¿Sabrías reconocer un correo falso? No siempre hay faltas de ortografía

Estás trabajando y te llega un aviso: alguien ha compartido un documento contigo. Tiene sentido, porque llevas toda la mañana intercambiando archivos.

El mensaje está bien escrito y reconoces el nombre del remitente. Pulsas para abrirlo y una página te pide iniciar sesión. Hasta aquí, nada raro. La duda es si acabas de abrir un documento o de entrar en una web que está esperando a que escribas tu contraseña.

Cuando hablamos de phishing solemos pensar en mensajes que se ven venir desde lejos. Pero el que encaja con lo que estás haciendo merece tanta atención como el que empieza con «ESTIMADO GANADOR».

Para distinguirlos hay que mirar debajo de la apariencia: quién lo envía, qué te pide y cómo comprobarlo sin fiarte del propio mensaje.

Qué es el phishing, sin darle demasiadas vueltas

Es un engaño que utiliza mensajes para hacerse pasar por una persona o entidad de confianza y conseguir que hagas algo: entregar una contraseña, facilitar datos de una tarjeta, abrir un archivo o autorizar un pago.

Cuando llega por SMS también lo verás llamado smishing. El nombre cambia; la pregunta es la misma: quién te está pidiendo esto y cómo puedes comprobarlo. INCIBE explica estas técnicas de suplantación.

Da igual cómo se llame cada variante: todas buscan que hagas algo concreto.

La buena ortografía no es una garantía

Durante años hemos repetido que había que buscar traducciones extrañas, faltas de ortografía y frases que no escribiría nadie.

Siguen siendo motivos para sospechar. El problema aparece cuando damos la vuelta al razonamiento: «Como está bien escrito, será auténtico».

Un estafador también puede redactar bien, copiar una comunicación real o utilizar herramientas para mejorar el texto. El FBI advierte del uso de IA generativa para hacer más convincentes los mensajes fraudulentos.

Lo mismo ocurre con el logo y la firma. Ayudan a que reconozcas una marca, pero copiarlos no requiere permiso de esa marca.

En CyberShibaSec preferimos empezar por lo que el mensaje quiere que hagas.

«Pero el correo ha pasado todas las comprobaciones»

Si alguna vez has abierto los detalles de un correo, quizá hayas visto SPF, DKIM y DMARC acompañados de un resultado «pass». Son controles útiles, pero no certifican que el contenido sea honesto.

Para entendernos, simplificando un poco:

• SPF comprueba si el servidor que envía está autorizado para el dominio usado en el envío técnico, que puede ser distinto del remitente visible.
• DKIM verifica una firma del dominio firmante y la integridad de las partes del mensaje cubiertas por ella.
• DMARC exige que pase SPF o DKIM y que el dominio correspondiente esté alineado con el del remitente visible. También permite indicar cómo tratar los fallos y recibir informes.

Estas comprobaciones ayudan a frenar la suplantación de dominios. Google explica sus requisitos de autenticación y alineación.

El problema es que un atacante puede registrar un dominio parecido al de una empresa y configurar correctamente su correo. Los controles validarán ese dominio, aunque tú lo hayas confundido con otro. O puede enviar desde una cuenta real comprometida: el mensaje sale por la infraestructura habitual, pero quien lo utiliza tiene otra intención.

Que un correo esté autenticado no demuestra que la petición sea legítima. Como recuerda Google en su ayuda sobre autenticación, los emisores de correo no deseado también pueden autenticar sus mensajes. Hay que seguir revisando la identidad, el contexto y la acción solicitada.

Antes de actuar, mira estas tres cosas

1. Qué te está pidiendo

Puede ser leer algo, meter tu contraseña, compartir un código, descargar un archivo o mover dinero. Cuanto más delicado sea lo que te pide, más motivos para comprobarlo antes.

Fíjate en cómo intenta convencerte: una amenaza de bloqueo, una oportunidad que caduca o alguien que necesita un favor urgente. Son señales para parar, pero un mensaje sin prisas también puede ser falso.

El NIST recomienda prestar especial atención a los mensajes que solicitan iniciar sesión, descargar archivos, transferir fondos o entregar información sensible.

2. Adónde te quiere llevar

El texto visible de un enlace puede decir una cosa y abrir otra dirección. En un ordenador, pasa el cursor por encima sin pulsar y normalmente verás el destino.

Y dentro de esa dirección importa el dominio, no que aparezca el nombre de una empresa en algún sitio.

Un ejemplo ficticio:

acceso.empresa.example y empresa.acceso-ajeno.example no pertenecen al mismo dominio.

En el segundo, «empresa» está colocado delante de acceso-ajeno.example. Que un nombre resulte familiar no significa que controle esa dirección.

Si la URL es confusa, está acortada o no sabes interpretarla, no tienes que resolver el acertijo abriéndola. Puedes comprobar la solicitud por otra vía. INCIBE recomienda revisar el destino de los enlaces antes de acceder.

