Cómo funciona un mensaje de phishing

Módulo 3: Reconocer el phishing · Tiempo de lectura: 11 minutos

Objetivo de aprendizaje: Después de esta lección podrá reconocer los trucos psicológicos y las características fijas de un mensaje de phishing, incluso cuando el texto esté perfectamente escrito, y reaccionará con el reflejo parar, comprobar, preguntar.
Conceptos clave: urgencia, autoridad, miedo, curiosidad, recompensa, pretexto, phishing escrito con IA, el reflejo "parar, comprobar, preguntar"

El phishing es una historia, no una técnica

El phishing es un mensaje que le hace hacer algo que beneficia al remitente y le perjudica a usted: hacer clic en un enlace, iniciar sesión en una página falsificada, abrir un archivo adjunto, realizar un pago o facilitar un código. La técnica detrás suele ser sencilla. Lo que hace el trabajo es la historia.

Esa historia se llama pretexto: un motivo creíble. "Su paquete no se pudo entregar." "Su buzón de correo está lleno." "Tiene una factura pendiente." "Su cuenta será bloqueada." Un buen pretexto encaja con su situación. Una panadería recibe un correo sobre un proveedor de harina, un bufete de abogados sobre una citación judicial, una tienda online sobre un pago bloqueado.

El objetivo es casi siempre uno de estos cuatro:

Con el último tipo, no ocurre nada grave en el momento. "¿Quién gestiona los pagos en su empresa?" parece una pregunta normal. Pero con la respuesta, el atacante puede enviar más adelante un correo mucho más convincente, dirigido precisamente a esa persona. Esto se llama spear phishing (lección 1.2).

Los cinco botones que pulsa el phishing

El phishing funciona porque le hace actuar antes de pensar. Para ello, pulsa algunos botones fijos de nuestra mente. Casi todos los mensajes de phishing usan al menos dos.

1. Urgencia. "En 24 horas", "hoy mismo", "último aviso". La presión de tiempo es el truco más importante, porque así no se toma el tiempo de comprobar.
2. Autoridad. El mensaje aparenta venir de alguien que usted toma en serio: el banco, la Agencia Tributaria, el director, la policía, su proveedor de alojamiento, un abogado.
3. Miedo. Su cuenta será bloqueada, recibirá una multa, sus datos se han filtrado, su dominio caduca, hay un intento de intrusión en su cuenta.
4. Curiosidad. "Vea las fotos del evento", "ha recibido un documento compartido", "tiene un mensaje de voz", "resumen_salarial_2026.pdf".
5. Recompensa. Una devolución, una tarjeta regalo, un premio ganado, una mejora gratuita, un gran pedido de un nuevo cliente.

Tenga en cuenta: estos botones también aparecen en mensajes reales. Una factura real tiene una fecha de vencimiento, un banco real a veces envía una advertencia. Un solo truco no hace que un mensaje sea falso. Se vuelve sospechoso cuando la presión es alta y el mensaje pide algo que normalmente usted no haría así.

Características fijas, independientes del texto

Además de los trucos, los mensajes de phishing tienen algunas características que casi siempre se repiten:

• Una orden de hacer algo ahora (llamada a la acción): un botón, un enlace, un archivo adjunto, un número de teléfono al que llamar.
• Un canal que no encaja. Su banco le pide por correo que inicie sesión, su proveedor le pide por WhatsApp que haga un pago, su compañero le pide por sms tarjetas regalo.
• Una solicitud que no encaja. Facilitar una contraseña o un código de acceso, modificar un IBAN, hacer un pago fuera del procedimiento habitual, instalar software a petición de alguien que llama por teléfono.
• Una anomalía en el remitente o el enlace. La dirección o el enlace no corresponde exactamente con la organización que usted espera. Cómo leer esto con precisión lo aprenderá en las lecciones 3.2 y 3.3.
• Secretismo o elusión del procedimiento. "No se lo diga todavía al resto", "estoy en una reunión, no me llame", "hágalo fuera del sistema habitual".

La última característica es la señal más fuerte en el fraude del director general y en el fraude de facturas: un director real no tiene ningún interés en que usted se salte el control habitual.

Por qué los errores ortográficos ya no son una buena señal

Antes se reconocía el phishing por un español torpe, un saludo extraño y un formato descuidado. Eso ya no funciona. Con modelos de lenguaje (IA), un atacante escribe en pocos segundos un correo impecable y amable en cualquier idioma, con el estilo de la organización que suplanta. El NCSC neerlandés también advierte de que el phishing generado con IA es cada vez más difícil de reconocer: menos errores de lenguaje y páginas de inicio de sesión que parecen cada vez más reales.

Además, el phishing a veces proviene de un buzón de correo real. Si se ha tomado el control del buzón de un proveedor, el atacante simplemente responde dentro de una conversación de correo existente, con la firma, el tono y los mensajes anteriores incluidos. Esto se llama secuestro de hilo (thread hijacking). El remitente, el formato y el idioma son entonces totalmente reales. Solo la solicitud no es correcta: "Tenemos una nueva cuenta bancaria, ¿puede pagar ahí la factura pendiente?"

