Cómo detectar correos, páginas y mensajes de phishing

El phishing es un tipo de engaño en el que un atacante se hace pasar por una entidad de confianza —un banco, una red social, una empresa conocida o incluso un contacto personal— para lograr que la propia víctima entregue voluntariamente información sensible, como contraseñas, datos de tarjeta o códigos de verificación, o realice una acción que la perjudica, como hacer clic en un enlace malicioso, descargar un archivo o transferir dinero. Es una forma de ingeniería social, lo que significa que no ataca a los sistemas informáticos mediante fallos técnicos, sino a las personas explotando reacciones humanas. Su efectividad se debe precisamente a eso: aprovecha la urgencia para impedir que la persona reflexione, el miedo a perder algo, la confianza en marcas reconocidas, la curiosidad y la codicia. Como no se basa en una vulnerabilidad de software, ningún antivirus lo detiene por completo, y la última línea de defensa termina siendo el criterio de la persona. La buena noticia es que, aprendiendo a reconocer las señales características, se lo identifica correctamente en la gran mayoría de los casos.

Hay varias señales características, y cuantas más aparezcan juntas, mayor es la certeza de que se trata de un engaño. La primera es un remitente que no coincide del todo con el legítimo: una dirección con un dominio parecido pero distinto, con letras cambiadas o agregadas, o un dominio genérico que una empresa seria no usaría, teniendo en cuenta que el nombre visible es fácil de falsificar y hay que mirar la dirección real. La segunda es la urgencia o el miedo exagerados, con frases que presionan a actuar de inmediato, como una supuesta suspensión de la cuenta o un acceso no autorizado. La tercera son los enlaces engañosos, cuyo texto muestra una dirección pero que en realidad apuntan a otra distinta y sospechosa, algo que se revela al pasar el cursor por encima sin hacer clic. La cuarta es el pedido de datos sensibles que las entidades reales nunca solicitan por esos medios. La quinta son los errores de redacción y los saludos impersonales. Y la sexta son las ofertas o amenazas extremas, demasiado buenas o demasiado graves para ser verdad. Estas mismas señales aplican a páginas falsas, mensajes de texto, llamadas y mensajería.

La regla de oro es verificar siempre por un canal independiente y nunca por el que ofrece el propio mensaje sospechoso. En concreto, ante cualquier duda no hay que hacer clic en los enlaces, ni responder, ni proporcionar datos. En su lugar, si el mensaje dice provenir de tu banco o de una plataforma, conviene entrar por tu cuenta al sitio oficial escribiendo la dirección a mano en el navegador o usando la aplicación oficial, en lugar de seguir el enlace del mensaje. Si el mensaje dice venir de una persona conocida y pide dinero o algo urgente, hay que contactarla por un número o canal que ya se tenía de antes, no por el que aparece en el mensaje. El principio de fondo es que los datos de contacto incluidos en un mensaje sospechoso pueden ser del propio atacante, por lo que jamás deben usarse para verificar su autenticidad. Este hábito tan simple desarma la enorme mayoría de los intentos de phishing, porque el engaño depende de que la víctima use el canal que el atacante controla. Con la inteligencia artificial haciendo los engaños cada vez más creíbles, confiar en el método de verificación es más importante que confiar en detectar errores.

Sí, y de forma notable. Tradicionalmente, muchos intentos de phishing se delataban por errores de ortografía, redacción torpe fruto de traducciones automáticas, o voces y textos poco convincentes. La inteligencia artificial generativa ha eliminado buena parte de esas señales: ahora es posible producir correos y mensajes perfectamente redactados y personalizados, clonar la voz de una persona para una llamada fraudulenta, e incluso generar videos falsos convincentes. Esto significa que ya no se puede confiar únicamente en detectar errores o en que algo suene raro para identificar un engaño, porque los engaños modernos pueden ser impecables. La consecuencia práctica es que hay que apoyarse mucho más en el método de verificación por un canal independiente que en la intuición sobre la calidad del mensaje. Medidas concretas que ayudan frente a esta nueva realidad son desconfiar por defecto de cualquier pedido urgente, especialmente si involucra dinero o datos, y acordar de antemano una palabra o pregunta de seguridad con familiares y allegados para confirmar identidades en situaciones sospechosas. La tecnología del engaño avanzó, pero la defensa basada en verificar independientemente sigue siendo eficaz.

Lo más importante es reaccionar rápido para limitar el daño, y hacerlo en orden. El primer paso es cambiar de inmediato la contraseña de la cuenta afectada desde un dispositivo seguro, y también en cualquier otro sitio donde se use esa misma contraseña, ya que un atacante probará esas credenciales en múltiples servicios. El segundo paso es activar el segundo factor de autenticación en esa cuenta si no estaba activo, para que la contraseña por sí sola ya no baste para entrar. El tercero es avisar a la entidad real, como el banco o la plataforma, a través de su canal oficial, porque pueden bloquear accesos sospechosos y vigilar la cuenta. Si se entregaron datos de tarjeta, hay que contactar al banco para frenar o vigilar los cargos y evaluar el reemplazo de la tarjeta. Por último, conviene reportar el intento a la plataforma correspondiente y a las autoridades, para ayudar a que otros no caigan. Un punto igualmente importante es no dejarse paralizar por la vergüenza: el phishing está diseñado por profesionales para engañar, caer no es señal de torpeza, y lo que realmente cuenta es actuar con rapidez y aprender de la señal que se pasó por alto.

La protección duradera combina hábitos, herramientas y una actitud saludable de desconfianza. En cuanto a hábitos, el central es verificar siempre por un canal independiente ante cualquier pedido de datos o acción urgente, y nunca usar los enlaces o teléfonos que vienen en un mensaje sospechoso. En cuanto a herramientas, es fundamental usar contraseñas únicas y fuertes para cada servicio, idealmente con un gestor de contraseñas, de modo que un engaño exitoso comprometa solo una cuenta y no todas; activar el segundo factor de autenticación en las cuentas importantes, que agrega una barrera aunque roben la contraseña; y considerar las passkeys, que son resistentes al phishing por diseño porque no hay una contraseña que se pueda entregar por engaño. En cuanto a la actitud, ayuda desconfiar por defecto de la urgencia, recordar que las entidades reales nunca piden contraseñas ni códigos por correo o mensaje, y mantenerse informado de que los engaños son cada vez más sofisticados gracias a la inteligencia artificial. Complementar todo esto con dispositivos y aplicaciones actualizados y con filtros anti-spam reduce aún más la exposición, aunque la defensa decisiva sigue siendo el criterio de la persona.