Cómo detectar un correo de phishing: 10 señales y qué hacer
Por Manuel Marco Sánchez · 9 de noviembre de 2026 · 4 min de lectura
El phishing es la puerta de entrada de la mayoría de ciberataques a pymes. Un solo clic de un empleado puede acabar en una cuenta robada, una transferencia fraudulenta o un ransomware. Esta guía te enseña a reconocerlo en segundos.
¿Qué es el phishing?
El phishing es un fraude en el que el atacante se hace pasar por una entidad de confianza (tu banco, Correos, la Agencia Tributaria, un proveedor o incluso tu jefe) para que hagas algo que le beneficia: introducir tu contraseña en una web falsa, descargar un archivo infectado o pagar una factura a una cuenta que no es la de siempre.
Llega sobre todo por correo electrónico, pero también por SMS (smishing), por WhatsApp o por llamada telefónica (vishing). La técnica es la misma: crear urgencia para que actúes antes de pensar.
Las 10 señales de un correo de phishing
1. El remitente no cuadra
Mira la dirección real, no solo el nombre que aparece. «Banco Santander <avisos@santander-seguridad-clientes.com>» no es tu banco. Los atacantes usan dominios parecidos con letras cambiadas, guiones o terminaciones extrañas.
2. Urgencia o amenaza
«Tu cuenta será bloqueada en 24 horas», «último aviso antes de la sanción», «paquete retenido». La prisa es la herramienta principal del estafador.
3. Te piden datos que ya tienen
Ningún banco ni organismo público te pedirá por correo tu contraseña, el PIN o el código que te llega por SMS.
4. Enlaces que no van donde dicen
Antes de hacer clic, pasa el ratón por encima del enlace (en el móvil, mantén pulsado) y lee la dirección completa. Si el texto dice «agenciatributaria.gob.es» pero el enlace lleva a otro dominio, es fraude.
5. Adjuntos inesperados
Facturas, albaranes o «documentos escaneados» que no esperabas, sobre todo en formatos comprimidos (.zip, .rar), documentos de Office que piden «habilitar contenido» o archivos .html. Son la forma clásica de instalar malware.
6. Saludo genérico
«Estimado cliente» en lugar de tu nombre. No es una prueba definitiva, pero suma.
7. Cambio de cuenta bancaria
Un proveedor habitual te avisa de que «ha cambiado de banco» y te pide pagar la próxima factura a un IBAN nuevo. Es el fraude que más dinero cuesta a las pymes. Confirma siempre por teléfono, con un número que ya tuvieras, nunca con el que viene en el correo.
8. El «fraude del CEO»
Un correo que parece de dirección pide una transferencia urgente y confidencial, o la compra de tarjetas regalo. Suele llegar cuando el directivo está de viaje o fuera de la oficina.
9. Errores y formato raro
Faltas de ortografía, traducciones extrañas o logotipos pixelados. Ojo: con la inteligencia artificial, cada vez hay más phishing bien redactado, así que no confíes solo en esta señal.
10. Algo no encaja con tu situación
Un paquete que no has pedido, una devolución de Hacienda que no esperabas o un premio de un sorteo en el que no participaste. Si no tiene sentido para ti, desconfía.
Ejemplos habituales en España
- Suplantación de bancos: «Hemos detectado un acceso inusual, verifica tu identidad».
- Paquetería: SMS de Correos o de empresas de mensajería pidiendo un pequeño pago por «gastos de aduana».
- Agencia Tributaria y DGT: supuestas devoluciones o multas pendientes con un enlace para «consultar el expediente».
- Proveedores y clientes: respuestas dentro de conversaciones reales (porque la cuenta del proveedor fue hackeada) con una factura adjunta.
- Microsoft 365 o Google: «Tu buzón está lleno» o «tienes documentos compartidos pendientes» que llevan a una página de inicio de sesión falsa.
¿Qué hacer si ya has hecho clic?
- Si has introducido una contraseña: cámbiala ahora mismo desde otro dispositivo y activa la verificación en dos pasos. Si usabas la misma contraseña en otros servicios, cámbiala también allí.
- Si has descargado o abierto un archivo: desconecta el equipo de la red (cable y Wi-Fi) y no lo apagues. Avisa a quien gestione la informática.
- Si has dado datos bancarios o pagado: llama inmediatamente a tu banco para intentar bloquear la operación.
- Revisa tu correo: comprueba si se han creado reglas de reenvío automático que no conoces. Es un truco habitual de los atacantes para seguir leyendo tu correo.
- Pide ayuda: la línea de ayuda en ciberseguridad de INCIBE es el 017 y es gratuita. Y si es una empresa, puedes contactar conmigo para la respuesta al incidente.
Cómo proteger a tu empresa del phishing
- Configura SPF, DKIM y DMARC en tu dominio para que nadie pueda enviar correos haciéndose pasar por tu empresa.
- Activa la verificación en dos pasos en el correo y en todas las cuentas importantes.
- Forma a tu equipo con ejemplos reales. Una sesión práctica de una hora reduce mucho los clics peligrosos.
- Establece un protocolo para pagos: cualquier cambio de cuenta bancaria se confirma por teléfono, sin excepciones.
- Usa un filtro antispam bien configurado en el correo corporativo.
Preguntas frecuentes
¿Qué es el phishing?
Es un fraude en el que alguien se hace pasar por una entidad de confianza, como un banco o un proveedor, para robarte contraseñas, datos bancarios o dinero, normalmente mediante un correo, un SMS o un mensaje con un enlace o un archivo.
¿Qué hago si he hecho clic en un enlace de phishing?
Si has introducido una contraseña, cámbiala desde otro dispositivo y activa la verificación en dos pasos. Si has descargado un archivo, desconecta el equipo de la red sin apagarlo. Si has dado datos bancarios, llama a tu banco. Puedes pedir ayuda gratuita en el 017 de INCIBE.
¿Cómo sé si un correo es de mi banco de verdad?
Comprueba la dirección real del remitente, no hagas clic en los enlaces y entra en tu banco escribiendo tú la dirección o desde su app oficial. Ningún banco te pedirá tu contraseña ni códigos por correo.
¿Has hecho clic en un enlace sospechoso? Te ayudo a contenerlo
Más información →
Manuel Marco Sánchez
Arquitecto de ciberseguridad con más de 15 años de experiencia en hacking ético, redes, blockchain e IA. Ponente en el Congreso Internacional Blockchain (CIBTC).