Los correos fraudulentos no siempre contienen errores evidentes. Algunos copian logotipos y tono con precisión. Una defensa más fiable es detener la reacción automática y responder cinco preguntas antes de abrir un enlace o archivo.
1. ¿Esperaba este mensaje?
Una factura de un servicio que no utilizas, una entrega que no recuerdas o un documento compartido sin contexto merece verificación. Que el remitente sea conocido no basta: una cuenta real puede haber sido comprometida.
2. ¿La dirección coincide de verdad?
Mira la dirección completa, no solo el nombre visible. Compara el dominio con mensajes anteriores o con el sitio oficial escrito manualmente. Letras intercambiadas, guiones adicionales y subdominios largos intentan aprovechar una lectura rápida.
3. ¿Me empujan a actuar sin pensar?
“Último aviso”, “tu cuenta será cerrada” y “paga en 30 minutos” buscan reemplazar la comprobación por ansiedad. Una empresa legítima suele ofrecer contexto, historial dentro de su aplicación y canales alternativos.
4. ¿A dónde conduce el enlace?
En una computadora, coloca el cursor encima sin hacer clic y observa la dirección. En móvil, mantén pulsado si el sistema permite previsualizar. Si tienes dudas, no uses el enlace: abre una pestaña nueva, escribe el dominio que ya conoces y revisa las notificaciones desde tu cuenta.
5. ¿Solicita información que la organización ya posee?
Desconfía de formularios que piden contraseña, código de verificación, tarjeta completa o frase de recuperación. Los códigos de un solo uso son llaves: nunca se comparten con una persona que llama o escribe.
Qué hacer si todavía dudas
Contacta a la organización mediante un número o dirección obtenidos de una fuente independiente, como la tarjeta física o la aplicación oficial. No respondas al mismo mensaje para preguntar si es real. Si es un correo laboral, repórtalo por el canal de seguridad establecido.
Si ya hiciste clic
Cierra la página, no descargues nada y cambia la contraseña desde el sitio oficial si la introdujiste. Activa autenticación en dos pasos, revisa sesiones abiertas y avisa al proveedor. Si compartiste datos financieros, contacta de inmediato a la entidad correspondiente.
La pausa de un minuto no es paranoia; es un procedimiento. Los mensajes falsos ganan velocidad. Tú ganas verificando por un canal distinto.
Verifica por un canal independiente
Si el mensaje parece proceder de un banco, proveedor o compañero, no respondas usando los datos incluidos. Abre la aplicación oficial, escribe la dirección conocida o llama a un número guardado previamente. Pregunta por la operación concreta sin reenviar códigos ni capturas que contengan información sensible. Un remitente legítimo entenderá que confirmes una solicitud inesperada.
Inspecciona el destino sin abrirlo
En computadora, coloca el puntero sobre el enlace y lee el dominio completo; en móvil, mantén pulsado para ver la vista previa sin continuar. Fíjate en letras cambiadas, subdominios engañosos y acortadores. No confíes únicamente en el logotipo, el nombre visible o el candado: esos elementos también pueden aparecer en páginas fraudulentas.
Qué hacer si ya interactuaste
- Cierra la página y desconecta una descarga sospechosa.
- Cambia la contraseña desde el sitio oficial si la introdujiste.
- Revoca sesiones y activa un segundo factor resistente.
- Contacta a la entidad si compartiste datos financieros.
- Conserva encabezados y capturas para reportar el intento.
No castigues el error ocultándolo. Actuar pronto reduce el alcance y permite avisar a otras personas que recibieron el mismo mensaje.
Ejemplo: una supuesta alerta bancaria
Recibes un mensaje que afirma que tu cuenta será bloqueada en una hora. El nombre visible coincide con el banco, pero la dirección usa un dominio diferente y el botón conduce a una página abreviada. La urgencia, el dominio y el destino del enlace son tres señales independientes. No necesitas demostrar quién envió el correo para decidir que no debes usar ese botón.
Abre la aplicación oficial del banco o escribe manualmente su dirección conocida. Si allí no aparece ninguna alerta, contacta al soporte mediante el número publicado en la tarjeta o el sitio oficial. Nunca uses el teléfono, enlace o archivo incluido en el mensaje dudoso para verificarlo.
Qué hacer si ya hiciste clic
- Cierra la página sin descargar ni ejecutar archivos.
- Si escribiste una contraseña, cámbiala desde el sitio oficial y cierra otras sesiones.
- Activa la verificación en dos pasos y revisa métodos de recuperación.
- Comprueba movimientos, reglas de reenvío y dispositivos conectados.
- Reporta el mensaje como phishing y avisa a la entidad afectada.
Si entregaste información financiera o códigos de acceso, comunícate de inmediato con la institución. La rapidez importa más que investigar el mensaje por tu cuenta.