Cómo detectar phishing: 7 señales y checklist
Cómo detectar phishing: 7 señales que detectas en 30 segundos
El phishing es una de las principales amenazas de ciberseguridad en España. INCIBE (Instituto Nacional de Ciberseguridad) gestiona cada año decenas de miles de incidentes relacionados con ciberseguridad, y el phishing es uno de los vectores más habituales, tanto para ciudadanos como para empresas. En Dos Hermanas y Sevilla atendemos a vecinos y pymes que reciben correos fraudulentos de forma recurrente, y la mayoría se detectan en menos de 30 segundos si sabes qué mirar.
En esta guía aprenderás las 7 señales verificables que delatan un correo o SMS fraudulento, con ejemplos concretos y una checklist imprimible que puedas usar mañana mismo. Si haces clic en un enlace sospechoso, también explicamos qué hacer en los primeros minutos para minimizar el daño.
Si recibes un correo sospechoso ahora mismo, mándanos una captura por WhatsApp al 614 44 03 63 y te decimos en menos de 1 hora si es legítimo o no. Servicio gratuito para vecinos de Entrenúcleos, Dos Hermanas y Montequinto.
Las 7 señales de un phishing (checklist rápida)
Pasa el correo por este filtro mental en orden. Si falla 2 o más señales, no abras nada y márcalo como phishing:
| # | Señal | Test rápido | Si falla... |
|---|---|---|---|
| 1 | Remitente inesperado | ¿Esperaba este email de esta persona/empresa? | Sospechoso en la mayoría de casos |
| 2 | Dominio falso | El dominio después de @ ¿coincide con la web oficial? |
Casi siempre phishing |
| 3 | Saludo genérico | ¿Te llaman por tu nombre real? | Plantilla masiva |
| 4 | Urgencia o amenaza | "¿Cuenta bloqueada en 24h?" o "Reclama ya" | Táctica de presión |
| 5 | Adjunto no esperado | ¿Pediste ese PDF o Excel? | Posible malware |
| 6 | Enlace con dominio raro | Hover sobre el link: ¿es la URL oficial? | Link fraudulento |
| 7 | Errores ortográficos | ¿Faltas, acentos raros, traducciones literales? | Remitente no profesional |
A continuación explicamos cada señal con ejemplos reales y el "so what" (por qué importa) para que las reconozcas al vuelo.
Señal 1: Remitente inesperado o que no esperabas
El phishing empieza cuando recibes un correo de alguien con quien no tienes una relación activa, o de alguien que sí conoces pero el contexto no encaja.
Ejemplo real de un cliente de Dos Hermanas (mayo 2025): "He recibido un email de mi banco, con mi nombre y todo, diciendo que tengo que verificar la cuenta". El email era legítimo visualmente, pero el cliente no había hecho ninguna operación con ese banco en meses. Sospecha: si no esperas el email, verifica siempre por otro canal.
El "so what": la mayoría de los ataques de phishing empiezan porque el destinatario confía en el remitente sin verificar. Una llamada de 30 segundos al banco o empresa puede evitar pérdidas que en fraude bancario pueden llegar a ser importantes.
Cómo verificar en 10 segundos
- No respondas al email. Abre una pestaña nueva y escribe tú mismo la URL oficial.
- Llama al teléfono oficial (el de la web, no el del email).
- Comprueba si la dirección del remitente coincide con la del último email legítimo que tengas de esa empresa.
Señal 2: Dominio falso (la trampa más común)
El dominio es la parte después del @ en la dirección del remitente. Es la señal más fiable y la que delata la mayoría de los intentos de phishing.
