Durante años el consejo fue fácil: si el correo tiene faltas de ortografía, es falso. Ese consejo ya no sirve. Hoy cualquier estafador redacta con IA un correo impecable, con el logo correcto y tu nombre en el saludo. Lo que no puede falsificar tan fácilmente es el contexto, y ahí es donde hay que mirar.

Ya conté por qué casi todos los ataques a empresas entran por un correo. Esta es la parte práctica: cómo reconocerlo y qué hacer si ya es tarde.

◢¿Qué es un correo de phishing?

Es un correo que se hace pasar por alguien de confianza (tu banco, Correos, Hacienda, un proveedor, tu jefe) para que hagas una de estas tres cosas: pinchar en un enlace que lleva a una web falsa, abrir un archivo que instala algo en tu equipo o darle datos que no deberías: contraseñas, códigos o números de tarjeta. Lo mismo existe por SMS (smishing) y por llamada (vishing), y casi todas las señales sirven para los tres.

◢Las 8 señales de que un correo es phishing

1. ▹El remitente real no cuadra. No te fíes del nombre que aparece, mira la dirección completa. "Correos" puede venir de cualquier sitio. Desconfía de dominios parecidos al bueno, con letras cambiadas, guiones de más o terminaciones raras.
2. ▹Te mete prisa o miedo. Cuenta bloqueada, multa pendiente, paquete retenido, último aviso. La urgencia sirve para que actúes antes de pensar.
3. ▹Te pide algo que esa empresa nunca pide por correo. Tu contraseña, el PIN, el código que te acaba de llegar por SMS o los datos completos de la tarjeta. Tu banco no te los va a pedir así.
4. ▹El enlace no va a donde dice. El texto puede decir una cosa y el enlace llevar a otra. Más abajo explico cómo comprobarlo sin abrirlo.
5. ▹Trae un adjunto que no esperabas. Facturas, albaranes, archivos comprimidos o documentos que te piden "habilitar contenido" para verse bien. Esa última petición es una señal de alarma clara.
6. ▹Hay un cambio de datos de pago. Un proveedor que "ha cambiado de cuenta bancaria" o un jefe que pide una transferencia urgente y discreta. Es el fraude más caro para una empresa.
7. ▹Tú no esperabas ese correo. No has pedido nada a esa tienda, no tienes paquetes pendientes o no conoces el servicio. Si no encaja con lo que estás haciendo, sospecha.
8. ▹Algo no encaja en los detalles. Un saludo genérico, una firma rara o un tono distinto al habitual de esa persona. Es la señal más débil de las ocho, porque los correos bien preparados ya cuidan esto, pero suma.

Una sola señal no siempre significa fraude. Dos o más juntas, sobre todo prisa más petición de datos, son motivo suficiente para no tocar nada.

◢Cómo comprobar un enlace sin abrirlo

En el ordenador, pasa el ratón por encima del enlace sin hacer clic y mira la dirección que aparece en la esquina inferior del navegador o del programa de correo. En el móvil, mantén pulsado el enlace hasta que se muestre la dirección, sin soltar sobre "abrir".

Lo importante es leer bien el dominio: es la parte que va justo antes de la primera barra. En https://tubanco.es.verificacion-clientes.com/acceso, la web real no es la de tu banco, es verificacion-clientes.com. Los estafadores ponen el nombre de la marca al principio precisamente porque mucha gente lee de izquierda a derecha y se queda ahí.

Y la regla que más protege: si un correo te pide entrar en tu cuenta, no uses su enlace. Abre tú la web escribiendo la dirección o entra desde la app oficial. Si el aviso era real, también lo verás ahí.

◢¿Y si parece que lo envía alguien que conozco?

Pasa mucho: cuando roban una cuenta de correo, la usan para escribir a todos sus contactos, que confían en ese remitente. Si un compañero o un proveedor te pide algo fuera de lo normal, sobre todo pagos, contraseñas o abrir un archivo, confírmalo por otro canal. Llámale al número que ya tenías, no al que viene en el correo.

◢He hecho clic en un enlace de phishing: qué hacer

Respira. Lo que más agrava un incidente casi nunca es el clic, sino el tiempo que pasa hasta que alguien hace algo. Según lo que hayas hecho:

◢Cómo protegerte para la próxima vez

◢Si tienes una empresa

El phishing no se para solo con un filtro de correo. Ayuda mucho que la plantilla sepa reconocer estas señales, que exista una forma fácil de avisar de un correo sospechoso y que cualquier cambio de datos bancarios se confirme siempre por teléfono, a un número conocido. Y, sobre todo, que avisar tenga premio y no castigo.

Si quieres que tu equipo lo practique con ejemplos reales de su día a día, es justo lo que trabajo en mi formación de ciberseguridad para empresas.