🎣 Anatomía de un correo fraudulento: que la urgencia no decida por ti

PARA ENTENDER EL ESQUEMA

Sobre esta infografía

Un correo llega a tu bandeja de entrada. Parece importante: habla de una cuenta bloqueada, una factura pendiente o un problema de seguridad. Incluye un botón para solucionarlo y una advertencia: tienes que actuar cuanto antes.

Ese mensaje intenta provocar una reacción muy concreta: que pulses antes de comprobar.

En esta nueva infografía de Infograph desmonto un correo ficticio para mostrar ocho pistas que conviene revisar. Una forma visual de entender cómo funciona el phishing y qué podemos hacer para evitar caer en el engaño.

Ocho pistas que merece la pena mirar

1. El nombre del remitente puede ser un disfraz.
Que aparezca «Soporte», «Administración» o el nombre de una persona conocida no demuestra quién envía el mensaje. Despliega los datos del remitente y revisa la dirección completa, especialmente el dominio situado después de la arroba.

2. La respuesta puede ir a otro sitio.
Algunos mensajes muestran una dirección de envío y otra diferente en el campo «Responder a». Esto puede tener una explicación legítima, pero también puede desviar la conversación hacia el atacante.

3. La urgencia busca reducir tus comprobaciones.
«Último aviso», «tu cuenta se bloqueará» o «tienes 30 minutos» son mensajes diseñados para que el miedo marque el ritmo. Si un correo te exige actuar inmediatamente, dedica unos segundos a verificarlo por otro canal.

4. El saludo aporta contexto, pero no garantiza nada.
Un «Estimado cliente» puede levantar sospechas. Sin embargo, que el mensaje incluya tu nombre, tu empresa o tu cargo tampoco lo convierte en auténtico.

5. Las contraseñas y los códigos son una señal de alarma.
Desconfía de un correo que te conduce a introducir una contraseña o un código de verificación en una página inesperada. Un código de un solo uso puede permitir autorizar un acceso o una operación.

6. El botón no cuenta toda la historia.
«Recuperar acceso» o «Ver documento» son solamente textos. El destino real del enlace puede ser otro. En un ordenador puedes inspeccionarlo situando el puntero encima, sin pulsar. Ante la duda, abre directamente la aplicación oficial o utiliza una dirección que ya conozcas.

7. Los adjuntos inesperados necesitan contexto.
Un archivo ZIP no es malicioso por definición. La pregunta es si lo esperabas, si tiene sentido y si puedes confirmar quién lo ha enviado. Incluso un contacto conocido puede tener su cuenta comprometida.

8. La apariencia de autoridad se puede copiar.
Logotipos, firmas, colores corporativos y avisos legales pueden reproducirse. Un mensaje bien presentado también puede ser fraudulento.

Tres ideas que pueden darnos una falsa seguridad

«La página tiene HTTPS». Eso indica que la conexión está cifrada; no demuestra que el sitio pertenezca a quien dice ser.

«Está perfectamente escrito». Un correo fraudulento puede tener una redacción impecable.

«Conozco al remitente». Su identidad puede estar suplantada o su cuenta comprometida.

Qué hacer antes y después del clic

Antes de actuar, pausa, verifica por un canal independiente y reporta el mensaje sospechoso. Evita comprobar su autenticidad utilizando precisamente el teléfono o el enlace que contiene.

Si ya has interactuado, explica qué ocurrió cuanto antes. Si entregaste una contraseña, cámbiala desde el sitio oficial y revisa las sesiones abiertas. Si compartiste un código o abriste un archivo, avisa a tu equipo de TI o al servicio afectado. Si proporcionaste datos bancarios, contacta con tu banco por su canal oficial.

Ninguna pista aislada confirma el fraude. Lo importante es valorar el conjunto y comprobar antes de confiar.

Que la urgencia del correo no decida por ti.

Infograph · palentino.es