Phishing: el anzuelo digital

Phishing es una palabra que viene del inglés "fishing" (pescar). Los delincuentes "pescan" a sus víctimas lanzando miles de correos electrónicos falsos con la esperanza de que alguien pique el anzuelo.

El objetivo siempre es el mismo: que introduzcas tus datos personales (contraseñas, números de tarjeta, DNI, etc.) en una página web que parece legítima pero que en realidad es una copia exacta controlada por ellos.

¿Cómo lo detectas sin ser un experto? Aquí tienes 4 señales de alarma que funcionan siempre:

• ① El remitente no coincide: Mira la dirección de correo completa (no solo el nombre). Si pone "Banco Santander" pero el correo es [email protected] → es falso.
• ② Te piden hacer algo urgente: "En 24 horas tu cuenta será bloqueada". Los bancos reales nunca te piden contraseñas por correo ni te exigen actuar en minutos.
• ③ El enlace no es el oficial: Pasa el ratón por encima del botón/enlace (sin pinchar) y mira abajo a la izquierda en tu navegador. Si la URL no es exactamente la de tu banco → no pinches.
• ④ Faltas de ortografía o tono extraño: Los correos falsos suelen tener erratas, frases raras o un lenguaje demasiado formal/extraño. Una entidad profesional cuida su comunicación.

No pasa nada, no eres el primero ni el último. Lo importante es actuar rápido. Sigue estos pasos en orden:

1. Cambia tu contraseña en el servicio afectado (y en cualquier otro donde uses la misma clave).
2. Activa el doble factor (2FA) si no lo tenías. Así, aunque tengan tu contraseña, no podrán entrar sin el código de tu móvil.
3. Contacta con el servicio real (banco, plataforma, etc.) y avisa de lo ocurrido. Ellos tienen procedimientos para protegerte.
4. Revisa tus movimientos bancarios en los próximos días por si hay cargos no reconocidos.
5. Denuncia si ha habido pérdida económica. Guarda el correo falso como prueba.

Y recuerda: las entidades legítimas nunca te van a pedir que les des tu contraseña por teléfono, correo o SMS. Esa es la línea roja.

Para el usuario final, la detección es reactiva. Para el administrador de sistemas, la defensa debe ser proactiva y configurarse en la infraestructura de correo.

El phishing tradicional (el de los formularios estáticos) se puede frenar en un 90% con tres registros DNS bien configurados.

Resumen: Un dominio sin DMARC en modo reject es un dominio vulnerable a la suplantación.

Inspecciona las cabeceras completas del mensaje (en Gmail: "Mostrar original"; en Outlook: "Ver código fuente").

• Return-Path vs From: El Return-Path suele apuntar a un dominio externo no relacionado.
• Received-SPF: Si pone fail o softfail, el servidor emisor no está autorizado.
• DKIM-Signature: Si falta o no pasa la verificación, el correo no está firmado.
• Received: La cadena de servidores. Si el primer salto viene de una IP sospechosa, es phishing.

Si ves esto, no es PayPal. Es un intento de phishing.