Por eso no debe fijarse en el aspecto de un mensaje, sino en lo que le pide. El phishing rara vez se reconoce por una sola característica, sino por el conjunto.

El reflejo: parar, comprobar, preguntar

No necesita conocer todos los trucos. Necesita un único reflejo que use cada vez que un mensaje le pida algo.

Parar. ¿Siente prisa, susto, curiosidad o alegría? Ese es precisamente el momento de no hacer clic. Deje el mensaje a un lado por un momento. Las organizaciones reales casi siempre le dan tiempo suficiente para comprobarlo.

Comprobar por su propio camino. No continúe a través del mensaje mismo. No haga clic en el enlace, no llame al número del mensaje y no responda al correo. Vaya usted mismo al sitio a través de su marcador o escribiendo la dirección, o llame a un número que ya tenía (su propia administración, el reverso de su tarjeta bancaria, el sitio oficial). ¿Figura realmente la factura? ¿El paquete está realmente en camino?

Preguntar. Si aún duda, pregunte a un compañero o a la persona que supuestamente lo envía, a través de otro canal. Acuerde con su equipo que tal pregunta nunca sea molesta. Es mejor preguntar diez veces de más que pagar una sola vez de más.

Este reflejo también funciona ante un correo perfecto proveniente de un buzón pirateado. La comprobación por su propio camino evita por completo al atacante, porque este no está en su marcador ni al teléfono de su proveedor.

En la práctica: así se ve

Tres mensajes simulados que recibe Panadería Example (info@example.com) en una sola mañana. Todos los nombres son inventados.

Mensaje 1: el paquete

De: Servicio de Mensajería <service@koeriersdienst-track.example>
Asunto: Entrega fallida: se requiere acción
Estimado cliente, hoy hemos intentado entregar un paquete. La dirección estaba incompleta. Programe una nueva entrega en un plazo de 48 horas y pague los gastos de reenvío de 1,95 euros, de lo contrario el paquete será devuelto al remitente.

Trucos: urgencia (48 horas), miedo (devolución del paquete), un importe pequeño para que no reflexione. El objetivo son los datos de su tarjeta. Comprobación: ¿espera un paquete? Busque el envío a través del sitio web o la aplicación del propio transportista.

Mensaje 2: el proveedor

De: Proveedor de Harina <administracion@proveedor.example>
Asunto: RE: factura 2026-0412
Hola, como hablamos, aquí tiene la factura. Atención: debido a un cambio de banco, a partir de ahora pague en nuestra nueva cuenta bancaria. ¿Podría hacerlo hoy mismo? Así podemos programar la entrega del viernes.

Trucos: autoridad (proveedor conocido, conversación de correo existente), urgencia, recompensa (la entrega). El remitente puede ser real: el buzón del proveedor podría haber sido comprometido. Comprobación: llame al proveedor al número de su propia administración, no al de este correo.

Mensaje 3: el programa de contabilidad

De: Programa de Contabilidad <noreply@boekhoudpakket.example>
Asunto: Su suscripción será suspendida
No pudimos procesar su último pago. Inicie sesión en un plazo de 24 horas para actualizar sus datos de pago, de lo contrario perderá el acceso a su contabilidad.
[Iniciar sesión]

Trucos: miedo, urgencia, autoridad. Si el remitente es correcto, lo averiguará en la lección 3.3; a dónde lleva el botón, en la lección 3.2. Comprobación: abra usted mismo la aplicación o su marcador del programa de contabilidad. Si no aparece ningún aviso allí, el correo es falso.

Resumen

• El phishing funciona mediante una historia (pretexto) adaptada a usted, con el objetivo de obtener credenciales de acceso, dinero, acceso a su dispositivo o información.
• Los cinco botones: urgencia, autoridad, miedo, curiosidad y recompensa. Normalmente son dos o más a la vez.
• Los errores ortográficos ya no son una característica fiable: la IA escribe correos impecables y los buzones pirateados envían mensajes reales.
• Fíjese en lo que un mensaje le pide y por qué canal, no en su aspecto.
• Reflejo: parar, comprobar por su propio camino, preguntar si duda.

Cuestionario

Ejercicio

Ejercicio A3.1: Reconocer trucos. Recibirá seis mensajes simulados. Elija para cada mensaje qué trucos contiene (urgencia, autoridad, miedo, curiosidad, recompensa) y qué debe hacer: tramitarlo con normalidad o comprobarlo primero por su propio camino. El programa corregirá sus respuestas y explicará, para cada mensaje, lo que ha pasado por alto.

Más información

Los pasos de los artículos de WebOké se aplican al entorno de WebOké; en otros proveedores funciona de forma parecida.

• ¿Es realmente este correo de WebOké? Cómo reconocer el phishing y utilizar el código de promoción
• INCIBE, recursos para empresas: https://www.incibe.es/empresas
• Línea de Ayuda en Ciberseguridad de INCIBE (teléfono 017): https://www.incibe.es/linea-de-ayuda-en-ciberseguridad
• Agencia Española de Protección de Datos (AEPD): https://www.aepd.es/