Cómo detectar un correo falso antes de hacer clic

A este tipo de engaño se le llama phishing: un mensaje falso que imita a un banco, a una tienda, a un organismo público o a alguien conocido para sacarte una contraseña, datos personales o dinero. El correo es solo una de las vías. La misma estafa llega por SMS y por aplicaciones de mensajería, y eso está en qué es el phishing y cómo reconocer un mensaje falso.

Quien lo envía manda el mismo texto a una lista enorme, contando con que una parte de esas personas tenga de verdad su banco donde dice el correo, o un pedido en camino de esa tienda. Por eso un mensaje puede parecer escrito para ti aunque haya salido hacia miles de direcciones a la vez.

Empieza por la dirección completa del remitente

El nombre que ves en la bandeja de entrada lo elige quien manda el mensaje, así que lo que hay que mirar es la dirección que está detrás, sobre todo la parte que va después de la arroba. El nombre de una empresa conocida pegado a un dominio que no tiene nada que ver, o un buzón gratuito escribiendo en nombre de un negocio, ya es motivo suficiente para no seguir.

La ayuda de Gmail sobre correos de phishing dice justo eso: comprueba que la dirección encaja con el nombre que aparece, y recuerda que Google nunca te va a pedir la contraseña por correo. Aun así, una dirección que parece correcta tampoco es una prueba. Las cuentas reales también se roban, y el remitente se puede falsificar. Por eso el INCIBE pone el foco en lo que pide el mensaje, y no en el nombre que lo firma.

Señales en el texto del correo

Después del remitente, lee qué te está pidiendo el mensaje. El INCIBE señala en su página sobre el phishing el mismo puñado de señales que se repiten:

• Prisa o amenaza. Una cuenta que se suspende hoy, un recargo si no pagas en 24 horas, un último aviso antes de la cancelación. El plazo corto existe para que actúes antes de comprobar nada.
• Un premio, una devolución o una ayuda. Un reembolso liberado, unos puntos que caducan, un sorteo en el que no recuerdas haber participado.
• Una petición de contraseña, de código o de datos personales. La clave del banco, el número de la tarjeta, el DNI o el código de un solo uso que acaba de llegarte al móvil, escritos en una página que ha abierto el correo.
• Un saludo genérico. «Estimado cliente» o «Hola, usuario» en vez de tu nombre. Es una señal débil por sí sola, porque un mensaje falso también puede llevar tu nombre correcto.
• Un cargo que no reconoces. Una factura por una compra que no has hecho, mandada precisamente para que hagas clic en cancelarla.

Las faltas de ortografía aparecen, sí, pero no te apoyes en ellas como prueba principal. Hay mensajes falsos muy bien escritos, y un correo real de una empresa puede tener una errata.

Un correo falso, señal por señal

El mensaje de abajo lo hemos escrito nosotros, desde cero, para enseñar cómo se monta un correo así. No usa ninguna marca real, y las direcciones terminan en «.example», una terminación reservada para ejemplos que no pertenece a ninguna web.

Lo que lo delata:

• El remitente lleva el nombre de la tienda, pero el dominio que va después de la arroba es otro, elegido por quien manda el correo.
• El plazo de unas horas empuja la decisión por delante del momento en que abrirías la aplicación de la tienda.
• «Estimado cliente» enseña que el mismo texto salió hacia una lista larga de golpe.
• El botón apunta a una dirección que no es de la tienda, aunque lleve dentro las palabras «tienda» y «seguro».
• La petición final es escribir los datos de la tarjeta en una página que ha abierto el correo, en vez de mirar el pedido dentro de tu propia cuenta.

En el caso de Lucía, lo seguro era cerrar el correo y abrir la aplicación de la tienda. Si el pago hubiese fallado de verdad, el aviso estaría allí, en el historial de pedidos.

Averigua adónde lleva de verdad el enlace

Las palabras de un botón no tienen por qué coincidir con la dirección que abre. En el ordenador, dejar el cursor encima del enlace sin hacer clic enseña el destino en una esquina de la pantalla. En el móvil, mantener el dedo sobre el enlace suele enseñar la dirección completa. Si te preocupa abrirlo sin querer, sáltate esa prueba y entra directamente por la aplicación oficial.

Lee el dominio entero. Las palabras añadidas, las letras cambiadas y las direcciones acortadas esconden dónde acaba un enlace. En cómo saber si un enlace es seguro está qué parte de una dirección identifica al dueño de la web.

El https es la «s» del principio de la dirección. Significa que la conexión entre tu dispositivo y la web va cifrada, así que nadie por el camino puede leerla. No dice nada sobre de quién es la página. El propio Chrome dejó de enseñar el candado en la barra de direcciones en la versión 117, de septiembre de 2023, y puso un icono de ajustes en su lugar. Según el anuncio del equipo de Chromium, mucha gente leía el candado como señal de web de fiar, cuando casi todas las páginas falsas hechas para robar datos ya usaban https.