Y si la dirección empieza por HTTPS, eso indica que la conexión está cifrada; no que la página pertenezca a la empresa que dice ser. Una web fraudulenta también puede tener un certificado válido. La FTC advierte de que el cifrado no garantiza la legitimidad de un sitio. Puedes estar entregando una contraseña al estafador a través de una conexión perfectamente cifrada.

3. Si puedes comprobarlo fuera del mensaje

Es la parte más útil.

Si el aviso dice que hay un problema con una cuenta, abre tú la aplicación oficial o utiliza un acceso que ya conozcas. Si parece venir de un compañero, pregúntale por el canal que usáis habitualmente.

Responder «¿eres tú?» al mismo correo sospechoso no es una comprobación independiente.

En el artículo sobre cambios de cuenta bancaria de proveedores explicamos este mismo principio aplicado a los pagos: la verificación debe apoyarse en un contacto conocido, no en los datos que acaba de facilitar la solicitud.

El contexto ayuda, pero no decide por ti

Esperar un documento hace que un aviso de documento compartido resulte creíble. Eso explica por qué podrías abrirlo; todavía no demuestra quién lo envía.

El contexto es una pista que debes combinar con las demás. Lo mismo ocurre con la dirección del remitente: revísala, pero recuerda que una cuenta auténtica puede estar comprometida. INCIBE describe la falsificación del remitente entre las técnicas utilizadas en phishing.

Esto no significa que tengas que desconfiar de cada mensaje y llamar por teléfono veinte veces al día. Significa que una petición de contraseña, un pago o un cambio importante merece algo más que «parece normal».

Si sospechas o has caído, avisa cuanto antes

Si un mensaje te parece sospechoso, comunícalo por el canal que tenga establecido tu empresa. No hace falta estar completamente seguro para pedir que lo revisen.

Y si ya has pulsado, introducido una contraseña o abierto un archivo, cuenta exactamente qué ha pasado. Cada situación necesita una respuesta distinta.

Cuanto antes llegue el aviso, más fácil será ver qué ha pasado y arreglar lo que haya causado. Un correo reportado sirve para encontrar mensajes similares en otros buzones, advertir a más personas y bloquear enlaces o remitentes maliciosos. Si se han entregado credenciales o ejecutado un archivo, avisar pronto da más margen para cambiar accesos, revisar la actividad y contener el incidente antes de que avance.

Esperar a ver si pasa algo solo sirve para perder ese margen.

La investigación tampoco termina al identificar el enlace. Según lo ocurrido, el equipo puede necesitar revisar los inicios de sesión y las sesiones abiertas, los permisos concedidos a aplicaciones (por ejemplo, mediante OAuth, que permite dar acceso a una cuenta sin entregar su contraseña), el dispositivo y los registros de conexiones. Los registros de DNS y del proxy, si están disponibles, pueden ayudar a reconstruir qué sitios se contactaron. También hay que determinar si el incidente alcanzó a otras cuentas o personas.

No tienes que hacer esas comprobaciones por tu cuenta ni volver a abrir el enlace para investigar. Lo útil es explicar si introdujiste datos, aprobaste permisos o descargaste algo, para que el equipo sepa por dónde empezar.

Si no sabes qué información dar, empieza por lo sencillo: qué mensaje recibiste, cuándo, qué hiciste y qué ocurrió después. Conserva el original y sigue las instrucciones del equipo de IT o seguridad.

Y cuenta mucho cómo responde la empresa. Si cada aviso acaba en una bronca, la próxima persona puede pensárselo dos veces antes de hablar.

Las pruebas de phishing no deberían servir para pillar a nadie

Las simulaciones que realizan las empresas deberían servir para concienciar, practicar y mejorar la respuesta, no para señalar a quien tuvo un mal día.

Una prueba bien planteada permite descubrir qué mensajes resultan convincentes, qué señales cuesta reconocer y si el equipo sabe cómo pedir ayuda. Y a veces destapa fallos del propio procedimiento: el botón para reportar está escondido, nadie sabe a quién avisar o las instrucciones son poco claras.

Contar cuántas personas han pulsado solo enseña una parte del resultado. Importa igual saber cuántas han reportado el mensaje, cuánto se ha tardado en revisarlo y qué se puede mejorar después.

Lo que más enseña es lo que pasa después. Enviar un correo trampa y limitarse a decir «has caído» no sirve de mucho; repasar las pistas y practicar cómo verificar la solicitud, sí.

Un ejercicio para practicar

Con esa idea hemos preparado el minijuego de phishing de CyberShibaSec: ocho casos didácticos de correo, SMS y WhatsApp, con mensajes legítimos y fraudulentos. Se tarda unos cinco minutos y cada respuesta incluye una explicación.

Los ejemplos están simplificados para enseñar; acertarlos todos no te hace inmune. Lo que cuenta es entender las pistas y reconocer cuándo falta información para decidir. En una situación real, detenerse y verificar la solicitud es una buena respuesta.