Reconocer una solicitud engañosa
El phishing es un intento de suplantar a una persona o entidad confiable para que hagas algo que la beneficia: revelar credenciales o datos, enviar dinero, abrir un archivo o conceder acceso. Puede llegar cuando estás esperando un paquete o una respuesta y aprovechar ese contexto. Reconocer señales ayuda, pero verificar por otra vía es más fiable que decidir por la apariencia.
Objetivos de aprendizaje
- Distinguir phishing, smishing y vishing por su canal.
- Reconocer señales en remitentes, enlaces, adjuntos y solicitudes de acceso.
- Explicar por qué la buena redacción, el diseño y HTTPS no demuestran legitimidad.
Phishing, smishing y vishing
- Phishing: término general para estos engaños, asociado con frecuencia al correo electrónico. También puede aparecer en mensajería y redes sociales.
- Smishing: phishing mediante SMS o mensajes de texto.
- Vishing: engaño mediante voz, por ejemplo una llamada que aparenta provenir de soporte.
El canal cambia, pero la finalidad es similar: inducirte a actuar confiando en una identidad aparente. El número que muestra una llamada o el nombre visible de un contacto también pueden resultar engañosos.
Correos y mensajes fraudulentos
Una alerta de cuenta bloqueada, una entrega pendiente, un premio no solicitado o una factura inesperada pueden ser pretextos. La urgencia, las amenazas y la promesa de una recompensa buscan reducir el tiempo para comprobar la solicitud.
Estas señales no prueban por sí solas el fraude: un aviso legítimo también puede ser urgente. Tampoco necesitas reunir varias señales para detenerte; una solicitud que no puedes verificar merece una pausa. No compartas datos para averiguar si el remitente es legítimo.
Remitentes aparentes, dominios y enlaces
El nombre visible del remitente y su logotipo no garantizan su identidad. Consulta la dirección completa cuando tu aplicación lo permita. Un nombre conocido puede ocultar una dirección ajena, y una cuenta auténtica también puede estar comprometida.
El dominio es parte de la dirección que identifica un sitio. Las diferencias de letras, palabras añadidas o direcciones que no conoces pueden indicar suplantación. El texto visible de un enlace no siempre coincide con su destino; un enlace acortado puede ocultarlo. No lo abras solo para investigarlo ni confíes únicamente en reconocer una palabra de marca.
Si no sabes interpretar una dirección, evita adivinar: abre la aplicación oficial o un marcador que ya conozcas y revisa allí el aviso. En computadora, ver el destino con el cursor puede aportar información sin abrirlo, pero no sustituye la verificación independiente.
Páginas de inicio de sesión falsificadas
Una página puede copiar colores, logos y formularios de un servicio conocido. Si un mensaje te conduce a iniciar sesión para resolver algo inesperado, cierra esa ruta y entra desde la aplicación o dirección conocida. Un gestor que no reconoce el sitio esperado puede aportar una señal, pero ningún indicio visual aislado resuelve la verificación.
No introduzcas contraseñas, códigos temporales ni códigos de recuperación para comprobar si una página funciona. Escribirlos en una página falsa puede exponerlos incluso antes de pulsar un botón de envío.
Archivos adjuntos y permisos sospechosos
Un adjunto inesperado puede presentarse como una factura, una tarea o un comprobante. Antes de abrirlo, confirma con la persona por otro canal que lo envió y que esperabas ese archivo. No habilites macros, instales programas ni concedas permisos porque el documento lo pide.
El nombre del archivo, su icono o que lo envíe un contacto conocido no garantizan seguridad. Si pertenece al trabajo o la escuela, utiliza el procedimiento de revisión de esa organización.
Buena redacción, HTTPS y candados
Un mensaje fraudulento puede estar bien escrito, personalizado y tener un diseño profesional. Los errores de ortografía son una posible pista, no un requisito del phishing. Saber datos sobre ti tampoco demuestra que alguien sea quien dice ser.
HTTPS cifra la conexión con el sitio que estás visitando. Un candado o indicador de conexión segura no acredita que el negocio sea legítimo ni que la solicitud sea honesta: un sitio falso también puede usar HTTPS. Comprueba la identidad y el propósito, además de la conexión.
Ejemplo práctico ficticio
En un caso ficticio, Lucía espera una entrega y recibe un aviso de un pago pendiente. El mensaje está bien redactado y la página muestra HTTPS.
- Reconoce que la coincidencia con una entrega esperada no confirma el origen.
- Evita iniciar sesión o pagar desde el enlace recibido.
- Abre la aplicación conocida de la empresa y consulta el estado; si sigue la duda, usa su canal oficial de atención.
Actividad de reflexión
Piensa en un aviso ficticio de suspensión de cuenta. ¿Qué te pide hacer? ¿Qué detalle sería una señal y qué canal independiente usarías para comprobarlo? No reproduzcas mensajes ni enlaces reales.
La reflexión es personal: no se envía ni se guarda en el sitio. No introduzcas contraseñas, códigos ni datos personales.
Resumen
- El phishing busca provocar una acción aprovechando una identidad aparente.
- Remitentes, dominios y adjuntos aportan señales, pero la ausencia de señales no demuestra seguridad.
- HTTPS y buena redacción no bastan: verifica desde un canal conocido.
Lecturas complementarias
- Qué es el phishing y cómo detectarlo: ejemplos de avisos y señales; usa la verificación de esta lección sin depender de un número mínimo de pistas.
- Compras en línea seguras: criterios para revisar tiendas y comprender los límites del candado.