Cómo detectar un enlace de phishing antes de abrirlo

Para detectar un enlace de phishing antes de abrirlo, mira el dominio real (lo que va justo antes de la primera barra), desconfía de los mensajes que meten prisa y comprueba a dónde lleva un enlace acortado antes de pulsarlo. Ninguna señal es definitiva por sí sola, pero juntas te dan muchas oportunidades de pararte a tiempo. Y si compartes enlaces con tus clientes o seguidores, estas mismas pistas te ayudan a que los tuyos no parezcan sospechosos.

En resumen:

• El texto de un enlace puede decir cualquier cosa: lo que manda es la dirección real.
• El dueño de la web es el dominio que va justo antes de la terminación (.com, .es, .mx), no lo que aparece al principio.
• El candado de HTTPS solo indica que la conexión está cifrada, no que la web sea legítima.
• Antes de abrir un enlace acortado, usa la vista previa del acortador si la tiene.
• Si ya hiciste clic y escribiste datos, cambia la contraseña y avisa a tu banco por sus canales oficiales.

Lee el dominio real, no el texto del enlace

En un correo o en una web, el texto azul que pulsas y la dirección a la que lleva pueden ser completamente distintos. Antes de hacer clic:

• En el ordenador, pasa el ratón por encima del enlace sin pulsar y mira la dirección que aparece en la esquina inferior del navegador o del programa de correo.
• En el móvil, mantén pulsado el enlace: la mayoría de aplicaciones muestran la dirección completa y te dejan copiarla sin abrirla.

Después, localiza el dominio que manda. Lee la dirección hasta la primera barra después de https:// y quédate con la parte que está justo antes de la terminación. Con un banco inventado, «mibanco»:

Dirección	¿De quién es?
soporte.mibanco.com/acceso	De mibanco.com
mibanco.com.verificar-cuenta.net/acceso	De verificar-cuenta.net
mibanco-seguridad.com	De mibanco-seguridad.com, no de mibanco.com
verificar.net/mibanco.com	De verificar.net

El truco de la segunda fila es de los más comunes: poner el nombre de una marca al principio para que, en una pantalla estrecha, solo se vea esa parte.

Trucos habituales en direcciones falsas

• Letras que se parecen: «rn» en lugar de «m», un cero en lugar de una «o», una «l» en lugar de una «i» mayúscula. También existen caracteres de otros alfabetos casi idénticos a los latinos; a veces el navegador los muestra como una dirección que empieza por xn--.
• Palabras que tranquilizan: seguro, verificación, soporte, acceso o login añadidas al nombre de la marca.
• La misma marca con otra terminación: si siempre entras en una dirección .com y el enlace termina en otra cosa, para.
• Una arroba en medio: en https://mibanco.com@otro-sitio.net, todo lo que va antes de la arroba se ignora y el navegador va a otro-sitio.net.
• El candado como argumento: cualquier web puede tener HTTPS gratis. El candado significa que nadie lee lo que envías por el camino, no que el destinatario sea quien dice ser.

Enlaces acortados: compruébalos antes de abrirlos

Los acortadores son herramientas legítimas que usan marcas, medios y creadores a diario. Si quieres saber más sobre cómo funcionan, aquí tienes una guía sobre acortadores de enlaces. Su inconveniente es evidente: el enlace corto no dice a dónde lleva.

Por eso muchos acortadores ofrecen una forma de ver el destino antes de abrirlo. En linko basta con añadir un + al final del enlace, por ejemplo /oferta+: se abre una página que muestra la dirección de destino, avisa si el enlace reparte las visitas entre varios destinos y permite denunciarlo si parece sospechoso. Si el enlace está protegido con contraseña, la vista previa lo indica sin revelar el destino.

Si el acortador que tienes delante no ofrece vista previa y el mensaje te genera dudas, no lo abras: pregunta al remitente por otro canal o entra tú mismo en la web oficial escribiendo la dirección.

