Un correo de tu banco pide confirmar un movimiento. Logo correcto, firma correcta, sin faltas de ortografía. Así se ve la mayoría de los ataques que funcionan: nada en ellos grita. Y sin embargo hay tres pistas que lo delatan, en veinte segundos, sin ser experto. La tercera es la que casi nadie revisa.
Primero: lo que el phishing ya no es
Hace años, el correo falso se reconocía por la mala redacción y el logo pixelado. Eso se acabó. Hoy el atacante copia la plantilla real del banco, de la paquetería o de tu proveedor, y escribe en un español impecable. Si tu única defensa es "se ve raro", ya no tienes defensa.
Lo que no puede copiar es otra cosa: el dominio desde el que escribe, el tiempo que te da y el lugar a donde te lleva. Esas tres cosas son las pistas.
Pista 1: el remitente no es quien dice
El nombre que se muestra dice "Banco". La dirección, la que aparece al pasar el cursor o al tocar el nombre en el celular, dice otra cosa: un dominio parecido con una letra cambiada, un guion de más o una terminación distinta. "banco-ejemp1o.com" con un uno en lugar de una ele, por ejemplo.
Es la primera pista y la que menos gente revisa, porque el nombre visible ya nos convenció. Regla simple: antes de leer el mensaje, lee la dirección completa. Si no es exactamente el dominio que conoces, se acabó la revisión.
Esa pista sola ya detiene la mayoría de los casos. Pero hay correos que vienen de una cuenta real comprometida, y ahí el remitente es correcto. Por eso hay una segunda.
Pista 2: la urgencia está inventada
"Tienes 24 horas o se bloquea tu cuenta." "El pago se rechazará hoy." "Tu paquete será devuelto." Un banco no amenaza por correo, y un proveedor que lleva años contigo no te da un plazo de horas por escrito.
La prisa existe para que no revises. Es la herramienta más vieja de la ingeniería social: si te asusto, no piensas. Cuando sientas que el correo te está apurando, esa sensación es la pista. Respira y revisa la tercera.
Pista 3: el botón no lleva a donde dice
El botón dice "Confirmar movimiento". El enlace real, el que aparece al pasar el cursor sin hacer clic (o al dejar presionado en el celular), apunta a un sitio que imita al banco y guarda lo que escribas.
Aquí está la regla de oro: nunca entres a tu banco, a tu correo o a un sistema de la empresa desde un enlace que llegó en un mensaje. Entra como siempre, escribiendo la dirección o desde la aplicación, y revisa ahí si el movimiento existe. Si era real, lo vas a ver. Si no, acabas de evitar el ataque.
Qué hacer cuando ya lo viste
Reconocerlo es la mitad. La otra mitad es reportarlo, y es lo que separa a una empresa entrenada de una que solo tiene suerte. Un correo reportado a tiempo le avisa a TI que el mismo mensaje llegó a veinte personas más, y una de ellas tal vez no lo vio.
- No respondas ni reenvíes el correo a compañeros "para avisar": reenviarlo multiplica el enlace.
- Repórtalo por el canal que tenga tu empresa (botón de reporte, correo de TI o WhatsApp del responsable).
- Si ya hiciste clic o escribiste una contraseña, dilo de inmediato. Cambiar la contraseña en los primeros minutos vale más que cualquier regaño.
En el programa de concientización esto es exactamente lo que se mide: no cuántos caen, sino cuántos reportan. Cuando la tasa de reporte sube, la empresa deja de depender de que nadie se equivoque nunca.
Preguntas frecuentes
¿Cómo veo la dirección real del remitente en el celular?
Toca el nombre del remitente en la cabecera del correo. La dirección completa aparece debajo del nombre visible.
¿Y si el correo viene de la cuenta real de un compañero?
Pasa cuando esa cuenta fue comprometida. Aplican las pistas 2 y 3: la prisa y el destino del enlace. Ante la duda, confirma por teléfono o en persona.
¿Qué hago si ya hice clic?
Avisa de inmediato a quien administre el correo en tu empresa y cambia la contraseña desde la aplicación oficial. No esperes a ver qué pasa.