Ejemplos reales que hemos visto en Entrenúcleos y Montequinto:
| Remitente dice ser... | Dominio real | Truco |
|---|---|---|
| Banco Santander | santander-seguro.com |
"santander" en el dominio falso |
| PayPal | paypa1-support.net |
1 en lugar de l |
| Correos | correos-es.info |
.info en lugar de .es |
| Microsoft | m1crosoft-account.com |
1 en lugar de i |
| Agencia Tributaria | agenciatributaria-hacienda.net |
dominio que suena oficial |
El "so what": este truco (llamado "homograph attack") aprovecha que el ojo humano lee la palabra entera, no cada carácter. Un email de "Banco Santander" con dominio banc0santander.com te parecerá legítimo en 3 segundos. Es uno de los vectores más usados contra empresas y autónomos, porque un solo clic basta para robar credenciales.
Truco rápido para verificar
Mira la parte después de la última barra / antes del primer punto. Si es banco-santander.com, el dominio real es banco-santander.com (oficial). Si es banco-santander.com.falso.ru, el dominio real es falso.ru (un .ru ruso, no es el banco).
Señal 3: Saludo genérico
Las empresas legítimas te conocen. Un banco con el que operas sabe tu nombre, tus últimos movimientos, y normalmente te llama por tu nombre completo. Un correo de phishing usa saludos impersonales.
Ejemplos típicos:
- "Estimado cliente"
- "Estimado usuario"
- "Querido amigo"
- "Hola"
- "A quien corresponda"
El "so what": si una empresa con la que tienes relación usa un saludo genérico, o no te conoce (raro en un banco real) o no le importas como cliente. Las dos opciones son malas.
Señal 4: Urgencia, amenazas o premios
La urgencia es la táctica psicológica más efectiva del phishing. Apela al miedo o a la codicia:
- Miedo: "Su cuenta será suspendida en 24 horas si no verifica sus datos"
- Codicia: "Ha ganado 1.000 €. Reclame su premio en 48 horas"
- Autoridad: "La Agencia Tributaria ha detectado un error en su declaración"
- Curiosidad: "Tiene un nuevo mensaje de voz. Pulse aquí para escucharlo"
El "so what": las empresas legítimas nunca te amenazan con suspensión inmediata por email, ni te avisan de un premio que no has solicitado. La mayoría de las víctimas actúan por impulso al ver "urgente" o "última oportunidad", sin pararse a verificar.
Cómo resistir la presión
- Lee el correo 5 minutos después, no en el momento.
- Busca el aviso de privacidad o condiciones legales: un correo legítimo los incluye.
- Contacta con la empresa por el canal oficial (web, app, teléfono de la web).
Señal 5: Adjuntos que no esperabas
Un adjunto no solicitado es uno de los vectores principales de infección por ransomware. Los formatos más peligrosos son:
.exe(ejecutable Windows).scr(similar al .exe, suele pasar el filtro antivirus).zipcon contenido.jso.vbs(JavaScript o VBScript malicioso).docmo.xlsm(Office con macros habilitadas).pdfcon JavaScript embebido (raro pero existe)
El "so what": la mayoría de las infecciones de ransomware empiezan por un adjunto abierto desde un email. Una pyme infectada puede tardar días o semanas en recuperar su operativa, con el coste asociado de pérdida de ventas, datos y reputación.
Política segura
- Nunca abras adjuntos de desconocidos o de contextos inesperados.
- Si esperas un adjunto, confirma con el remitente por otro canal.
- Activa la vista previa en tu cliente de correo (no descargues hasta verificar).
Señal 6: Enlaces con dominio que no coincide
El texto del enlace y la URL real no tienen por qué coincidir. Esto se llama "URL spoofing" y es una de las técnicas más difíciles de detectar a simple vista.
Cómo verificar:
- En escritorio, pasa el ratón por encima del enlace (sin hacer clic). Verás la URL real en la esquina inferior o como tooltip.
- En móvil, mantén pulsado el enlace (no sueltes) y verás un menú con la URL.
Ejemplo real: un email dice Haz clic aquí para verificar tu cuenta de PayPal. El texto dice "PayPal" pero la URL es http://paypa1-secure-verify.ru/login. Si haces clic, acabas en una web idéntica a PayPal, introduces tus credenciales, y el atacante las tiene.
