Phishing

Resumen

El phishing es una técnica de estafa que usa correos o sitios web falsos que se hacen pasar por servicios legítimos, como bancos, redes sociales o tiendas en línea, para robar a los usuarios sus datos de inicio de sesión o los números de su tarjeta de crédito. El nombre viene de «fishing» (pescar), por la imagen de usar un cebo (el sitio falso) para pescar a la víctima. Según el informe del Consejo contra el Phishing de Japón, en todo 2025 se recibieron desde el país más de 2,45 millones de denuncias de phishing, lo que lo convierte en uno de los ciberdelitos más cercanos.

Las técnicas típicas del phishing

La técnica más representativa son los correos y SMS que se hacen pasar por servicios legítimos. Con textos que meten prisa, como «Se ha detectado un uso no autorizado de tu cuenta», «Es necesario verificar tu identidad» o «Hay un problema con tu pago», te hacen pulsar un enlace a un sitio falso. Los sitios falsos están hechos para parecer idénticos a los auténticos, y si no revisas la URL con atención no se distinguen.

En los últimos años las técnicas se han vuelto más sofisticadas. El typosquatting, que usa cadenas parecidas a un dominio legítimo (por ejemplo, amaz0n.com o g00gle.com); el quishing (QR + phishing), que lleva a sitios falsos mediante códigos QR; el spear phishing, que envía correos muy elaborados a una persona concreta: las variantes no dejan de aumentar.

El phishing al que deben prestar atención los usuarios del buzón de preguntas

Los dueños de buzones de preguntas son un blanco fácil del phishing. Si publicas la URL de tu buzón en redes sociales, esa cuenta de redes sociales también está a la vista de los atacantes. Puede llegarte un correo de phishing que se hace pasar por un «aviso importante del servicio de buzón de preguntas».

Hay 3 puntos para distinguirlos. Primero: si la dirección de correo del remitente es de un dominio legítimo. Segundo: si la URL del enlace es del dominio del servicio legítimo (al pasar el ratón por encima del enlace se muestra la URL real). Tercero: si te piden que escribas tu contraseña o el número de tu tarjeta de crédito. Un servicio legítimo nunca te pide por correo que escribas tu contraseña.

Cómo protegerte del phishing

La medida más eficaz es no pulsar directamente los enlaces de correos y SMS. Si recibes un aviso de que «hay un problema con tu cuenta», no uses el enlace del correo: entra en el sitio legítimo desde los marcadores del navegador o desde un buscador y compruébalo allí. Solo con este hábito puedes evitar gran parte del phishing.

Como medida técnica, es eficaz activar la verificación en dos pasos. Aunque llegues a escribir tu contraseña en un sitio de phishing, si tienes activada la verificación en dos pasos el atacante no podrá iniciar sesión. También es eficaz usar un gestor de contraseñas: como no rellena los datos si el dominio no es el legítimo, evita que los escribas en un sitio falso. Conviene tener siempre activadas también las funciones de detección de phishing del navegador y del software de seguridad.