Cómo reconocer el phishing: así se interpreta un enlace y un remitente
El phishing es un mensaje que se hace pasar por un remitente de confianza, para que usted haga algo que de otro modo no haría: iniciar sesión en una página falsificada, abrir un archivo adjunto, facilitar un código o realizar un pago. Las faltas de ortografía ya no son una buena señal: con IA, los estafadores escriben en español sin errores. Por eso, fíjese en tres cosas: adónde lleva realmente el enlace, quién es el verdadero remitente y qué le pide el mensaje.
¿Parece que el correo procede de WebOké? Lea entonces ¿Es este correo realmente de WebOké? Cómo reconocer el phishing y usar el código promocional. En los ejemplos siguientes utilizamos nombres inventados que terminan en .example.
Leer un enlace
Coloque el ratón sobre el enlace sin hacer clic: la dirección real aparecerá en la parte inferior de la ventana. En un teléfono, mantenga el enlace pulsado. Solo cuenta esa dirección, no el texto del botón.
- Busque la parte entre
https://y la primera/. Eso es el host: el servidor al que se dirige. Todo lo que va después de la primera/lo elige el propio propietario de ese host. - ¿Hay un
@en esa parte? Entonces el host empieza justo después del@. - Lea el host de derecha a izquierda. El dominio registrable es la extensión más una palabra delante, por ejemplo
mijnbank.example. Ese es el nombre que alguien ha registrado y, por tanto, el propietario. Todo lo que queda a la izquierda son subdominios, que el propietario inventa libremente. Tenga cuidado con extensiones de dos partes, comoco.uk: enwww.shop.voorbeeld.co.ukel dominio registrable esvoorbeeld.co.uk.
| Enlace | Propietario real | ¿Qué está pasando? |
|---|---|---|
https://inlog.mijnbank.example/klant | mijnbank.example | Correcto: un subdominio del propio banco |
https://mijnbank.example.inlog-check.example/login | inlog-check.example | Truco de subdominio: el nombre real está al principio |
https://inlog.example/mijnbank.example/login | inlog.example | Truco de ruta: el nombre está después de la primera / |
https://mijnbank.example@aanvaller.example/ | aanvaller.example | Truco de la @: todo lo que va antes de la @ no cuenta |
https://rnijnbank.example/ | rnijnbank.example | Imitación: rn se parece a m |
https://mijnbank-veilig.example/ | mijnbank-veilig.example | Una palabra de más: un dominio completamente distinto |
https://xn--mijnbnk-6fg.example/ | xn--mijnbnk-6fg.example | Punycode: una letra de otro alfabeto |
Una imitación se parece al dominio real: letras invertidas, una palabra o un guion de más, o una letra de otro alfabeto (una а cirílica parece una a normal). Ese tipo de nombre con caracteres especiales se representa técnicamente como punycode, que empieza por xn--. Si un nombre parece, por lo demás, normal en español, eso resulta sospechoso.
Enlaces acortados, enlaces de redirección y códigos QR
- Un enlace acortado no muestra el destino. Si un banco o proveedor le pide iniciar sesión mediante un enlace de este tipo, no lo haga.
- Un enlace puede empezar en un sitio real y redirigirle después. Tras hacer clic, vuelva a mirar la barra de direcciones antes de rellenar nada.
- Un código QR es un enlace que no se puede leer a simple vista. Deje que la cámara muestre primero la dirección y léala. Tenga cuidado con pegatinas colocadas sobre un código real, por ejemplo en un parquímetro.
- El candado solo indica que la conexión está cifrada. Los sitios falsos también tienen candado.
Leer el remitente
- El nombre no dice nada. Cualquiera puede poner como nombre "Servicio de Atención al Cliente de Mijnbank", el nombre de su director o incluso una dirección de correo. Haga clic o pulse sobre el nombre para ver la dirección real y lea su dominio igual que con un enlace.
- Fíjese en la dirección de respuesta. Con un campo Reply-To, su respuesta se envía a una dirección distinta de la del remitente. Antes de pulsar en Enviar, compruebe a quién va realmente dirigida su respuesta, sobre todo si se trata de dinero o datos.
- Un remitente puede estar falsificado, y un remitente real puede haber sido hackeado. En las cabeceras de un correo puede ver si el dominio realmente envió el mensaje. Pero incluso una comprobación correcta solo demuestra que el correo procede de ese dominio, no que ese dominio sea de confianza. Cómo leer esto se explica en Consultar y leer las cabeceras (headers) de un correo.
SMS, WhatsApp y teléfono
El nombre del remitente o el número de teléfono que aparece en pantalla puede estar falsificado, incluso si el mensaje aparece entre mensajes reales de su banco. Si recibe un mensaje de "un compañero con un número nuevo" que quiere que le pague algo rápidamente, llame al número antiguo y conocido. ¿Le llama alguien en nombre del banco o de un servicio de asistencia y le pide un código, un pago o acceso remoto a su ordenador? Cuelgue y llame usted mismo a un número que ya tuviera. Si recibe un código de acceso o una notificación que no ha solicitado, no apruebe nada y cambie esa contraseña.
Si se trata de una factura o de un número de cuenta modificado, lea Cómo reconocer una factura falsa, un número de cuenta modificado o el fraude del CEO.
¿Tiene dudas? Pare, compruebe, pregunte
- Pare. La prisa, el susto o una recompensa son precisamente el momento de no hacer clic.
- Compruébelo por su propia vía. No continúe a través del mensaje. Escriba usted mismo la dirección o utilice su marcador, y llame a un número que ya tuviera.
- Pregunte a un compañero o al remitente por otro canal.
Denuncie un correo de phishing a Fraudehelpdesk: envíelo preferiblemente como adjunto a valse-email@fraudehelpdesk.nl y añada en copia a la empresa suplantada. Un SMS o un mensaje de WhatsApp se denuncia mediante el formulario de notificación. Véase Denunciar un correo falso.
El NCSC ofrece más ejemplos en ¿Cómo reconozco un correo de phishing?, Phishing por SMS y ¿Cómo reconozco una llamada telefónica falsa?.