Ponte a prueba

¿Detectas el phishing?

Ocho mensajes: unos son fraude y otros son perfectamente normales. Los hemos maquetado tal y como te llegarían al móvil o al correo. Decide uno a uno y, aciertes o falles, te contamos en qué había que fijarse. Se tarda cinco minutos y no hace falta saber nada de informática.

Este test funciona mejor con JavaScript activado, que es lo que lo convierte en un juego. Sin él verás los ocho casos con su respuesta y su explicación, que al final es lo que importa.

Caso 1 de 8

  1. 1

    SMSDe: Correos

    Su envío ES447190235ES está retenido en nuestro centro logístico por una tasa aduanera pendiente de 1,79 €.

    Abone el importe para reprogramar la entrega de hoy:

    Enlace del mensaje:https://correos-redireccion.info/pago

    ¿Es legítimo o es phishing?

    Era phishing

    En qué había que fijarse

    • El dominio de Correos es correos.es, y ya está. Aquí el dominio es correos-redireccion.info: lleva la palabra dentro, pero no es Correos. Cualquiera puede registrar un dominio con la palabra que quiera.
    • La cantidad es pequeña a propósito. 1,79 € no duelen, y por eso no lo piensas dos veces. Lo que buscan no es ese cobro: es el número de tu tarjeta.
    • Te llega justo cuando esperas un paquete. No es puntería: lo mandan a millones de números sabiendo que, en cualquier semana, la mitad de España espera uno.

    Es el fraude por SMS más repetido en España y funciona por volumen puro. Si de verdad esperas un envío, no toques el enlace: entra tú en correos.es o en la app de la tienda y busca el pedido por su número de seguimiento. Tardas lo mismo y no hay forma de que salga mal.

  2. 2

    ¿Es legítimo o es phishing?

    Era legítimo

    En qué había que fijarse

    • Lo acabas de pedir tú. El contexto es media respuesta: un correo que contesta a algo que hiciste hace treinta segundos no se parece en nada a uno que aparece de la nada un martes.
    • El dominio que hay justo antes de la primera barra es accounts.google.com. El de verdad, sin guiones raros y sin colgar de otro sitio.
    • No hay amenaza ni cuenta atrás real. Te dice que, si no has sido tú, no pasa nada y no tienes que hacer nada. El fraude casi siempre necesita que te muevas ya.

    No todo correo que te pide una acción es un fraude, y desconfiar de absolutamente todo cansa tanto que se acaba abandonando. La pregunta útil no es "¿me pide algo?", sino "¿lo he provocado yo, y el dominio es exactamente el que debería ser?".

  3. 3

    ¿Es legítimo o es phishing?

    Era phishing

    En qué había que fijarse

    • Busca la primera barra del enlace y mira lo que tiene pegado a la izquierda: validacion-buzon.xyz. Ese es el dominio de verdad. El microsoft.com que va delante es un subdominio que ellos han escrito a mano, como quien se pone un nombre falso.
    • El remitente tampoco es de Microsoft: m365-soporte.net es un dominio cualquiera registrado por diez euros.
    • La cuenta atrás de 24 horas está puesta exactamente para que no hagas las dos comprobaciones anteriores.

    Este es el truco que más gente pica, y es el único que hay que aprenderse de memoria: en una dirección web manda lo que está pegado a la izquierda de la primera barra. microsoft.com.validacion-buzon.xyz no es Microsoft, igual que "policia.tucasa.com" no es la policía. Aprende a leer las direcciones de derecha a izquierda y te ahorras la mitad de los fraudes.

  4. 4

    WhatsAppDe: +34 612 84 39 07 · Número desconocido

    Hola mamá, soy yo 😊 Se me ha caído el móvil al agua y te escribo desde este número. Guárdalo, que el otro está muerto.

    Tengo un lío: me han bloqueado la app del banco hasta mañana y hoy vence una factura, si no la pago me cae recargo.

    ¿Me puedes hacer tú el Bizum y mañana te lo devuelvo? Son 780 €. Gracias mamá, eres la mejor ❤️

    Sin enlace

    ¿Es legítimo o es phishing?

    Era phishing

    En qué había que fijarse

    • Número nuevo, urgencia y dinero, los tres en el mismo mensaje. Ese combo es la estafa entera; no hace falta buscar más.
    • Cada excusa está puesta para tapar una comprobación: el móvil roto explica por qué no reconoces el número, y el banco bloqueado explica por qué no puede pagarlo él.
    • Nunca hay una llamada, ni un audio. Escriben, porque la voz les delataría al instante.

