Phishing: cómo reconocer el correo que quiere robarte la cuenta

El phishing es un correo que se hace pasar por alguien de confianza —tu banco, tu proveedor, tu propio jefe— para que entregues una contraseña o hagas una transferencia. Funciona porque apura y porque parece legítimo. Reconocerlo es cuestión de saber dónde mirar.

Cinco señales que casi nunca fallan

• Urgencia: «su cuenta será suspendida hoy». La prisa es la herramienta principal del engaño.
• Remitente casi correcto: revisa el dominio completo, no el nombre que muestra. Una letra cambiada o un dominio parecido delata todo.
• Enlace que no coincide: pasa el cursor sobre el botón y mira la dirección real antes de hacer clic.
• Piden datos que nadie pide por correo: ningún banco ni proveedor serio solicita tu contraseña por escrito.
• Adjunto inesperado: facturas o guías que no esperabas, en formatos raros o comprimidos.

El engaño más caro en el Perú

El del cambio de cuenta bancaria: alguien se hace pasar por tu proveedor habitual y avisa que «cambiaron de cuenta» para el próximo pago. La transferencia se va a un tercero. La regla que lo evita es simple y no admite excepciones: todo cambio de cuenta se confirma por teléfono, al número que ya tenías registrado, nunca al que aparece en ese correo.

Si alguien ya hizo clic

1. Cambia la contraseña de esa cuenta de inmediato y cierra las sesiones abiertas.
2. Activa la verificación en dos pasos si no la tenía.
3. Revisa si se crearon reglas de reenvío automático en el buzón: es lo primero que hacen para seguir leyendo el correo.
4. Avisa al equipo, porque el ataque suele repetirse con los demás contactos.
5. Si hubo transferencia, comunica al banco en el acto: las primeras horas son decisivas.

La defensa que no depende de la vista

Configura bien la autenticación de tu dominio para que nadie pueda enviar correos haciéndose pasar por tu empresa; eso protege a tus clientes de recibir falsificaciones a tu nombre. Lo explicamos en SPF, DKIM y DMARC. Y refuerza los accesos con verificación en dos pasos.