"¿Este correo es una estafa?" Cómo saberlo en 5 segundos

Recibes un correo de tu banco. Tu cuenta ha sido suspendida. Hay un enlace para verificar tu información de inmediato o enfrentar el cierre permanente. Tu ritmo cardíaco se acelera. Pasas el cursor sobre el enlace, parece correcto. Casi haces clic. Pero algo no cuadra. ¿Es este correo una estafa? Tienes aproximadamente cinco segundos antes de que el miedo y el hábito tomen la decisión por ti.

El phishing es el vector de ciberataque más común del mundo, y el más lucrativo. Lo que lo hace tan efectivo no es la sofisticación técnica sino la precisión psicológica. Los estafadores han refinado el arte de la suplantación, la urgencia y el engaño hasta convertirlo en una ciencia. La buena noticia es que una vez que conoces la lista de verificación de cinco segundos, detectarás la gran mayoría de los correos de estafa antes de que se acerquen a tu información personal.

La verificación de correo de estafa en 5 segundos

Cada correo sospechoso merece la misma evaluación de cinco segundos antes de hacer clic en cualquier cosa. Estas verificaciones, realizadas en orden, identificarán la mayoría de los intentos de phishing:

1. ¿Quién lo envió realmente? Haz clic o pasa el cursor sobre el nombre del remitente para revelar la dirección de correo real. Ignora el nombre visible por completo, puede decir cualquier cosa. Concéntrate en el dominio después del símbolo @. chase-alert@secure-banking-verify.com no es Chase Bank, sin importar qué diga el nombre visible.

2. ¿Está creando urgencia? Palabras como "inmediatamente", "dentro de 24 horas", "suspendido", "acción urgente requerida" o "aviso final" son presión fabricada diseñada para evitar que pienses. Las empresas reales rara vez amenazan con consecuencias catastróficas inmediatas en correos rutinarios.

3. ¿Sabe tu nombre? "Estimado cliente", "Estimado usuario" o "Estimado titular de cuenta" significa que el remitente no sabe quién eres. Tu banco conoce tu nombre. Los estafadores que envían correos masivos no.

4. ¿A dónde van realmente los enlaces? Pasa el cursor sobre cualquier enlace sin hacer clic. La URL que aparece en la parte inferior de tu navegador es donde realmente aterrizarías. Si el texto visible del enlace dice "paypal.com" pero la URL al pasar el cursor muestra otra cosa, eso es un enlace de phishing.

5. ¿Está solicitando información sensible? Ninguna empresa legítima envía correos pidiéndote que respondas con tu contraseña, número de seguro social o detalles completos de tu tarjeta de crédito. Ni los bancos, ni el IRS, ni el soporte técnico.

Suplantación del remitente: el truco del nombre visible

La debilidad más universalmente explotada en el phishing por correo es la brecha entre el nombre visible y la dirección de envío real. Los clientes de correo como Gmail, Outlook y Apple Mail están diseñados para mostrar un nombre visible amigable, "Chase Bank", "Netflix", "Tu equipo de TI", en lugar de la dirección de correo sin procesar. Los estafadores explotan esto configurando su nombre visible con el nombre de cualquier empresa que estén suplantando, mientras envían desde un dominio completamente diferente.

Un correo de phishing podría mostrar "PayPal Security" en el campo del remitente mientras que la dirección real es paypal-alert@mail-verify.xyz. La mayoría de las personas leen el nombre visible y se detienen ahí. La dirección real es donde vive la verdad.

Las organizaciones reales envían desde sus dominios reales. Los correos de Chase vienen de @chase.com. Los correos de PayPal vienen de @paypal.com. Los correos de Amazon vienen de @amazon.com. No hay razones legítimas para que tu banco te envíe un correo desde un dominio de terceros con "banco", "seguro" o "verificar" en el nombre.

La guía completa de detección de correos de phishing cubre toda la gama de técnicas de suplantación en detalle, incluidos los ataques homográficos que usan caracteres visualmente idénticos de diferentes alfabetos.

Urgencia y miedo: cómo los estafadores cortocircuitan tu juicio

Toda la arquitectura de un correo de phishing está diseñada para eludir tu mente racional y activar tu sistema de respuesta a amenazas. Cuando tienes miedo, actúas rápido. Cuando actúas rápido, no verificas. Los estafadores saben esto mejor que la mayoría de los psicólogos.

Los desencadenantes de miedo más comunes en los correos de estafa: suspensión o cancelación de cuenta, acceso no autorizado detectado, acción legal o investigación del IRS pendiente, paquete que no puede entregarse, premio o reembolso a punto de expirar. Cada uno de estos crea un estado emocional específico, miedo, ansiedad, codicia o irritación, que anula la precaución.

La presión de tiempo es artificial. Tu cuenta no se eliminará realmente en 24 horas porque no hayas hecho clic en un enlace de phishing. El IRS no envía correos de "aviso final" con temporizadores de cuenta regresiva. Cuando te sientas presionado, detente. Abre una nueva pestaña del navegador. Contacta a la empresa directamente. La urgencia desaparece en el momento en que verificas a través de un canal independiente.

¿Correo sospechoso con un enlace que quieres verificar? Analiza las URLs antes de hacer clic para confirmar que son seguras.

