¿Cuáles son los indicadores comunes de un intento de phishing?

Actualizado el 4 de abril de 2025.

Los indicadores comunes de un intento de phishing incluyen advertencias de su proveedor de servicios de correo electrónico, saludos genéricos, lenguaje urgente o amenazante, ofertas que parecen demasiado buenas para ser verdad, entre otras. Estas tácticas están diseñadas para manipular y hacer que revele información confidencial. Según IBM, el phishing es el catalizador del 41 % de los ciberataques, ya que conduce a infecciones de malware, suplantaciones de cuentas, fraudes y suplantación de identidad.

Siga leyendo para aprender a detectar intentos de phishing y las formas en que puede protegerse ante estos ataques.

1. Advertencia de su proveedor de servicios de correo electrónico

Dado que el phishing se ha vuelto más común, muchos de los principales proveedores de servicios de correo electrónico, incluido Gmail, ahora cuentan con advertencias integradas sobre correos electrónicos sospechosos que podrían ser intentos de phishing. Cuando su proveedor de servicios de correo electrónico sospecha que un correo electrónico que ha recibido puede ser un intento de phishing, verá un mensaje de advertencia que le informa que el mensaje parece peligroso y le sugiere que lo reporte.

2. Saludos genéricos

Es una señal de alerta importante si recibe un correo electrónico que utiliza saludos genéricos como “Estimado cliente” o “Estimado usuario” para dirigirse a usted. Esto se debe a que la mayoría de los ciberdelincuentes enviarán correos electrónicos de phishing masivos con la esperanza de engañar a la mayor cantidad de personas posible. Un saludo genérico indica que el correo electrónico fue enviado a un grupo grande, ya que no se hizo ningún esfuerzo por personalizarlo. En contraste, las empresas legítimas con las que tiene una cuenta normalmente se dirigirán a usted por su nombre completo, ya que tienen su información personal registrada.

3. Lenguaje urgente o amenazador

Los intentos de phishing a menudo emplean un lenguaje urgente o amenazante para presionar a las víctimas a que actúen rápidamente. Esto se debe a que el cibercriminal quiere que la víctima objetivo actúe lo más rápido posible para que no dude al enviar su información personal.
Por ejemplo, un mensaje de texto de phishing, también conocido como smishing, puede decir algo como: “Actúe ahora o su cuenta será desactivada. Haga clic en el enlace de abajo para actualizar su información de inicio de sesión". Hacer clic en el enlace podría infectar su dispositivo con malware o llevarlo a un sitio web falsificado para robar sus credenciales. Una vez que haya ingresado sus credenciales en el sitio falsificado, los ciberdelincuentes pueden usarlas para comprometer una cuenta legítima. Algunos intentos de phishing pueden incluso amenazar con consecuencias más graves, como decir que usted será arrestado si no paga una cierta cantidad de dinero antes de una fecha límite específica. Aunque estas amenazas son falsas, muchas personas caen en ellas, arriesgándose a pérdidas financieras y robo de identidad.

4. Ofertas que son demasiado buenas para ser ciertas

Si alguna vez recibe un mensaje no solicitado con una oferta que parece demasiado buena para ser verdad, probablemente sea parte de un intento de phishing. Estos mensajes pueden ofrecer ofertas increíbles, premios u oportunidades exclusivas, pero están diseñados para engañarlo a revelar detalles personales o descargar contenido malicioso. Cuando los ciberdelincuentes ejecutan sus intentos de phishing, saben exactamente qué decir para convencerlo de su autoridad y lograr que caiga en sus estafas. Antes de hacer clic en un enlace o comprar algo a partir de mensajes no solicitados, investigue más antes de tomar cualquier acción que pueda perjudicarlo y poner en riesgo sus datos o finanzas.

5. Errores ortográficos y gramaticales

Otro indicador común de un intento de phishing es cuando un mensaje contiene errores ortográficos y gramaticales, especialmente si el correo electrónico afirma ser de una empresa con la que usted tiene una cuenta. Las empresas legítimas suelen tener procesos de revisión estrictos para garantizar que sus correos electrónicos no tengan errores antes de enviarlos a los clientes. Por lo tanto, si nota errores, es mejor no hacer clic en nada en el correo electrónico porque podría ser un intento de phishing. Sin embargo, cada vez es más difícil distinguir entre correos electrónicos legítimos e intentos de phishing porque los ciberdelincuentes han comenzado a utilizar Inteligencia Artificial (IA) para redactar rápidamente correos electrónicos de phishing personalizados que no contienen errores ortográficos ni gramaticales.

6. Enlaces y archivos adjuntos no solicitados

Cuando usted recibe enlaces y archivos adjuntos no solicitados a través de correo electrónico o mensajes de texto, esto puede ser una señal de intento de phishing. Antes de hacer clic en ellos, debe verificar si un enlace es seguro pasando el cursor sobre él y previsualizando la URL para determinar si el enlace coincide con lo que afirma ser. Otra manera sencilla de verificar la seguridad de un enlace es copiándolo y pegándolo en un verificador de URL. Para comprobar que un archivo adjunto no solicitado es seguro, verifique quién es el remitente, evite los archivos adjuntos marcados como spam y utilice software antivirus para escanear los archivos adjuntos.

