Cómo funciona un mensaje de phishing

Módulo 3: Reconocer el phishing · Tiempo de lectura: 11 minutos

Objetivo de aprendizaje: Después de esta lección podrá reconocer los trucos psicológicos y las características fijas de un mensaje de phishing, incluso cuando el texto no tenga errores, y reaccionará con el reflejo de parar, comprobar, preguntar.
Conceptos clave: urgencia, autoridad, miedo, curiosidad, recompensa, pretexto, phishing escrito con IA, el reflejo "parar, comprobar, preguntar"

El phishing es una historia, no una técnica

El phishing es un mensaje que le hace hacer algo que beneficia al remitente y perjudica a usted: hacer clic en un enlace, iniciar sesión en una página falsificada, abrir un archivo adjunto, realizar un pago o facilitar un código. La técnica detrás suele ser sencilla. Lo que hace el trabajo es la historia.

Esa historia se llama pretexto: un motivo creíble. "Su paquete no pudo entregarse." "Su buzón de correo está lleno." "Tiene una factura pendiente." "Su cuenta será bloqueada." Un buen pretexto se adapta a su situación. Una panadería recibe un correo sobre un proveedor de harina, un despacho de abogados sobre una citación judicial, una tienda online sobre un pago bloqueado.

El objetivo es casi siempre uno de estos cuatro:

En el último caso, no ocurre nada grave en el momento. "¿Quién se encarga de los pagos en su empresa?" parece una pregunta normal. Pero con la respuesta, el atacante puede enviar más adelante un correo mucho más convincente, dirigido a esa persona en concreto. Esto se llama spear phishing (lección 1.2).

Los cinco botones sobre los que presiona el phishing

El phishing funciona porque le hace actuar antes de pensar. Para ello presiona sobre algunos botones fijos de nuestra mente. Casi todos los mensajes de phishing utilizan al menos dos.

1. Urgencia. "En 24 horas", "hoy mismo", "último aviso". La presión de tiempo es el truco más importante, porque le impide dedicar tiempo a comprobar.
2. Autoridad. El mensaje aparenta venir de alguien que usted se toma en serio: el banco, la Agencia Tributaria, el director, la policía, su proveedor de alojamiento, un abogado.
3. Miedo. Su cuenta será bloqueada, recibirá una multa, sus datos han sido filtrados, su dominio caduca, hay un acceso no autorizado a su cuenta.
4. Curiosidad. "Vea las fotos del evento", "ha recibido un documento compartido", "tiene un mensaje de voz", "resumen_nomina_2026.pdf".
5. Recompensa. Un reembolso, un vale de regalo, un premio ganado, una actualización gratuita, un gran pedido de un nuevo cliente.

Tenga en cuenta que estos botones también aparecen en mensajes reales. Una factura real tiene una fecha de vencimiento, un banco real a veces envía un aviso. Por tanto, un solo truco no convierte un mensaje en falso. Se vuelve sospechoso cuando la presión es alta y el mensaje pide algo que usted normalmente no haría así.

Características fijas, al margen del texto

Además de los trucos, los mensajes de phishing tienen algunas características que casi siempre se repiten:

• Una orden de actuar ahora mismo (llamada a la acción): un botón, un enlace, un archivo adjunto, un número de teléfono al que llamar.
• Un canal que no encaja. Su banco le pide por correo que inicie sesión, su proveedor le pide por WhatsApp que realice un pago, su compañero le pide por SMS vales de regalo.
• Una petición que no encaja. Facilitar una contraseña o un código de acceso, modificar un IBAN, realizar un pago fuera del procedimiento habitual, instalar software a petición de quien llama.
• Una desviación en el remitente o el enlace. La dirección o el enlace no coincide exactamente con la organización que usted espera. Cómo leer esto con precisión lo aprenderá en las lecciones 3.2 y 3.3.
• Petición de confidencialidad o de saltarse el procedimiento. "No se lo digas todavía al resto", "estoy en una reunión, no me llames", "hazlo al margen del sistema habitual".

Esta última característica es la señal más fuerte en el fraude del CEO y el fraude de facturas: a un director real no le interesa que usted se salte el control habitual.

Por qué los errores ortográficos ya no son una buena señal

Antes, el phishing se reconocía por un español torpe, un saludo extraño y un diseño descuidado. Eso ya no funciona. Con modelos de lenguaje (IA), un atacante escribe en pocos segundos un correo sin errores, amable, en cualquier idioma, con el estilo de la organización que suplanta. El INCIBE (Instituto Nacional de Ciberseguridad) también advierte de que el phishing generado con IA es cada vez más difícil de reconocer: menos errores de idioma y páginas de inicio de sesión cada vez más realistas.

A esto se suma que el phishing a veces procede de un buzón de correo real. Si se ha tomado el control del buzón de un proveedor, el atacante simplemente responde dentro de una conversación de correo ya existente, con la firma, el tono y los mensajes anteriores incluidos. Esto se llama secuestro de hilo de conversación (thread hijacking). El remitente, el formato y el idioma son entonces todos auténticos. Solo la petición no encaja: "Tenemos una nueva cuenta bancaria, ¿puede pagar la factura pendiente en esa cuenta?"

