Cómo identificar un mensaje de phishing y qué hacer si ya has respondido

El phishing es una forma de engaño en la que alguien suplanta a una entidad o persona para conseguir datos, inducir un pago o llevar a la víctima a una página falsa. Puede llegar por correo electrónico, SMS, redes sociales o mensajería. El mensaje puede parecer una incidencia de reparto, una alerta bancaria o una petición de un contacto conocido.

La medida más útil es interrumpir la acción que solicita el mensaje y comprobarla por un canal independiente. Abre tú mismo la aplicación oficial o escribe la dirección conocida de la entidad; no utilices para verificar el enlace o el teléfono que aparece en la comunicación sospechosa. Un mensaje convincente, sin errores y con un logotipo correcto también puede ser fraudulento.

Si ya has entregado información: actúa según el dato expuesto. Cambia las contraseñas comprometidas, contacta con tu banco por un canal oficial si hay dinero o tarjetas implicados y conserva pruebas. INCIBE ofrece orientación en el 017; comprueba sus condiciones y horarios vigentes.

Cómo funciona el engaño

El mensaje intenta que la persona haga algo: abrir un enlace, descargar un archivo, facilitar una clave, aprobar una operación o llamar a un número. A menudo crea una urgencia artificial: afirma que una cuenta se bloqueará, que hay una compra no reconocida o que un paquete necesita un pago pequeño.

El destino puede imitar una página real y pedir usuario, contraseña, datos de tarjeta o códigos de verificación. En otros casos, el objetivo es iniciar una conversación para obtener información poco a poco. Que el mensaje llegue a través de un hilo conocido o muestre un nombre familiar no demuestra por sí solo quién lo envió: una cuenta puede haber sido comprometida o el remitente puede estar manipulado.

El phishing no es exclusivo del correo. Se suele llamar smishing al intento por SMS y vishing al que usa llamadas de voz. Esas etiquetas describen canales; la precaución práctica es la misma: verificar la petición por un medio que no dependa del mensaje recibido.

Señales que justifican detenerse

Una petición urgente de pagar o revelar credenciales es una señal importante. También lo son los enlaces que llevan a dominios diferentes de los oficiales, las solicitudes inesperadas de códigos de acceso y los archivos que no esperabas recibir. Un remitente conocido que solicita dinero con una excusa inusual merece una verificación por otra vía.

Los errores de redacción pueden ayudar a detectar un fraude, pero su ausencia no garantiza legitimidad. Los mensajes pueden estar bien escritos, adaptarse al idioma del destinatario o usar datos conocidos de una empresa. Tampoco basta con ver un candado en el navegador: una conexión cifrada no demuestra que quien controla la página sea la entidad legítima.

Las personas que usan lectores de pantalla o tienen dificultades visuales pueden recibir enlaces cuyo texto visible no describe claramente su destino. Por eso la alternativa más accesible no debería depender solo de examinar una dirección diminuta: abrir la aplicación oficial o llamar al número que ya se conoce evita seguir el enlace sospechoso.

Comprueba sin utilizar el mensaje

Si recibes un aviso de tu banco, cierra el mensaje y accede a la aplicación o web mediante tu acceso habitual. Si aparece una operación que no reconoces, comunícate con el banco desde el número de su página oficial o de tu tarjeta. No compartas códigos de un solo uso para «cancelar» una operación sin entender qué estás autorizando.

Ante un supuesto problema de reparto, consulta el seguimiento desde la web o aplicación del transportista introduciendo tú mismo los datos que ya tengas. Ante una petición de un familiar o compañero, intenta confirmar por una llamada a su número habitual o por otro canal. Si el remitente dice que ha cambiado de número, esa afirmación también necesita comprobación.

No descargues archivos inesperados para comprobar si son reales. En un entorno de trabajo, utiliza el procedimiento de seguridad de tu organización y avisa al equipo responsable. No reenvíes el contenido a una lista amplia si eso puede propagar un enlace o archivo peligroso.

Si has introducido una contraseña

Desde un dispositivo de confianza, cambia la contraseña del servicio afectado y también la de cualquier otra cuenta donde la hayas reutilizado. Consulta las opciones de cierre de sesiones y revisa si se han cambiado el correo de recuperación, el teléfono o los métodos de acceso.

Activa un segundo factor de autenticación cuando esté disponible y guarda los códigos de recuperación en un lugar seguro. El segundo factor añade protección, aunque no vuelve imposible una estafa: una persona puede ser engañada para facilitar un código o aprobar una solicitud que no inició.

Si no puedes entrar, sigue el proceso oficial de recuperación de la cuenta. Evita buscar ayuda en números que aparecen en anuncios o mensajes no solicitados: podrían ser parte de otro intento de fraude.

Si has dado datos bancarios o instalado algo

Contacta cuanto antes con tu entidad financiera por un canal oficial. Explica qué datos has compartido y qué operaciones observas; el banco podrá indicarte medidas apropiadas, como revisar movimientos o bloquear una tarjeta. No presupongas que una transferencia pueda recuperarse ni que todas las entidades apliquen el mismo procedimiento.

Si instalaste un programa o concediste acceso remoto, desconecta el dispositivo de la red si es posible y busca ayuda técnica fiable antes de seguir utilizándolo para operaciones sensibles. Desde otro dispositivo de confianza, cambia las credenciales afectadas. Conserva mensajes, direcciones, justificantes y capturas sin modificar para poder explicar lo ocurrido.

En España, INCIBE ofrece el servicio de ayuda en ciberseguridad 017. También puede ser adecuado acudir a las fuerzas de seguridad y presentar una denuncia, especialmente si ha habido una suplantación o pérdida económica. Comprueba los canales y condiciones oficiales antes de contactar.

Reducir el riesgo sin vivir desconfiando de todo

Usa contraseñas diferentes, mantén el sistema actualizado y dedica unos segundos a verificar las peticiones que impliquen dinero o acceso. Compartir estas pautas con familiares y compañeros ayuda, siempre sin culpabilizar a quien ha sido engañado: los fraudes están diseñados para aprovechar situaciones de presión y confianza.

En Tecnología encontrarás más información práctica. También puedes consultar cómo saber si una página web es segura para entender las limitaciones del candado y del aspecto visual.

Fuentes

• INCIBE: phishing, consultado el 10/11/2026.
• INCIBE: ficha sobre fraude por phishing, consultada el 10/11/2026.