Los adjuntos que no esperabas

Una factura, un currículum, un recibo o un documento de envío que no esperabas pueden ser toda la excusa para que abras un archivo. Antes de descargarlo, pregúntate si de verdad estabas esperando ese documento, y si ese mismo asunto aparece en la aplicación o en la web oficial del servicio.

Ten el mismo cuidado cuando un correo te pide que actives algo dentro del archivo, que instales un programa o que des acceso a tu ordenador. Una empresa legítima puede mandar adjuntos, pero una petición que se sale de su forma habitual de trabajar merece confirmarse por otra vía.

Cómo comprobarlo sin responder

• Abre la aplicación oficial que ya tienes instalada en el móvil.
• Escribe tú la dirección de la empresa en el navegador.
• Busca la compra, el cargo o el aviso dentro de tu propia cuenta.
• Si necesitas hablar con alguien, usa el teléfono publicado en la web oficial o en el reverso de tu tarjeta, no el del correo.

Si el cargo viene de una empresa con la que nunca has tratado, merece la pena averiguar quién es antes de pagar nada: la razón social y el NIF del aviso legal, contrastados fuera de su propia web, ya dicen bastante.

Cómo denunciar un correo falso

Denunciarlo ayuda a que tu servicio de correo filtre mensajes parecidos, para ti y para otras personas, y deja constancia del patrón. En Gmail, la ayuda oficial indica esta ruta, comprobada el 22 de septiembre de 2026: abre el mensaje, pulsa el menú de tres puntos que hay junto a Responder y elige «Denunciar phishing». En otros servicios de correo la opción existe igual, dentro del menú del propio mensaje, aunque el nombre cambie entre versiones.

Después repórtalo. El formulario de reporte de fraude del INCIBE recoge correos de phishing, tiendas falsas y webs que reparten programas maliciosos, y sirve para que esa dirección se bloquee antes para otra gente. Si has perdido dinero o te han robado una cuenta, pon además la denuncia en la Policía Nacional o en la Guardia Civil. Y si quieres que te orienten antes de decidir, la línea 017 del INCIBE es gratuita y confidencial.

Una vez denunciado, borra el mensaje. No respondas, ni siquiera para pedir que dejen de escribirte, porque cualquier respuesta le confirma a quien lo mandó que alguien lee esa dirección.

Si ya has hecho clic

Hacer clic le pasa a cualquiera, incluida la gente que está atenta. Lo que importa es lo que vino después. Si solo abriste la página y no escribiste nada, ciérrala sin descargar archivos ni aceptar permisos.

1. En la primera hora, llama a tu banco si metiste datos de la tarjeta o de la cuenta. Usa el número del reverso de la tarjeta o el de la aplicación. Pide que paren el pago si todavía no se ha liquidado, que bloqueen la tarjeta y que te emitan una nueva. Si no estás de acuerdo con lo que te responda el banco, puedes reclamar por escrito a su Servicio de Atención al Cliente y después al Banco de España, con los pasos y los plazos de cómo realizar una reclamación.
2. Cambia la contraseña de cualquier cuenta en la que hayas entrado. Cámbiala en la web de verdad, no desde un enlace de la página que acabas de dejar, y cámbiala también donde la hayas repetido.
3. Activa la verificación en dos pasos en esa cuenta, para que una contraseña robada no baste por sí sola. El INCIBE explica los métodos en su página sobre la autenticación de dos factores. Si llegaste a dar un código de un solo uso o a aprobar un aviso de inicio de sesión, da por hecho que alguien ya está dentro y revisa las sesiones abiertas y los dispositivos vinculados de esa cuenta.
4. Si enviaste una transferencia o un Bizum, llama al banco enseguida y di que fue un fraude. Ese tipo de pagos es difícil de recuperar, y lo que se pueda hacer depende de la rapidez con la que el banco se entere.
5. Guarda las pruebas. El correo, la dirección que abrió el enlace, la hora y cualquier justificante. Las denuncias sirven mucho más con eso adjunto.

Y una cosa más: la culpa es de quien montó el correo. Estos mensajes están hechos por gente que se dedica a esto, y funcionan precisamente porque llegan en un momento en que la historia que cuentan encaja.

Fuentes que hemos consultado

Las recomendaciones y las rutas de menú de arriba se comprobaron el 22 de septiembre de 2026 en estas páginas:

• INCIBE: phishing
• INCIBE: autenticación de dos factores
• INCIBE: reporte de fraude y línea de ayuda 017
• Ayuda de Gmail: evitar y denunciar correos de phishing
• Blog de Chromium: el candado sustituido por un icono de ajustes
• Banco de España, Cliente Bancario: cómo realizar una reclamación
• Policía Nacional: denuncia por internet y Guardia Civil: denuncia electrónica

El correo del ejemplo lo hemos escrito nosotros. No reproduce ninguna marca ni ningún dato de contacto real. Este artículo no da ninguna cifra.

Preguntas frecuentes sobre correos falsos