Cómo detectar un correo de phishing, paso a paso
Un correo de phishing bien hecho no tiene errores de ortografía ni logos pixelados. Lo que lo delata está en lugares que casi nadie mira: la dirección real del remitente, a dónde lleva el enlace y qué dicen los encabezados del mensaje. Le mostramos cómo revisar un correo dudoso en un minuto, del chequeo rápido al análisis técnico.
¿Prefiere que lo revisemos nosotros? Diagnóstico gratis, sin claves.
¿Consulta urgente? Escríbanos por WhatsApp al 095 283 123
El chequeo de 30 segundos
Antes de hacer clic en nada, hágase estas cinco preguntas:
¿Lo esperaba?
Una factura, un paquete o un documento compartido que no esperaba merece desconfianza.
¿Quién lo manda de verdad?
No el nombre que aparece, sino la dirección de correo completa.
¿Me apura o me amenaza?
Bloqueos, multas, plazos de horas, «confidencial».
¿Me pide algo sensible?
Una clave, un código, datos de la tarjeta, una transferencia, un cambio de cuenta.
¿A dónde lleva el enlace?
Pase el mouse por encima (o mantenga apretado en el celular) sin hacer clic.
Si alguna respuesta le genera dudas, no actúe desde el correo: entre al servicio escribiendo la dirección a mano o llame a la persona.
Paso 1: mire la dirección real del remitente
El nombre que se ve («Banco Ejemplo», «Soporte Microsoft», el nombre de su jefe) lo elige el que manda el correo. La dirección es lo que importa.
Dominios parecidos
banco-ejemplo-seguridad.com,micros0ft.com(con un cero),empresa.coen lugar deempresa.com.co.Servicios gratuitos
Un «gerente» que escribe desde una cuenta gratuita de Gmail o de Outlook.
Responder a otra dirección
El campo «Responder a» lleva a una casilla distinta de la que envió el correo.
¿Quiere saber qué tiene abierto su sitio?
Lo revisamos desde afuera, sin claves y sin instalar nada. Si no encontramos nada relevante, se lo decimos igual.
Paso 2: revise los enlaces sin hacer clic
- 01
Pase el mouse por encima
En la computadora, la dirección real aparece abajo a la izquierda del navegador o del programa de correo.
- 02
Lea el dominio de derecha a izquierda
En
https://banco.com.verificacion-segura.net/login, el dominio real esverificacion-segura.net, nobanco.com. - 03
Desconfíe de los acortadores y los QR
Un enlace acortado o un código QR esconden el destino. Un banco o un servicio serio no los usa para pedirle que inicie sesión.
- 04
Si ya abrió la página, mire la dirección antes de escribir
El inicio de sesión de Microsoft está en
login.microsoftonline.com; el de Google, enaccounts.google.com. Si la dirección es otra, cierre la página.
Paso 3: cuidado con los adjuntos
Comprimidos (.zip, .rar, .7z) e imágenes de disco (.iso, .img)
Se usan para esconder programas maliciosos de los filtros.
Documentos de Office que piden «habilitar contenido» o «habilitar macros»
Es la forma de ejecutar código en su equipo.
Archivos .html adjuntos
Abren un formulario falso directamente en el navegador.
PDF con un único botón «ver documento»
El PDF en sí no hace nada; el botón lleva a la página falsa.
Paso 4: lea los avisos de Gmail y Outlook
Los programas de correo ya hacen parte del trabajo. Preste atención a:
«Este mensaje parece peligroso»
O banners amarillos y rojos en Gmail.
«Remitente externo»
O «primera vez que recibe un correo de este remitente», si su empresa lo tiene configurado.
Un signo de pregunta en la foto del remitente
(Gmail) o «remitente no verificado» (Outlook): el correo no pasó la autenticación.
Paso 5 (avanzado): mire los encabezados del correo
Los encabezados cuentan de dónde salió realmente el mensaje y si pasó los controles de autenticación del dominio.
