El phishing es uno de los fraudes más comunes en internet. No hace falta ser experto en tecnología para caer, ni tener mucho dinero en el banco. Solo hace falta un mensaje que parezca real, un momento de apuro y un clic.
Este artículo es para que reconozcas un intento de phishing en pocos segundos, antes de hacer clic, antes de responder y antes de entregar tus datos. Aquí encontrarás qué es el phishing, las 7 señales más claras para detectarlo, ejemplos de Perú y Latinoamérica, y qué hacer si ya recibiste uno o si ya hiciste clic.
Qué es el phishing
El phishing es un engaño en el que alguien se hace pasar por una empresa, un banco, una institución o una persona de confianza para robarte información: tu contraseña, el código que te llega por SMS, los datos de tu tarjeta o el acceso a tus cuentas.
El nombre viene de la palabra inglesa fishing, pescar. El estafador lanza un anzuelo, que es un mensaje, y espera que alguien muerda. El anzuelo puede llegar por correo, por WhatsApp, por SMS, por redes sociales o por una llamada. En todos los casos, el objetivo es el mismo: que hagas algo rápido, sin pensar demasiado.
Un ejemplo típico en Perú y Latinoamérica es el mensaje que dice que tu cuenta será bloqueada, que tienes un paquete retenido, que ganaste un premio o que un familiar necesita dinero con urgencia. El mensaje trae un enlace que lleva a una página falsa, una copia de la página real de un banco, de una empresa de envíos o de una red social. Ahí te piden tus datos. Si los escribes, el estafador los recibe.
Es importante entender algo: el phishing no siempre es un mensaje mal escrito o lleno de errores. Hoy los mensajes falsos pueden verse muy profesionales. Por eso no basta con fijarse en la ortografía. Hay que fijarse en el conjunto de señales.
Las 7 señales claras de phishing
Estas son las señales más frecuentes. No siempre aparecen todas juntas. A veces basta con una sola para sospechar. Si un mensaje tiene dos o tres, lo más seguro es no hacer clic y verificar por otro medio.
1. Te mete prisa o te asusta
El miedo y el apuro son herramientas del estafador. Cuando una persona está asustada, piensa menos y actúa más rápido, por eso el mensaje te empuja a hacer clic de inmediato.
Ejemplo: recibes un SMS que dice que tu cuenta bancaria fue bloqueada por seguridad y que debes entrar a un enlace para desbloquearla. No te dice con claridad qué banco es, ni te da un número oficial para llamar. Solo te da el enlace y la amenaza de bloqueo. Un banco real no te va a pedir que resuelvas todo desde un enlace enviado por SMS, ni te va a presionar con un plazo de minutos.
2. El remitente no coincide con quien dice ser
La segunda señal es el remitente. El mensaje dice ser de tu banco, de WhatsApp, de una empresa de envíos o de una tienda conocida, pero la dirección de correo, el número o el nombre de usuario no coincide con el oficial.
Ejemplo: recibes un correo que dice ser de tu banco, pero la dirección es algo como atencion-cliente-banco123@correo-gratis.com. El nombre visible dice el nombre del banco, pero la dirección real no tiene nada que ver. También es muy común la estafa del familiar que escribe desde un número desconocido pidiendo dinero urgente.
3. El enlace se ve raro o no lleva a donde dice
Un enlace legítimo lleva a su dominio oficial. Un enlace falso puede tener el nombre de la empresa, pero con letras cambiadas, con guiones extra o con un dominio distinto. También puede ser un enlace acortado que no muestra a dónde lleva.
Ejemplo: te llega un mensaje por SMS sobre un paquete retenido. El enlace parece de la empresa de envíos, pero al revisarlo ves que el dominio no es el oficial, sino una página parecida con una letra cambiada.
Regla simple: si el enlace no te da confianza, no lo abras. Es mejor entrar a la página oficial escribiendo la dirección tú mismo en el navegador, o abrir la aplicación oficial desde tu celular.