    Es "el timo del hijo" y se lleva millones al año en España, sobre todo de gente mayor que además se avergüenza después y no lo denuncia. La defensa es de una sencillez casi ofensiva: llama al número de siempre. Si no contesta, pregúntale por escrito algo que solo pueda saber él y que no esté en sus redes.

  5. 5

    ¿Es legítimo o es phishing?

    Era phishing

    En qué había que fijarse

    • Lee el dominio despacio, letra a letra: suministrosdelqado.es. El de tu proveedor se escribe suministrosdelgado.es. Cambia un único carácter en mitad de la palabra, y tu ojo lo corrige solo sin avisarte. Por eso funciona.
    • Un cambio de número de cuenta anunciado por correo es, casi siempre, un fraude. Es la petición más rentable que existe: basta con que cuele una vez.
    • El "RE:" del asunto simula que esto continúa una conversación que en realidad nunca ha existido.

    Se llama fraude del CEO, o BEC, y es lo que más dinero le cuesta a las PYMES españolas, muy por encima del ransomware del que todo el mundo habla. Hay una regla que lo corta en seco y no cuesta nada implantar: ningún cambio de cuenta bancaria se acepta por correo, nunca, sin llamar antes por teléfono al proveedor. Al número que ya tenías, no al que viene en el correo.

  6. 6

    SMSDe: Amazon

    123456 es tu código de verificación de Amazon. No lo compartas con nadie.

    Amazon nunca te pedirá este código por teléfono.

    Sin enlace

    ¿Es legítimo o es phishing?

    Era legítimo

    En qué había que fijarse

    • No trae ningún enlace. Un mensaje que solo te da un número y no te manda a ninguna parte no puede robarte nada por sí mismo.
    • El propio mensaje te avisa de lo único peligroso que puede pasar ahora: que alguien te llame para pedírtelo.
    • Lo has provocado tú al intentar entrar. Y si te llega sin que estuvieras haciendo nada, el SMS sigue siendo real: lo que pasa es que alguien más está probando tu contraseña.

    El mensaje es legítimo, pero es justo el punto donde arranca el otro ataque: alguien llama diciendo que es del servicio y te pide "el código que acabas de recibir". Ese código es la última puerta que te queda cerrada. No se dice en voz alta, no se reenvía y no se teclea en una web a la que hayas llegado desde un enlace. Y si aparece sin haberlo pedido, ve a cambiar la contraseña.

  7. 7

    SMSDe: Correos

    Tu envío 0000123456789 sale hoy a reparto. Puedes seguir su estado en correos.es con ese número.

    Si no estás en casa lo dejaremos en tu oficina más cercana durante 15 días.

    Sin enlace

    ¿Es legítimo o es phishing?

    Era legítimo

    En qué había que fijarse

    • No te pide dinero, ni datos, ni que hagas nada antes de una hora concreta. Solo te informa, y ahí se acaba.
    • Te da el número de seguimiento y te invita a comprobarlo por tu cuenta en el sitio oficial. El fraude prefiere llevarte de la mano hasta donde él quiere.
    • Si hubiera enlace, apuntaría a correos.es. El dominio es, otra vez, donde se cae la careta.

    Este caso y el primero llegan del mismo remitente, por el mismo canal, y muchas veces caen literalmente en el mismo hilo del móvil, uno debajo del otro: el nombre que aparece arriba en un SMS es texto y se puede suplantar sin ninguna dificultad. Por eso no significa nada. Lo que no se puede falsificar es el dominio al que te mandan, así que la única pregunta que sirve siempre es: ¿adónde me está llevando esto exactamente?

  8. 8

    ¿Es legítimo o es phishing?

    Era phishing

    En qué había que fijarse

    • La Agencia Tributaria no anuncia devoluciones por correo ni pide datos bancarios a través de un enlace. Sus notificaciones esperan en la sede electrónica, donde entras tú con certificado o con Cl@ve.
    • El dominio oficial es agenciatributaria.gob.es. Solo las administraciones españolas pueden usar .gob.es; un .com con las palabras correctas dentro lo registra cualquiera en cinco minutos.
    • La cifra con céntimos suena a expediente de verdad. Está elegida así justamente por eso.

    La codicia funciona igual de bien que el miedo, y a veces mejor, porque a nadie le parece sospechoso que le devuelvan dinero. Fíjate en un detalle: el correo no te pide una contraseña, te pide el número de cuenta. Es mucho más fácil de dar, nadie siente que esté entregando nada, y les sobra para lo que viene después.

También puedes responder con las teclas 1 y 2, y pasar al siguiente con Enter.