- 01
Abra el mensaje original
En Gmail, menú de los tres puntos → «Mostrar original». En Outlook, «Ver» → «Ver detalles del mensaje» o «Propiedades».
- 02
Busque SPF, DKIM y DMARC
Gmail muestra arriba un resumen:
SPF: PASS,DKIM: PASS,DMARC: PASS. En los encabezados, la líneaAuthentication-Resultsdice lo mismo. - 03
Interprete el resultado
Si un correo «del banco» muestra
FAILen DMARC o el dominio que firma no es el del banco, es falso. UnPASSno garantiza que sea legítimo (el atacante puede tener su propio dominio bien configurado), pero unFAILen un correo que dice ser de una empresa conocida es una alarma clara.¿Qué son estos controles y cómo se configuran en su propio dominio? → SPF, DKIM y DMARC explicados
Qué hacer con un correo de phishing
No responda ni haga clic
Responder confirma que la casilla está activa.
Repórtelo
En Gmail, «Denunciar suplantación de identidad»; en Outlook, «Notificar» → «Phishing». Así mejora el filtro para todos.
Avise en la empresa
Si llegó al correo corporativo, probablemente llegó a otros compañeros.
Si es de un proveedor o cliente real
Avísele por teléfono: su cuenta puede estar comprometida.
Si ya hizo clic y escribió una clave
Cámbiela desde otro dispositivo y revise su casilla.
Qué hacer si hackearon su correo
Cómo reducir el phishing que llega a su empresa
Autenticación del dominio propio
Con DMARC en modo de rechazo, nadie puede mandar correos que salgan exactamente de su dominio a sus empleados, clientes o proveedores.
Seguridad del correo corporativoEtiqueta de «externo»
Un aviso automático en los correos que vienen de afuera desarma la mayoría de los fraudes «del jefe».
Segunda clave en todas las casillas
Si alguien cae, el atacante igual no entra.
Ejemplos reales, cada tanto
Mostrarle al equipo los correos que llegaron de verdad es la mejor capacitación.
Ejemplos de phishing
Más contexto en qué es el phishing y en los tipos de phishing.
Servicios relacionados
Preguntas frecuentes
¿Cómo sé si un correo es phishing?
Revise la dirección real del remitente, a dónde lleva el enlace, si le pide algo sensible y si le transmite urgencia. Ante la duda, entre al servicio escribiendo la dirección a mano.
¿Abrir un correo de phishing es peligroso?
Abrirlo en general no; el riesgo está en hacer clic en los enlaces, descargar los adjuntos o responder.
¿Qué significa "DMARC: FAIL" en un correo?
Que el correo no pasó la autenticación del dominio que dice representar. Si dice ser de una empresa conocida, es casi seguro que es falso.
¿Cómo evito el phishing en mi empresa?
Con autenticación del dominio (SPF, DKIM y DMARC), segunda clave en todas las casillas, verificación por teléfono de los pagos y ejemplos reales compartidos con el equipo.
¿Dónde reporto un correo de phishing?
Desde el mismo Gmail u Outlook, con la opción de denunciar phishing, y a quien administra el correo de su empresa.
Más sobre phishing y correo
Qué es el phishing y cómo protege una empresa a su equipo
El phishing es un engaño: un mensaje que se hace pasar por alguien de confianza (un banco, un proveedor, el propio jefe)…
LeerFraude del CEO: la estafa por correo a la administración
"¿Estás en la oficina? Necesito que hagas una transferencia hoy, es confidencial. Después te explico." Un correo así, que parece del dueño…
LeerTipos de phishing: smishing, vishing, spear phishing y más
El phishing empezó como un correo masivo mal escrito que imitaba a un banco. Hoy llega por SMS, WhatsApp, llamadas, códigos QR…
Leer¿Su dominio pasa SPF, DKIM y DMARC?
Lo revisamos desde afuera, sin claves, y le decimos si alguien puede mandar correos en su nombre.
¿Consulta urgente? WhatsApp 095 283 123