4. Te pide contraseñas, códigos o datos de tu tarjeta
Ese código de verificación es como la llave de tu cuenta. Si se lo das a otra persona, esa persona puede entrar a tu cuenta como si fueras tú. Lo mismo pasa con tu contraseña y con los datos de tu tarjeta.
Ejemplo: recibes un mensaje que dice que necesitas confirmar tu identidad para no perder tu cuenta. Al entrar al enlace, la página falsa te pide tu usuario, tu contraseña y el código de seis dígitos que te acaba de llegar por SMS. Esa página no es la oficial. Es una copia hecha para robar esos datos.
Si un mensaje te pide una contraseña o un código, no lo entregues. Ningún banco, ninguna red social y ninguna empresa de envíos te lo va a pedir por mensaje. Si necesitas verificar algo, hazlo desde la aplicación oficial, sin usar el enlace del mensaje. Para proteger tus cuentas, también es clave tener la verificación en dos pasos activada.
5. El mensaje tiene errores, datos vagos o un premio increíble
Fíjate si el mensaje es vago: no dice tu nombre, no dice qué cuenta es ni qué pedido es, y no da un detalle que solo la empresa conocería. Dice “estimado cliente”, “su cuenta”, “su pedido”, sin más información.
Fíjate también si promete algo demasiado bueno: ganaste un premio, un celular o un bono, sin haber participado en ningún sorteo, y el enlace te lleva a una página que pide tus datos y los de tu tarjeta para “pagar el envío”. Eso no es un premio. Es un intento de robo.
6. Te pide descargar un archivo o instalar una aplicación
La sexta señal es cuando el mensaje te pide descargar algo: un archivo adjunto en el correo, un documento, una supuesta factura o una aplicación que no está en la tienda oficial de tu celular. Ese archivo puede contener un programa malicioso que roba tus contraseñas o que bloquea tu celular hasta que pagues.
Ejemplo: recibes un correo que parece una factura o un aviso de entrega, con un archivo adjunto que te dice que lo abras para ver los detalles. El archivo no es una factura real. Al abrirlo, instala un programa malicioso en tu computadora.
Regla simple: descarga aplicaciones solo desde la tienda oficial de tu celular, y abre archivos solo si esperabas ese archivo y conoces al remitente. Si no esperabas nada, no lo abras.
7. El mensaje llega por un canal raro para ese trámite
La séptima señal es el canal. Cada empresa tiene sus canales habituales para comunicarse contigo. Un banco no te va a avisar de un bloqueo por un mensaje de un número desconocido en WhatsApp. Una empresa de envíos no te va a pedir tus datos bancarios por SMS.
Ejemplo: te llega un mensaje por WhatsApp de una persona que dice ser comprador de un producto que publicaste en Marketplace. Te dice que ya hizo el pago, pero que necesitas entrar a un enlace para “confirmar la recepción” y que te pide tus datos bancarios. El pago real en Marketplace no funciona así.
Qué hacer si recibes un mensaje de phishing
Si recibes un mensaje sospechoso, no entres en pánico. Sigue estos pasos, en orden.
Primero, no hagas clic en el enlace y no descargues archivos adjuntos. No respondas el mensaje, ni siquiera para decir que no te interesa.
Segundo, no entregues ningún dato: ni tu contraseña, ni códigos, ni datos de tu tarjeta, ni fotos de tu documento.
Tercero, verifica por otro medio. Si el mensaje dice ser de tu banco, entra a la aplicación oficial desde tu celular o llama al número oficial que está en tu tarjeta o en la página oficial. Si dice ser de una empresa de envíos, entra a su página oficial y revisa tu pedido con el número de seguimiento que tú ya tienes. No uses los enlaces ni los números que vienen en el mensaje sospechoso.