Señales en el mensaje, no solo en el enlace

El phishing funciona porque juega con las emociones. Desconfía cuando el mensaje:

• Te mete prisa: «tu cuenta se bloqueará en 24 horas».
• Te pide pagar una cantidad pequeña para liberar un paquete que no esperabas.
• Te anuncia un premio, un reembolso o una factura que no reconoces.
• Te pide un código que acabas de recibir por SMS. Ninguna empresa seria te lo pedirá.
• Llega de un contacto conocido, pero con un tono o una petición que no encajan con esa persona.

Antes de pulsar, hazte cuatro preguntas: ¿lo esperaba?, ¿me meten prisa?, ¿me piden datos o dinero?, ¿el dominio es el de siempre? Con que una respuesta te haga dudar, entra por tu cuenta en la app o en la web oficial.

Códigos QR: el phishing que no ves venir

Un código QR es un enlace que no puedes leer a simple vista. Hay estafas que pegan pegatinas con un QR falso encima del original en parquímetros, mesas de restaurante o carteles, y correos que incluyen un QR para esquivar los filtros de enlaces.

La defensa es la misma: cuando escaneas, la cámara del móvil muestra la dirección antes de abrirla. Léela con la misma atención que la de un correo. Y si tras escanear un QR en la calle te aparece una página de pago, desconfía y paga desde la app oficial del servicio.

Si compartes enlaces, que no parezcan phishing

Si tienes un negocio o una comunidad, tus seguidores también aplican estas reglas a tus enlaces. Ponles fácil confiar:

• Usa alias que se entiendan, como /rebajas-invierno, en lugar de una cadena de letras al azar.
• Sé constante: comparte siempre desde el mismo dominio corto y menciónalo en tu bio o en tu web.
• Di qué hay al otro lado: «Este enlace te lleva a nuestra tienda para ver la colección».
• No pidas contraseñas ni datos bancarios a través de enlaces enviados por mensaje.
• En impresos, escribe el enlace corto debajo del QR, para que se pueda comprobar y teclear. Tienes más ideas en estos consejos para imprimir códigos QR.

Además, cada destino que se guarda en linko pasa una comprobación: solo se aceptan direcciones http o https, sin usuario ni contraseña incrustados, sin direcciones internas y fuera de una lista de dominios bloqueados. Los enlaces que incumplen las normas se desactivan. Si quieres enlaces cortos con alias propios, puedes crear una cuenta gratis.

Si ya hiciste clic: qué hacer ahora

1. No escribas nada más. Cierra la pestaña y no descargues ni abras archivos de esa página.
2. Si escribiste una contraseña, cámbiala entrando tú en la web real, y también en cualquier otro servicio donde usaras la misma. Activa la verificación en dos pasos.
3. Si diste datos bancarios, llama a tu banco al número oficial que aparece en tu tarjeta o en su app.
4. Si descargaste algo, no lo abras y analiza el dispositivo con un antivirus actualizado.
5. Denuncia el enlace en la plataforma donde lo recibiste y, si quieres, ante el organismo de ciberseguridad de tu país.

Preguntas frecuentes

¿Un enlace con candado (HTTPS) es seguro?

No necesariamente. El candado indica que la conexión está cifrada, pero cualquier web puede tenerlo, incluidas las fraudulentas. Lo que de verdad importa es el dominio.

¿Los enlaces acortados son peligrosos?

No por sí mismos: son una herramienta habitual y legítima. El riesgo es que ocultan el destino, así que conviene usar la vista previa del acortador o confirmar con el remitente antes de abrir uno que no esperabas.

¿Cómo veo a dónde lleva un enlace en el móvil sin abrirlo?

Mantén pulsado el enlace: la mayoría de aplicaciones muestran la dirección completa y te dejan copiarla. Si es un enlace corto de linko, añade un + al final para ver su destino.

¿Qué hago si un contacto conocido me envía un enlace extraño?

Pregúntale por otro canal, por ejemplo con una llamada, si de verdad te lo ha enviado. Las cuentas robadas se usan a menudo para enviar enlaces fraudulentos a los contactos de la víctima.

¿Abrir un enlace de phishing es peligroso aunque no escriba nada?

El riesgo es mucho menor que si introduces datos o descargas un archivo, que es lo que buscan la mayoría de estos ataques. Aun así, mantén el navegador y el sistema actualizados y cierra la página cuanto antes.