Enlaces y archivos adjuntos: donde ocurre el daño real

Hacer clic en un enlace de phishing no roba automáticamente tu información, te lleva a un lugar diseñado para recopilarla. El destino es típicamente una réplica casi perfecta de una página de inicio de sesión legítima. Escribes tus credenciales, la página dice "verificación exitosa" y te redirige al sitio real como si nada hubiera pasado. Mientras tanto, tu nombre de usuario y contraseña han sido capturados.

Los ataques más sofisticados usan lo que los investigadores de seguridad llaman un enfoque de "intermediario": la página falsa transmite tus credenciales al sitio real en tiempo real, capturando tu token de sesión y eludiendo la autenticación de dos factores. Inicias sesión con éxito, ves tu cuenta real y nunca sospechas que algo salió mal.

La técnica de pasar el cursor funciona para la mayoría de los clientes de correo de escritorio. En dispositivos móviles, mantén presionado un enlace para ver la URL de destino antes de que se cargue. Si el texto visible del enlace y la URL de destino real no coinciden, especialmente si la URL real contiene cadenas aleatorias, guiones o dominios desconocidos, no hagas clic.

Los códigos QR en correos son un vector de ataque creciente que elude por completo la vista previa de enlaces. La guía sobre estafas con códigos QR explica cómo funcionan estos ataques y por qué se usan cada vez más en campañas de phishing dirigidas a empleados corporativos.

Phishing con IA en 2026: por qué las reglas antiguas ya no funcionan

Durante años, el consejo estándar para detectar correos de phishing incluía verificar la mala gramática, los errores ortográficos y las frases torpes. Ese consejo ahora es peligrosamente desactualizado. Las herramientas de escritura de IA han eliminado estas señales de las campañas de phishing modernas. Los correos de estafa actuales son gramaticalmente impecables, contextualmente coherentes y a menudo indistinguibles de la comunicación corporativa legítima en términos de calidad de escritura.

La IA también ha permitido el spear phishing a escala, ataques altamente personalizados que hacen referencia a tu nombre real, empresa, compras recientes o actividad pública en redes sociales. Un correo de estafa que dice "Hola Sarah, respecto a tu pedido reciente de Amazon #113-7283942" es mucho más convincente que un mensaje genérico de "Estimado cliente valioso". Los estafadores obtienen estos datos de filtraciones de datos, redes sociales y registros públicos.

La clonación de voz ha extendido el phishing más allá del correo electrónico. Las mismas técnicas que hacen convincente el phishing por correo ahora se aplican a las llamadas telefónicas, voces generadas por IA que suenan exactamente como un empleado bancario, representante de soporte técnico o incluso un familiar. Nuestro análisis de estafas de clonación de voz por IA cubre cómo funcionan estos ataques y las defensas que aún son efectivas.

El fraude avanzado con IA es cada vez más difícil de detectar manualmente. Las herramientas de detección automatizada proporcionan una capa crítica adicional de protección.

Qué hacer si ya hiciste clic

Hacer clic en un enlace de phishing no significa que el daño esté hecho. Lo que importa es lo que sucede después. Si hiciste clic pero no ingresaste ninguna información en la página a la que llegaste, cierra la pestaña y ejecuta un análisis de seguridad en tu dispositivo. El riesgo es bajo pero no nulo, algunos kits de exploits pueden intentar instalar malware a través de vulnerabilidades del navegador simplemente al visitar la página.

Si ingresaste un nombre de usuario o contraseña: cambia esa contraseña de inmediato, usando un dispositivo diferente si es posible. Activa la autenticación de dos factores si aún no lo has hecho. Revisa tu cuenta para detectar cualquier actividad no autorizada. Si el correo de phishing suplantó a tu banco y ingresaste credenciales financieras, llama al banco directamente usando el número en el reverso de tu tarjeta, no ningún número proporcionado en el correo.

Si ingresaste tu número de seguro social, número de tarjeta de crédito u otra información de identidad altamente sensible: contacta a las tres agencias de crédito (Equifax, Experian, TransUnion) para colocar una alerta de fraude o congelación de crédito. Presenta un informe con la FTC en reportfraud.ftc.gov. Contacta a tu banco de forma proactiva incluso si no has visto actividad no autorizada.

Reporta el correo de phishing antes de eliminarlo. Los usuarios de Gmail pueden hacer clic en el menú de tres puntos y seleccionar "Reportar phishing". En Outlook, usa el botón "Reportar mensaje". Reenvía los correos de phishing sospechosos a phishing@reportphishing.antiphishing.org y a la empresa que está siendo suplantada (la mayoría de los principales bancos y empresas tecnológicas tienen una dirección dedicada para reportar phishing como phishing@chase.com o spoof@paypal.com).

Guía completa de detección de correos de phishing — Cobertura detallada de todas las técnicas de phishing, incluidos el spear phishing, el whaling y el compromiso de correo empresarial

Smishing: detección de estafas por mensaje de texto — Las mismas tácticas usadas en el phishing por correo ahora atacan los SMS, así es como detectarlas

Estafas de soporte técnico — Cómo los correos y llamadas falsas de soporte de Microsoft y Apple roban dinero a millones cada año