El "so what": la URL es la única prueba definitiva de a dónde te lleva un enlace. El truco del ratón añade 5 segundos a tu flujo y te ahorra la gran mayoría de los robos de credenciales por phishing.
Test de 5 segundos
Si el dominio del enlace no es el dominio oficial de la empresa (mira la parte justo antes del primer /), no hagas clic. Ejemplos:
paypal.com/login✓ oficialpaypa1.com/login✗ falsosecure-paypal.com/login✗ falsopaypal.com.falso.ru/login✗ falso (el dominio esfalso.ru)
Señal 7: Errores ortográficos o gramaticales
Los emails de phishing masivo a menudo tienen traducciones literales o errores que un nativo no cometería:
- "Su cuenta a sido suspendido" (en vez de "ha sido suspendida")
- "Verifique sus datos urgentemente" (faltas de tildes)
- "Estimado usuario, tenemos un problema con su pedido" (genérico + poco natural)
El "so what": las empresas españolas profesionales revisan sus comunicaciones antes de enviarlas. Un banco, una empresa de mensajería o Hacienda no envía emails con 3 faltas de ortografía. Esta señal por sí sola no es definitiva (a veces hay errores reales), pero combinada con otra señal, casi confirma el phishing.
Qué hacer si ya hiciste clic (los 5 minutos clave)
Si has hecho clic en un enlace sospechoso o abierto un adjunto, el tiempo corre. Estos son los pasos en orden de prioridad:
- Desconecta Internet del dispositivo (cable ethernet o WiFi). Esto corta la comunicación con el servidor del atacante.
- NO apagues el equipo (puedes perder pruebas forenses si necesitas investigar después).
- Haz una captura de pantalla del email y la URL antes de cerrar nada.
- Cambia las contraseñas desde otro dispositivo (el móvil con datos, otro portátil). Prioriza: banco, email principal, redes sociales.
- Activa 2FA en todos los servicios que lo permitan. Si ya estaba activado, contacta con el servicio para revisar actividad sospechosa.
- Pasa un antivirus completo desde otro equipo (un USB de rescate si tu antivirus está comprometido).
- Reporta el incidente:
- España: 017 (línea de ayuda en ciberseguridad de INCIBE).
- Phishing bancario: llama al teléfono oficial de tu banco.
- Phishing Microsoft/Google: reenvía el email a
phishing@apwg.org.
El "so what": cuanto antes actúes, más opciones tienes de revertir el daño. Esperar 24h da tiempo al atacante a cambiar contraseñas de respaldo, vaciar cuentas vinculadas y borrar rastros. Las primeras horas son críticas.
Tipos de phishing más frecuentes en Dos Hermanas y Sevilla
| Tipo | Canal | Vector más común | Frecuencia |
|---|---|---|---|
| Email phishing | Correo | Adjuntos maliciosos, enlaces | Muy alta |
| Smishing | SMS | "Paquete retenido" / "Pin caducado" | Alta |
| Vishing | Llamada | "Soy de tu banco, hay un cargo" | Media |
| Phishing en redes sociales | DM | "Mira este video" | Media |
| QRishing | QR | Carteles con QR falso | Emergente |
Checklist imprimible
Antes de hacer clic en cualquier enlace o abrir un adjunto, pasa por esta lista. Si fallas 2 o más checks, márcalo como phishing:
- ¿Esperaba este email de este remitente?
- ¿El dominio después de
@coincide con la web oficial? - ¿Me llaman por mi nombre real o es genérico?
- ¿Hay urgencia, amenaza o premio inesperado?
- ¿El adjunto es algo que pedí o esperaba?
- ¿El enlace apunta al dominio oficial (hover antes de clic)?
- ¿Hay errores ortográficos o gramaticales?
Regla de oro: en caso de duda, no hagas clic. Abre una pestaña nueva y entra tú mismo a la web oficial, o llama por teléfono.
