Phishing: qué es y cómo reconocer un mensaje falso

Qué es el phishing

El nombre viene del inglés fishing, pescar, y la comparación explica bastante bien el método: el estafador lanza un cebo, que es el mensaje, y espera a que alguien pique. INCIBE, el Instituto Nacional de Ciberseguridad, describe ese mismo patrón en su página sobre phishing y repite las señales que aparecen una y otra vez: prisa, una consecuencia si no actúas ya y una petición que llega sin que tú hayas pedido nada.

Lo que buscan son tus contraseñas, los códigos de un solo uso que confirman un acceso, los datos de tu cuenta, el número de la tarjeta y datos personales como el DNI, para usarlos después en otro fraude. Conviene pararse en un punto de esa lista: el código que llega por SMS para confirmar una operación vale tanto como una contraseña, porque ese código es la forma que tiene el servicio de decidir que quien entra eres tú.

El phishing es una forma de ingeniería social, que es el nombre que recibe la conversación y la presión que llevan a una persona a actuar en contra de sus propios intereses. No depende de las faltas de ortografía. Un mensaje falso puede estar bien escrito, incluir datos reales sobre ti y venir con una explicación que se sostiene.

Y es, con diferencia, lo que más se denuncia. Según el Informe sobre la Cibercriminalidad en España 2025, del Ministerio del Interior, el año pasado se registraron 488.426 ciberdelitos, casi nueve de cada diez fraudes informáticos, con 383.285 víctimas.

Señales de aviso

INCIBE y los avisos de la Agencia Tributaria apuntan al mismo puñado de indicios. Desconfía de un mensaje que:

• te pida una contraseña, un código de un solo uso o los datos de tu cuenta o de tu tarjeta;
• diga que tu cuenta o un servicio se va a bloquear o a cancelar de inmediato;
• ofrezca un premio, una devolución o un pago que no esperabas;
• te mande actualizar tus datos con urgencia;
• lleve un enlace acortado, de esos que esconden a dónde van, o una dirección que no es la que esa empresa usa normalmente;
• use un tono alarmante para que contestes rápido.

Las faltas de ortografía también están en la lista, pero un texto bien escrito no demuestra nada. Un mensaje puede copiar el tono y el aspecto de una empresa real y seguir siendo falso, y puede llamarte por tu nombre porque tu nombre es fácil de conseguir. Para leer una dirección antes de abrirla, mira cómo saber si un enlace es seguro.

Las formas más comunes

El correo fue el primer canal, pero la misma idea aparece hoy de varias maneras. Algunas han acabado teniendo nombre propio. Más útil que aprenderse los nombres es reconocer la situación.

• El mensaje masivo: el mismo texto sale hacia miles de personas, del tipo tu cuenta va a ser bloqueada o tienes una devolución pendiente, contando con que una parte de quienes lo reciben tenga de verdad esa cuenta o ese asunto a medias.
• El mensaje escrito para ti: usa tu nombre, tu trabajo, una compra reciente o un viaje que tienes a la vista. A esto se le llama spear phishing, y en lugar de lanzar la red el estafador apunta a una sola persona. Los detalles suelen salir de un directorio de empresa, de un perfil público o de una filtración de datos.
• Por SMS o por teléfono: un SMS fraudulento es smishing y una llamada fraudulenta es vishing. El cuidado es el mismo, aunque cada canal tenga sus historias favoritas.
• Un código QR que lleva a otro sitio: pegado encima del de un parquímetro, en un folleto o dentro de un mensaje, el código abre una página falsa o un pago a un desconocido. Lee la dirección que se abre antes de escribir nada ahí.
• Un anuncio patrocinado falso: aparece arriba del todo en un buscador o dentro de una red social, imitando a una tienda o a un banco. Lee la dirección que muestra el resultado antes de pulsar, no el nombre que va escrito encima.
• Una página clonada: una copia de la web real, en una dirección parecida, que se queda con todo lo que escribas. Mira cómo detectar una web falsa.

La petición dice más que el aspecto

Un mensaje puede llevar un logotipo, un nombre conocido e incluso datos tuyos. Nada de eso demuestra quién lo envió. Fíjate mejor en el momento en que alguien pide una contraseña, el código que acaba de llegarte al móvil, la instalación de un programa, un pago a una cuenta nueva o el acceso a través de un enlace que viene dentro de la propia conversación.