7. Solicitudes de información personal.

Si le solicitan que proporcione información personal por correo electrónico, mensaje de texto o llamada telefónica, sea cauteloso. Las empresas legítimas, como los bancos o las agencias gubernamentales, no suelen solicitar detalles confidenciales como contraseñas, datos de tarjetas de crédito o números de seguro social, especialmente si usted no inició la conversación. A medida que el phishing ha evolucionado, algunos atacantes incluso falsifican números de teléfono para que parezca que el mensaje proviene de un contacto familiar. Si le piden que “verifique” sus cuentas o que “actualice” sus datos personales, se trata de solicitudes diseñadas para engañarlo y hacerlo compartir información privada que los ciberdelincuentes pueden usar. Si usted recibe una solicitud como esta, verifique su legitimidad contactando directamente a la organización a través de canales oficiales en lugar de responder al mensaje.

8. Discrepancias en direcciones de correo electrónico y nombres de dominio

Otro indicador clave de un intento de phishing es cuando la dirección de correo electrónico o el nombre de dominio del remitente no coincide con la persona o la empresa que afirman ser. Por ejemplo, si recibe un correo electrónico que afirma ser de su banco, pero el nombre de dominio no coincide con el sitio web oficial del banco, esta es una clara señal de phishing. Las empresas legítimas suelen utilizar nombres de dominio oficiales; por lo tanto, si la dirección de correo electrónico difiere del dominio oficial de la empresa, alguien podría estar haciéndose pasar por su banco para robarle dinero o acceder a su información financiera.

Cómo protegerse de los intentos de phishing

Los ciberdelincuentes se están volviendo más astutos a medida que crean ataques cibernéticos más sofisticados, especialmente con la ayuda de la IA. Por este motivo, es cada vez más importante saber cómo protegerse de estos intentos de phishing. A continuación se indican algunas formas de protección.

Utilice contraseñas seguras en sus cuentas

Sus cuentas en línea son valiosas para los ciberdelincuentes porque contienen información de identificación personal (PII), como sus números de tarjeta de crédito, dirección de domicilio y fecha de nacimiento. Para una mayor protección de las cuentas, se utiliza una contraseña segura que contiene al menos 16 caracteres y una combinación de letras mayúsculas y minúsculas, números y símbolos. Crear contraseñas seguras y únicas por usted mismo puede ser complicado, por eso le recomendamos encarecidamente emplear un generador de contraseñas o frases de contraseñas.

Habilite la autenticación multifactor (MFA) en sus cuentas

Sus cuentas no solo deben estar protegidas con contraseñas fuertes, sino que también deben tener la MFA habilitada siempre que sea posible. La MFA es una medida de seguridad que requiere una forma adicional de autenticación antes de que pueda acceder a su cuenta. Cuando está habilitada, la MFA requiere que usted proporcione al menos una forma más de autenticación, que no sea el nombre de usuario y la contraseña. Incluso si usted cae en un intento de phishing y le da sus credenciales a un atacante pero tiene la MFA habilitada, puede evitar que comprometan su cuenta, ya que no pueden verificar su identidad.

Compruebe los enlaces antes de hacer clic en ellos

Si recibe un enlace no solicitado, debe confirmar que es seguro antes de hacer clic en él. Estas son dos maneras de comprobar si un enlace es seguro:

• Pase el cursor sobre el enlace: al hacerlo, se revelará la dirección real del sitio web al que lo dirigirá cuando haga clic en él. Si algo en la dirección del sitio web le parece sospechoso, no haga clic en el enlace, ya que podría desencadenar una infección de malware.

• Utilice el Google Transparency Report: Google Transparency Report es una herramienta gratuita que puede usar para verificar si una URL es segura. Solo copie y pegue el enlace en el informe, el cual le indicará si es seguro hacer clic.

Utilice software antivirus para escanear archivos adjuntos de correo electrónico

El software antivirus es un tipo de programa que usted instala en su dispositivo y que detecta, previene y elimina virus y malware conocidos. Algunos programas antivirus también pueden escanear los archivos adjuntos de correo electrónico que usted recibe. Cuando el software antivirus detecta que un archivo adjunto contiene un virus, lo elimina para evitar que infecte su dispositivo.

No responda a solicitudes de información personal

Nunca debe responder a solicitudes repentinas de información personal. Las compañías con las que tiene cuentas, como su banco, nunca se comunicarán con usted de manera aleatoria para confirmar los detalles de su tarjeta de crédito. La única ocasión en que una empresa solicitará información personal es si usted fue quien inició el contacto.

Comuníquese con la compañía o el individuo a través de otro medio

Siempre que reciba un correo electrónico, un mensaje de texto o una llamada telefónica que le haga cuestionar su legitimidad, póngase en contacto directamente con la persona o empresa a través de otro método de comunicación. Por ejemplo, si recibe un mensaje de texto de alguien que dice ser su jefe, envíele un correo electrónico para confirmar si realmente le envió el mensaje de texto. Si dicen que el mensaje no es de ellos, entonces usted sabe que el mensaje de texto fue un intento de phishing.

Manténgase alerta para identificar intentos de phishing

Caer en una estafa de phishing puede acarrear consecuencias graves, tanto en el ámbito financiero como en el personal. Al saber cómo detectar intentos de phishing, usted puede proteger su información personal y evitar que los cibercriminales accedan a sus datos. El paso más importante para estar protegido contra los intentos de phishing es utilizar contraseñas seguras en sus cuentas en línea. Puede crear, actualizar y almacenar sus contraseñas en un administrador de contraseñas como Keeper®.

Comience su prueba gratuita de 30 días de Keeper Password Manager para asegurar sus cuentas en línea y protegerse de los intentos de phishing.