Herramientas útiles para detectar phishing automáticamente
- Extensiones de navegador:
uBlock Origin(bloquea dominios maliciosos),Netcraft Extension(identifica sitios fraudulentos). - Filtros de email: configura en Gmail/Outlook que muevan a spam remitentes que no estén en tu lista de contactos.
- Antivirus con protección web: Malwarebytes, Bitdefender, Avast (la versión gratuita ya detecta phishing).
- Servicios de verificación de URL: VirusTotal (pega la URL y analiza con 70+ motores), Google Safe Browsing.
Resumen: 30 segundos para detectar phishing
- Remitente ¿esperaba este email? → ¿Dominio real coincide con la web oficial?
- Saludo ¿me llaman por mi nombre o es genérico?
- Tono ¿hay urgencia, amenaza o premio?
- Adjuntos ¿esperaba ese archivo?
- Enlaces (hover) ¿la URL real coincide con el texto?
Si falla 2 o más, márcalo como phishing. No pasa nada por marcar un email legítimo como phishing; sí pasa (y mucho) por abrir uno fraudulento.
Recursos adicionales
- Qué hacer si tu correo electrónico ha sido hackeado — paso a paso para recuperar tu cuenta.
- Ciberseguridad para pequeñas empresas en Dos Hermanas — cómo proteger tu pyme.
- Cómo saber si tu ordenador ha sido hackeado — señales de compromiso.
- Servicio técnico para empresas en Dos Hermanas — revisión de seguridad para tu pyme o equipo personal.
Preguntas Frecuentes
¿Cómo sé si un email es phishing por el remitente?
Revisa la dirección completa, no solo el nombre visible. Un email de "Banco Santander" puede venir de `santander-alertas@falso-seguridad.com` (phishing) o de `alertas@santander.es` (legítimo). El truco está en mirar la parte **después del último `@`**: si no es el dominio oficial de la empresa, descártalo. En nuestros clientes de Dos Hermanas, los intentos más frecuentes usan dominios como `bancosantander-seguro.info` o `correos-paquete.net`.
¿Qué hago si ya he hecho clic en un enlace sospechoso?
Desconecta Internet inmediatamente (WiFi o cable), no apagues el equipo, y cambia tus contraseñas desde **otro dispositivo** (móvil con datos u otro portátil). Contacta con tu banco si has introducido datos bancarios. Llama al **017** (INCIBE) para asesoramiento gratuito.
¿Los SMS de phishing (smishing) son comunes en Sevilla?
Sí, mucho. Los más frecuentes en 2024-2025: "Tu paquete de Correos está retenido, paga gastos de aduana aquí" (con enlace a web falsa), "Tu cuenta de WhatsApp se ha caducado, verifica aquí", y "BBVA: hemos detectado un cargo de 450 €, si no has sido tú pincha aquí". Misma regla: nunca pulses el enlace directamente, ve a la web oficial o app.
¿Puede un phishing tener buen diseño?
Sí, los phishing modernos imitan perfectamente logos, colores y tipografías. La señal **no está en el diseño** sino en el **contenido textual**: saludos genéricos, urgencia, adjuntos inesperados y dominios falsos. Un phishing bien diseñado se detecta por la **dirección del remitente** y la **URL del enlace**, no por cómo se ve.
¿Cómo reportar un phishing en España?
Si es bancario, llama al teléfono oficial. Si es general, reenvía el email a **phishing@apwg.org** (Anti-Phishing Working Group) o usa el formulario en [incibe.es](https://www.incibe.es/). En Gmail/Outlook, marca el email como phishing para entrenar el filtro. Llama al **017** (gratuito) si tienes dudas o has caído.
¿Qué pasa si ya he introducido mi contraseña en una web de phishing?
Actúa en menos de 1 hora: cambia la contraseña de ese servicio desde otro dispositivo, activa 2FA si no lo tenías, revisa el historial de actividad reciente, y contacta con el servicio. Si era contraseña de banco, llama a tu banco para que **congelen operaciones** y verifiquen movimientos. Cada hora que pasa es tiempo que el atacante tiene para consolidar el acceso.