Cómo detectar un correo o SMS de phishing en España: 4 señales y qué hacer si has hecho clic

Cada día llegan a los móviles españoles miles de correos y mensajes que intentan robar contraseñas, datos bancarios o códigos de verificación. Se hacen pasar por tu banco, por Correos, por la Agencia Tributaria o por una tienda conocida, y cada vez se parecen más a los mensajes reales. La buena noticia es que casi todos comparten las mismas señales de alerta. Si aprendes a reconocerlas, podrás detectar la mayoría de los intentos de phishing en segundos, antes de hacer clic.

Esta guía reúne las señales más frecuentes en España y explica qué hacer si ya has pulsado un enlace sospechoso o has compartido algún dato. No necesitas conocimientos técnicos: basta con mirar con calma antes de actuar.

Señal 1: el remitente y el enlace no cuadran

Lo primero es mirar quién te escribe de verdad, no el nombre que aparece. Un correo puede mostrar “Banco Santander” como nombre, pero si abres los detalles del remitente, la dirección puede ser algo como atencion-cliente@banco-seguro-online.com. Los bancos y las administraciones españolas escriben desde sus dominios oficiales, no desde direcciones parecidas o con palabras añadidas.

Antes de pulsar un enlace, mantén el dedo sobre él o pasa el cursor por encima para ver la dirección real a la que apunta. Un texto que dice “www.tubanco.es” puede esconder una dirección totalmente distinta, con letras cambiadas o un dominio raro. Fíjate en detalles como tubanco-seguridad.com o direcciones con guiones y palabras como verificar, seguridad o soporte.

Señal 2: te meten prisa o te asustan

“Tu cuenta se bloqueará en 24 horas”, “Hemos detectado un acceso sospechoso”, “Tu pedido será devuelto si no confirmas ahora”. La urgencia es la herramienta favorita de los estafadores, porque una persona con prisa no piensa con calma. Los mensajes legítimos de bancos y administraciones no te exigen actuar en minutos ni te amenazan con perder tu dinero o tu cuenta si no respondes de inmediato.

Si un mensaje te pone nervioso, haz justo lo contrario de lo que pide: para, respira y comprueba la información por tu cuenta. Entra en la app oficial de tu banco o escribe la dirección web tú mismo en el navegador. Nunca uses el enlace del mensaje.

Señal 3: te piden datos, dinero o códigos

Ningún banco, ninguna administración y ninguna empresa seria te pedirá por correo o SMS tu contraseña completa, el PIN de tu tarjeta, un código que te acaba de llegar por SMS o una foto de tu DNI. Tampoco te pedirá que transfieras dinero para “desbloquear” una cuenta o que pagues una multa a través de un enlace.

Los códigos de un solo uso que recibes por SMS son como las llaves de tu casa: si se los das a otra persona, esa persona puede entrar en tus cuentas. Si un mensaje te pide un código, una contraseña o los datos de tu tarjeta, es casi seguro que es phishing. Borra el mensaje y, si tienes dudas, llama al número oficial de la entidad.

Señal 4: un archivo adjunto o una oferta que no esperabas

Los archivos adjuntos son otra vía clásica de ataque. Un correo que simula ser una factura, un aviso de Correos o un documento de la Agencia Tributaria puede llevar un archivo que, al abrirlo, instala un programa malicioso en tu móvil o en tu ordenador. Desconfía sobre todo de archivos con extensiones como .zip o .exe, y de documentos que te piden activar macros al abrirlos. Como regla general, no abras ningún adjunto que no esperabas.

Lo mismo vale para las ofertas inesperadas: “Has ganado un iPhone”, “Te devolvemos 300 euros de la declaración”, “Tu paquete está retenido, paga 1,99 euros para liberarlo”. La Agencia Tributaria no devuelve dinero por SMS, Correos no cobra 1,99 euros por liberar un paquete a través de un enlace, y ningún sorteo te avisa de que has ganado algo en lo que no participaste. Ante una oferta sorprendente, pregunta siempre por qué te ha tocado a ti. Si no hay una respuesta clara, es un fraude.

Qué hacer si ya has hecho clic o has compartido datos

Si has pulsado un enlace sospechoso pero no has introducido ningún dato, lo más probable es que no haya pasado nada grave. Cierra la página y no descargues ningún archivo. Como precaución, pasa un análisis de seguridad con el antivirus de tu móvil.

Si has introducido tu contraseña o los datos de tu tarjeta, actúa rápido. Cambia la contraseña desde la app o la web oficial, no desde el enlace del mensaje. Revisa los movimientos de tu cuenta y, si ves algún cargo que no reconoces, llama a tu banco para bloquear la tarjeta. Si compartiste un código de verificación, avisa también a la entidad. Y si descargaste un archivo, elimínalo y analiza el dispositivo con un antivirus actualizado.

Cómo denunciar el phishing en España

Denunciar ayuda a que otros no caigan en la misma trampa. Puedes reenviar el correo sospechoso a la dirección de abuso de la entidad suplantada, que suele estar publicada en su web oficial, y marcar el mensaje como phishing en tu correo para que el filtro aprenda.

Si has perdido dinero o has compartido datos sensibles, denuncia ante la Policía Nacional o la Guardia Civil, y guarda capturas del mensaje y de la página falsa. También puedes llamar gratis a la línea 017 de INCIBE, el servicio de ayuda en ciberseguridad, para recibir orientación sobre los pasos que debes seguir en tu caso concreto.

Frequently Asked Questions

¿Cómo puedo saber si un SMS de mi banco es real?

Tu banco nunca te pedirá por SMS tu contraseña, tu PIN o un código de verificación, ni te enviará un enlace para desbloquear tu cuenta. Ante la duda, no pulses el enlace: abre la app oficial del banco o llama a su número de atención al cliente.

¿Qué hago si he introducido mi contraseña en una página falsa?

Cámbiala de inmediato desde la web o la app oficial, nunca desde el enlace del mensaje. Si usabas esa misma contraseña en otros servicios, cámbiala también en todos ellos. Revisa los movimientos de tus cuentas y activa la verificación en dos pasos.

¿La Agencia Tributaria o Correos piden pagos por SMS o correo?

No. La Agencia Tributaria no comunica devoluciones por SMS ni pide datos bancarios por correo, y Correos no cobra pequeñas cantidades por liberar paquetes a través de enlaces. Si recibes un mensaje así, es phishing: no pagues nada y comprueba tu envío o tu declaración en la web oficial.