Cuarto, reporta el mensaje. En WhatsApp, puedes reportar y bloquear el número. En el correo, puedes marcarlo como phishing o correo no deseado.
Quinto, borra el mensaje después de reportarlo. Si el mensaje llegó a nombre de un familiar, llama a esa persona por el número que ya tienes guardado, no por el número que te escribió.
Qué hacer si hiciste clic o diste tus datos
Si ya hiciste clic en un enlace sospechoso o ya entregaste algún dato, actúa rápido. Mientras antes actúes, menor será el daño.
Primero, cambia tu contraseña desde la página o la aplicación oficial, no desde el enlace del mensaje. Usa una contraseña nueva, larga y distinta a las que usas en otras cuentas.
Segundo, activa la verificación en dos pasos en esa cuenta y en tus cuentas más importantes, como tu correo, tu WhatsApp y tu banco, si tu banco lo permite. Es una segunda barrera aunque alguien tenga tu contraseña.
Tercero, revisa tu cuenta: mensajes enviados que tú no enviaste, cambios en tu perfil, dispositivos conectados que no reconoces o movimientos que no hiciste. En tu correo, revisa si se creó alguna regla de reenvío que no pusiste tú.
Cuarto, si diste datos de tu tarjeta o de tu cuenta bancaria, llama a tu banco de inmediato por el número oficial. El banco puede bloquear tu tarjeta, cambiar tus claves y revisar los movimientos.
Quinto, si te robaron acceso a una red social, usa la opción oficial de recuperación de esa red social, desde su página o su aplicación. No pagues a personas que te prometen recuperar tu cuenta por fuera, porque muchas veces es otra estafa.
Por último, avisa a tus contactos cercanos si crees que pueden recibir mensajes desde tu cuenta, y guarda evidencia: capturas del mensaje, del número y del enlace.
Preguntas frecuentes sobre phishing
¿El phishing solo llega por correo?
No. Hoy el phishing llega por correo, por WhatsApp, por SMS, por redes sociales, por llamadas y por mensajes dentro de aplicaciones. En Perú y Latinoamérica, el WhatsApp y el SMS son muy usados por los estafadores porque casi todas las personas los revisan a diario.
¿Si el mensaje no tiene errores de ortografía, es real?
No necesariamente. Muchos mensajes falsos están bien escritos, con logos y textos profesionales. La ortografía puede ser una pista, pero no es una prueba. Hay que revisar también el remitente, el enlace y si te piden datos sensibles.
¿Puedo hacer clic en un enlace si conozco a la persona que me lo envía?
No siempre. A veces la cuenta de un contacto real fue robada y desde esa cuenta se envían enlaces falsos a todos sus contactos. Si un amigo te envía un enlace extraño, sin contexto, pregúntale por otro medio si de verdad lo envió.
¿Qué hago si el mensaje parece de mi banco?
No uses el enlace ni el número del mensaje. Entra a la aplicación oficial de tu banco desde tu celular, o llama al número oficial que está en tu tarjeta o en la página oficial del banco. Si no hay ninguna alerta ahí, es muy probable que el mensaje sea falso. Repórtalo y bórralo.
¿Denunciar el phishing sirve de algo?
Sí. Reportar el número, el correo o el enlace ayuda a que las plataformas bloqueen al estafador y a que otras personas no caigan. Además, si te robaron dinero o datos, la denuncia ante la autoridad puede ser necesaria para el reclamo ante tu banco.
Conclusión
El phishing no se reconoce por una sola señal, sino por el conjunto. Un mensaje que te mete prisa, que viene de un remitente raro, que trae un enlace sospechoso y que te pide datos sensibles, es un mensaje en el que no debes confiar. La regla es simple: detente, no hagas clic y verifica por otro medio, en la aplicación o en el número oficial.
Comparte este artículo con tu familia, sobre todo con las personas que usan WhatsApp y SMS a diario. En ciberseguridad cotidiana, avisar a tiempo también es protegerse.