Phishing: cómo reconocer y evitar los ataques
Cada día se envían 3 400 millones de correos de phishing en todo el mundo. Detrás de estos mensajes se esconden técnicas de manipulación cada vez más sofisticadas. Entender cómo funcionan es la mejor forma de protegerse.
¿Qué es el phishing y por qué funciona?
El phishing es una técnica de fraude que consiste en hacerse pasar por una entidad de confianza (banco, servicio de mensajería, organismo oficial) para robar información personal. Su eficacia se basa en un principio simple: la apariencia de legitimidad.
Un correo de phishing reproduce los logotipos, los colores y el tono de un mensaje oficial. El usuario se fía del aspecto visual para juzgar la fiabilidad del mensaje, y es precisamente ese hábito el que explotan los atacantes. Ya sea por correo electrónico, SMS o incluso correo postal, el mecanismo es el mismo: crear una apariencia creíble para provocar una acción irreflexiva.
¿Cómo crean los atacantes una sensación de urgencia?
Los mensajes de phishing utilizan la presión psicológica para cortocircuitar el juicio y empujar a actuar rápido, antes de cualquier reflexión. El objetivo es provocar una reacción emocional en lugar de un análisis racional.
Los pretextos más habituales siguen un patrón recurrente:
- "Se ha detectado actividad sospechosa en su cuenta, cambie su contraseña de inmediato"
- "Problema de pago, su suscripción va a ser cancelada"
- "Paquete en espera, gastos de aduana a abonar en menos de 24 h"
- "Alerta de seguridad en su tarjeta bancaria"
Cada mensaje contiene un enlace o un botón que lleva a un sitio falso, visualmente idéntico al real. Es en ese sitio donde la víctima introduce sus credenciales, creyendo que se está conectando al servicio legítimo.
¿Cómo reconocer un nombre de dominio falso?
El método más fiable para identificar un sitio de phishing es leer atentamente la URL, y en particular el nombre de dominio. Los atacantes utilizan varias técnicas de camuflaje para engañar a la vista.
Tomemos example.com como dominio legítimo:
- Abuso de subdominio:
example.another-dangerous-site.cam— aquí el dominio real esanother-dangerous-site.cam, noexample - Guion engañoso:
example-secure-login.cam— un dominio completamente distinto que incluye el nombre de la marca - TLD diferente:
example.siteen lugar deexample.com - Typosquatting:
examplle.com— una letra duplicada, fácil de pasar por alto en una lectura rápida
La regla a recordar: el dominio real es lo que aparece justo antes del TLD (.com, .es, .org). Todo lo que está a la izquierda de un punto adicional es un subdominio que cualquiera puede crear.
¿Se puede verificar la autenticidad de un correo electrónico?
Sí, pero no confiando únicamente en la apariencia. Los filtros antispam detectan una parte de los correos fraudulentos gracias a mecanismos técnicos como SPF y DKIM, que verifican que un correo haya sido enviado desde un servidor autorizado para el dominio mostrado.
SPF (Sender Policy Framework) enumera los servidores autorizados a enviar correos para un dominio. DKIM (DomainKeys Identified Mail) añade una firma criptográfica verificable por el destinatario. Esta información es visible en las cabeceras técnicas del mensaje.
Sin embargo, estos mecanismos tienen una limitación importante: demuestran el origen técnico del dominio, no la identidad real del remitente. Un atacante puede configurar un SPF y un DKIM perfectamente válidos en un dominio como support-securite-amazon.com. Es técnicamente correcto, pero humanamente engañoso.
¿Por qué el phishing por SMS es aún más peligroso?
El smishing (phishing por SMS) aprovecha las características del móvil para esquivar los reflejos de vigilancia. El SMS suele percibirse como más fiable que un correo electrónico, cuando en realidad las protecciones son menos eficaces.