Por eso no debe fijarse en cómo se ve un mensaje, sino en qué le pide. Raramente se reconoce el phishing por una sola característica, sino por el conjunto.

El reflejo: parar, comprobar, preguntar

No necesita conocer todos los trucos. Necesita un único reflejo que utilice siempre que un mensaje le pida algo.

Pare. ¿Siente prisa, susto, curiosidad o alegría? Ese es precisamente el momento de no hacer clic. Deje el mensaje a un lado un momento. Las organizaciones reales casi siempre le dan tiempo suficiente para comprobarlo.

Compruebe por su propio camino. No continúe a través del propio mensaje. No haga clic en el enlace, no llame al número que aparece en el mensaje y no responda al correo. Vaya usted mismo al sitio a través de su marcador o escribiendo la dirección, o llame a un número que ya tenía (su propia administración, el reverso de su tarjeta bancaria, el sitio oficial). ¿Existe realmente esa factura? ¿El paquete va realmente en camino?

Pregunte. Si todavía tiene dudas, pregúnteselo a un compañero o a la persona que supuestamente lo envía, por otro canal. Acuerde con su equipo que ese tipo de pregunta nunca resulta molesta. Mejor preguntar diez veces de más que pagar una sola vez de más.

Este reflejo también funciona ante un correo perfecto procedente de un buzón hackeado. La comprobación por su propio camino evita por completo al atacante, porque este no está en su marcador ni al teléfono de su proveedor.

En la práctica: así se ve

Tres mensajes simulados que recibe Panadería Example (info@example.com) en una sola mañana. Todos los nombres son inventados.

Mensaje 1: el paquete

De: Servicio de mensajería <service@koeriersdienst-track.example>
Asunto: Entrega fallida: se requiere acción
Estimado cliente, hoy hemos intentado entregarle un paquete. La dirección estaba incompleta. Programe una nueva entrega en un plazo de 48 horas y pague los gastos de reenvío de 1,95 euros, de lo contrario el paquete será devuelto al remitente.

Trucos: urgencia (48 horas), miedo (devolución del paquete), un importe pequeño para que no se detenga a pensar. El objetivo son los datos de su tarjeta. Comprobación: ¿espera usted un paquete? Busque el envío a través del sitio web o la aplicación del propio transportista.

Mensaje 2: el proveedor

De: Proveedor de Harina <administracion@proveedor.example>
Asunto: RE: factura 2026-0412
Hola, como habíamos hablado, aquí tiene la factura. Atención: debido a un cambio de banco, a partir de ahora pague en nuestro nuevo número de cuenta. ¿Podría hacerlo hoy mismo? Así podremos programar la entrega del viernes.

Trucos: autoridad (proveedor conocido, conversación de correo ya existente), urgencia, recompensa (la entrega). El remitente puede ser auténtico: es posible que el buzón del proveedor haya sido tomado por un atacante. Comprobación: llame al proveedor al número que figura en su propia administración, no al que aparece en este correo.

Mensaje 3: el programa de contabilidad

De: Programa de Contabilidad <noreply@boekhoudpakket.example>
Asunto: Su suscripción será suspendida
No hemos podido procesar su último pago. Inicie sesión en un plazo de 24 horas para actualizar sus datos de pago, de lo contrario perderá el acceso a su administración.
[Iniciar sesión]

Trucos: miedo, urgencia, autoridad. Si el remitente es correcto lo aprenderá en la lección 3.3; a dónde lleva el botón, en la lección 3.2. Comprobación: abra usted mismo la aplicación o su marcador del programa de contabilidad. Si no aparece ningún aviso allí, el correo es falso.

Resumen

• El phishing funciona mediante una historia (pretexto) adaptada a usted, con el objetivo de obtener credenciales de acceso, dinero, acceso a su dispositivo o información.
• Los cinco botones: urgencia, autoridad, miedo, curiosidad y recompensa. Normalmente se combinan dos o más a la vez.
• Los errores ortográficos ya no son una característica fiable: la IA escribe correos sin errores y los buzones hackeados envían mensajes auténticos.
• Fíjese en lo que le pide un mensaje y por qué canal, no en su apariencia.
• Reflejo: pare, compruebe por su propio camino, pregunte si tiene dudas.

Cuestionario

Ejercicio

Ejercicio A3.1: Reconocer trucos. Recibirá seis mensajes simulados. Elija para cada mensaje qué trucos contiene (urgencia, autoridad, miedo, curiosidad, recompensa) y qué debe hacer: gestionarlo sin más, o comprobarlo antes por su propio camino. El programa corrige sus respuestas y explica, para cada mensaje, qué ha pasado por alto.

Para saber más

Los pasos de los artículos de WebOké son válidos para el entorno de WebOké; en otros proveedores el funcionamiento es similar.

• ¿Es realmente este correo de WebOké? Cómo reconocer el phishing y utilizar el código de promoción
• INCIBE, cómo reconocer un correo de phishing: https://www.incibe.es/empresas
• INCIBE, información sobre el phishing: https://www.incibe.es/
• Línea de Ayuda en Ciberseguridad de INCIBE, para notificar fraudes y phishing: https://www.incibe.es/linea-de-ayuda-en-ciberseguridad