Qué hacer cuando llega un mensaje así

1. No uses el botón, el enlace ni el teléfono que te han mandado. Cierra el mensaje sin contestar.
2. Entra tú al servicio. Usa la aplicación que ya tenías instalada o escribe una dirección que ya conozcas.
3. Busca esa misma situación dentro de tu cuenta. Comprueba si la compra, el cargo, el envío o el aviso de acceso están realmente ahí.
4. Lee quién va a recibir el pago o la información. Si el nombre no encaja con lo que esperabas, no sigas.

Si el mensaje decía venir de la Agencia Tributaria, ella misma avisa en su página sobre phishing de que nunca pide por correo ni por SMS información confidencial, económica o personal, ni números de cuenta o de tarjeta, y recomienda entrar por tu cuenta a su sede electrónica para ver si tienes algo pendiente en lugar de usar el enlace recibido.

Con un SMS o un correo fraudulento, bloquea al remitente, márcalo como spam en la aplicación y avisa a INCIBE con su reporte de fraude, que sirve para que analicen la página o el número. Si prefieres que alguien te oriente antes de tocar nada, el 017 es la línea gratuita y confidencial de ayuda en ciberseguridad de INCIBE, abierta de ocho de la mañana a once de la noche todos los días del año.

Si ya diste información o pagaste

Cierra la página y empieza por lo que pueda hacer más daño. La culpa es de quien montó el fraude, y lo útil ahora es limitar lo que todavía puede pasar.

1. Si enviaste dinero, llama a tu banco cuanto antes. Di que ha sido un fraude, explica cómo pagaste y pregunta qué se puede hacer con ese medio de pago, porque no es lo mismo un cargo en tarjeta que una transferencia que ordenaste tú. El Banco de España explica en su portal del cliente bancario que, ante una transferencia no autorizada, el banco debe reembolsarte de inmediato los fondos, salvo que pruebe que actuaste de manera fraudulenta o que incumpliste de forma deliberada o por negligencia grave tus obligaciones. Cuando la transferencia la ordenaste tú, aunque fuera bajo engaño, la situación es otra: el banco del destinatario no puede devolver el dinero sin el consentimiento de quien lo recibió. Por eso la rapidez importa hoy más que cualquier otra cosa.
2. Si diste los datos de la tarjeta, bloquéala ya. Puedes hacerlo desde la aplicación del banco o llamando al número que viene impreso en la propia tarjeta. El Banco de España recuerda, en su página sobre el uso fraudulento, que desde que lo comunicas el banco se hace cargo de cualquier operación posterior que tú no hayas hecho, y que de las anteriores respondes como mucho hasta 50 euros. Pide también una tarjeta nueva.
3. Cambia la contraseña que escribiste. Hazlo en la aplicación o en la web oficial, y cámbiala también en cualquier otro sitio donde usaras la misma. Activa la verificación en dos pasos, que pide un segundo dato además de la contraseña, como recomienda INCIBE.
4. Si diste un código, entra a la cuenta por el camino oficial. Busca en los ajustes la lista de dispositivos conectados o de sesiones abiertas, cierra las que no reconozcas y avisa a la empresa por un canal que ya usaras antes.
5. Si instalaste un programa porque te lo pidieron, puede ser una herramienta de acceso remoto, de las que permiten a otra persona ver y manejar tu pantalla a distancia. Desconecta ese aparato de internet y usa otro para llamar al banco y cambiar contraseñas.
6. Denuncia y guarda las pruebas. Puedes denunciar en cualquier comisaría o cuartel y también por internet: la Policía Nacional tiene la Oficina Virtual de Denuncias, donde la denuncia hay que ir a firmarla después a la comisaría que elijas y como muy tarde en 72 horas, porque sin esa firma no tiene validez; la Guardia Civil admite la denuncia electrónica por cargos fraudulentos cometidos por medios informáticos, que se firma en el momento con certificado digital y no hay que ratificar después. Guarda el mensaje, la dirección de la página, los justificantes y todos los números de referencia.

Nada de esto dice nada de la persona que contestó. Estos mensajes están escritos para parecerse a los que ya recibes, y llegan una tarde cualquiera, en medio de todo lo demás. Que uno cuele no es un descuido. Es exactamente para lo que está hecho.

Preguntas frecuentes sobre el phishing