Varios factores hacen que el SMS sea especialmente arriesgado:
- Los filtros antispam son menos efectivos que en el correo electrónico
- La interfaz móvil no muestra la URL completa antes de hacer clic
- El número del remitente puede sustituirse por un nombre alfanumérico (
LaPoste,Ameli) fácil de suplantar - La URL en el navegador móvil suele aparecer truncada
- El mensaje fraudulento puede insertarse en el mismo hilo de conversación que mensajes legítimos del mismo remitente
Los pretextos son similares a los del phishing por correo: paquete en espera, alerta bancaria, reembolso pendiente, notificación administrativa.
¿En qué medida protege un gestor de contraseñas contra el phishing?
Un gestor de contraseñas compara la URL real del sitio con la registrada para cada credencial. Si el dominio no coincide exactamente, no ofrece rellenar los campos. Es una protección pasiva que no exige ningún esfuerzo al usuario.
Donde el ojo humano puede confundir example.com con examplle.com, el gestor de contraseñas realiza una comparación estricta, carácter por carácter. No es susceptible a los trucos visuales de camuflaje de dominio. Esta verificación automática constituye una red de seguridad cotidiana: si el gestor no le ofrece sus credenciales en un sitio, es una señal de alerta inmediata.
¿Por qué el 2FA no es suficiente contra el phishing?
La autenticación de dos factores (2FA) es una mejora real de seguridad, pero no protege contra los ataques de phishing automatizados en tiempo real. En un escenario denominado AiTM (Adversary-in-the-Middle), el atacante intercepta y reenvía cada etapa del proceso de inicio de sesión.
El proceso es el siguiente: la víctima introduce sus credenciales en el sitio falso. El sitio pirata las transmite de inmediato al sitio real, que envía un código 2FA. La víctima introduce ese código en el sitio falso, que lo reenvía a su vez. El atacante queda conectado con un código válido, en tiempo real.
El 2FA sigue siendo eficaz contra los ataques diferidos — una base de contraseñas robadas se vuelve inutilizable si el 2FA está activo —. Pero contra un proxy en tiempo real, el código de un solo uso es interceptado antes de que expire.
¿Protegen las passkeys contra el phishing?
Sí. A diferencia del binomio contraseña + código 2FA, una passkey está vinculada criptográficamente al dominio exacto para el que fue creada. En un sitio pirata, aunque sea visualmente idéntico, la passkey sencillamente no se activa.
No hay nada que interceptar ni nada que reproducir: la autenticación se basa en un intercambio criptográfico entre el dispositivo del usuario y el servidor legítimo. Incluso un proxy AiTM en tiempo real no puede sortear esta protección. Las passkeys representan la respuesta estructural al phishing, al eliminar el eslabón débil — el secreto compartido que el usuario puede transmitir involuntariamente.
¿Hay que mentir en las preguntas de seguridad?
Las preguntas de seguridad ("¿Cómo se llama tu mascota?", "¿En qué ciudad naciste?") suelen ser información semipública. Un atacante con acceso a tus redes sociales, a una filtración de datos, o que simplemente te conozca vagamente, puede responderlas en tu nombre.
Nada obliga a responder con la verdad. "¿Cuál es tu animal favorito?" puede recibir como respuesta "el planeta Marte". Lo importante es poder recuperar esa respuesta falsa — un gestor de contraseñas es el lugar natural para almacenarla, al igual que una contraseña.
Lo que hay que recordar
- El phishing se basa en la apariencia de legitimidad y en la sensación de urgencia: tomarse un momento antes de hacer clic es el primer reflejo que hay que adoptar
- La URL es el único indicador fiable: aprenda a leer el nombre de dominio real, especialmente en el móvil
- Un gestor de contraseñas verifica la URL en su lugar y no se deja engañar por los dominios falsos
- El 2FA protege contra los ataques diferidos, pero no contra el phishing en tiempo real
- Las passkeys son la única protección estructural que hace que el phishing sea técnicamente imposible
- Mienta en las preguntas de seguridad y guarde sus respuestas falsas en un gestor de contraseñas
Más allá de los buenos hábitos individuales, la protección de sus datos también depende de la plataforma que elija. Descubra nuestro enfoque de la seguridad y la soberanía.