en los que no quieres recibir ofertas comerciales.

Los enlaces que ofrece la AEPD son el Servicio Lista Robinson y la Lista Stop Publicidad.

Qué no hace la inscripción

Aunque te hayas inscrito, los comerciantes pueden enviarte publicidad si eres cliente o si les has dado tu consentimiento. La inscripción tampoco es inmediata: es eficaz a partir del segundo mes desde que registras tus datos, así que en ese plazo puedes seguir recibiendo alguna comunicación.

Cuida lo que consientes

Participar en un concurso, aprovechar una oferta o registrarte en una web suele implicar que te pidan consentimiento para enviarte publicidad. Si no quieres recibirla, la AEPD aconseja estar atento para no darlo y no aceptar sin más todos los términos del concurso, la oferta o la promoción.

Sobre la validez, la AEPD precisa que el consentimiento debe darse mediante un acto afirmativo claro. No es válido si te dicen que, si no contestas, se entiende que has consentido.

Las herramientas que ya tienes en cada mensaje

La AEPD recomienda un paso previo a los derechos, que presenta como la forma más sencilla de dejar de recibir comunicaciones de una empresa.

Usa la fórmula de baja

Las comunicaciones electrónicas publicitarias deben ofrecerte un sistema para rechazar el uso de tus datos con fines publicitarios: un correo a la dirección indicada, un SMS, un enlace o una llamada a un número gratuito. La Agencia precisa que, con una relación contractual previa, te pueden enviar publicidad por correo o medios equivalentes, como SMS o WhatsApp, si tus datos se obtuvieron de forma lícita y se trata de productos o servicios similares a los contratados. Aun así deben permitirte oponerte de forma sencilla y gratuita, al recoger los datos y en cada comunicación.

Retira tu consentimiento

Si diste tu consentimiento para fines publicitarios, puedes revocarlo en cualquier momento por un medio sencillo, como una llamada a un teléfono gratuito o los servicios de atención al público del responsable. Si no sabes dónde dirigirte, pídele la información o consulta el apartado de protección de datos de su web.

Desaparece de las guías telefónicas

Tienes derecho a no figurar en las guías telefónicas. Puedes dirigirte a tu operadora y comunicarle que no quieres que tus datos se publiquen. Se retirarán de la versión online y, en las guías en papel u otro soporte físico, en la siguiente edición. Si prefieres figurar pero no recibir publicidad, puedes pedir a tu operador que no use tus datos con ese fin.

El derecho de oposición

La página de la AEPD sobre este derecho lo describe como la posibilidad de oponerte a que el responsable trate tus datos en dos supuestos.

Interés público o interés legítimo

Cuando el tratamiento se basa en una misión de interés público o en el interés legítimo, incluida la elaboración de perfiles, el responsable dejará de tratar los datos. La excepción: que acredite motivos imperiosos que prevalezcan sobre tus intereses, derechos y libertades, o que los necesite para formular, ejercer o defender reclamaciones.

Mercadotecnia directa

Cuando la finalidad es la mercadotecnia directa, incluida la elaboración de perfiles, una vez ejercitado el derecho para esa finalidad los datos dejan de tratarse para esos fines. La página no recoge para este supuesto la excepción de los motivos imperiosos.

Cómo plantear la solicitud

Para la publicidad, la AEPD pide que indiques claramente que no deseas que traten tus datos con fines publicitarios, y que informes del canal por el que recibes la publicidad y de los datos que no quieres que se traten. Su ejemplo: si recibes publicidad telefónica, indica tu número para que no lo usen con fines comerciales. En su espacio de derechos ofrece formularios tipo.

La Agencia advierte de que pueden tratar tus datos con fines publicitarios sobre una base distinta del consentimiento, como el interés legítimo o, en la publicidad electrónica, la relación contractual previa.

Oposición, consentimiento o supresión

Puedes oponerte, retirar el consentimiento o ejercer la supresión, que consiste en pedir que la entidad elimine tus datos. Si eres cliente, la AEPD recomienda la oposición o retirar el consentimiento, porque la finalidad última de la supresión es eliminar los datos de los tratamientos de la entidad.

Cuando la empresa no responde

Contacta con el delegado de protección de datos

Según la AEPD, gran parte de las discrepancias sobre protección de datos, también las de publicidad no deseada, se resuelven tras una consulta al delegado de protección de datos (DPD) de la organización. Según el tipo de entidad puede estar obligada o no a tener uno, aunque muchas lo tienen de forma voluntaria. Puedes comprobarlo en la herramienta Consulta DPD de la Sede Electrónica de la Agencia.

Reclama ante la AEPD

Si el responsable no ha atendido tus peticiones en los plazos estipulados o no te satisface su respuesta, puedes reclamar ante la Agencia, de forma telemática. Debes aportar información que solo tú puedes proporcionar. La documentación que cita incluye:

• el registro, copia o captura de las comunicaciones recibidas;
• la documentación que acredite tu inscripción en la Lista Robinson, si es el caso;
• las pruebas de haber intentado retirar tu consentimiento;
• las comunicaciones con el delegado de protección de datos, si lo hubiera;
• los documentos que acrediten que ejerciste la oposición o la supresión, y la respuesta recibida;
• cualquier otro documento útil.

Qué pide la AEPD según el medio

Si ejerciste la oposición o la supresión, o retiraste el consentimiento, y sigues recibiendo publicidad pasado un mes desde que la entidad recibió tu solicitud, necesitas un documento que acredite esa recepción: la respuesta del responsable, la copia sellada, un acuse de recibo o un certificado del servicio postal o de mensajería. Después, según el canal:

• Postal: una copia del envío, con su fecha.
• Telefónica: para cada llamada, el número que la recibió, la compañía de la línea, la documentación que acredite la titularidad si eres la persona abonada, la entidad promocionada, si eres o has sido cliente, el número llamante y la fecha y hora.
• SMS: el número receptor, la compañía, imágenes del terminal con el texto completo, la fecha y hora y el número o nombre del emisor. Esta información suele consultarse en la opción "ver detalle".
• Correo electrónico: una copia impresa del contenido completo de los mensajes, o de una muestra suficientemente representativa si son muy numerosos, con sus cabeceras.

La reclamación no sirve para obtener una indemnización: la AEPD indica que, para eso, debes acudir a los tribunales de justicia.

Mediación y acoso telefónico

Dos vías más completan el panorama.

La mediación de AUTOCONTROL

La Asociación para la Autorregulación de la Comunicación Comercial (AUTOCONTROL) gestiona un sistema de mediación voluntaria y gratuito, en funcionamiento desde enero de 2018, para obtener una respuesta ágil en reclamaciones sobre datos personales, como la publicidad no deseada. Se han adherido varias compañías de telecomunicaciones, entre ellas los grupos Telefónica, Orange, Yoigo y Vodafone con sus marcas asociadas. Si reclamaste a una compañía adherida y no obtuviste una respuesta satisfactoria, puedes recurrir a AUTOCONTROL, que inicia un proceso de mediación para que las partes lleguen a un acuerdo. La AEPD subraya que esta vía es independiente de tu derecho a reclamar ante la Agencia.

Acoso telefónico

Para el acoso telefónico, además de reclamar ante la AEPD puedes acudir a los Órganos de Consumo de las Administraciones Públicas y presentar una reclamación en materia de consumo. Según la AEPD, realizar propuestas no deseadas y reiteradas por teléfono, fax, correo electrónico u otros medios a distancia constituye una infracción en materia de consumo, salvo que esté justificado legalmente para hacer cumplir una obligación contractual. Estas prácticas se consideran agresivas por acoso y desleales con las personas consumidoras.