Antes de nada: regla de oro

Un correo de verificación legítimo busca confirmar algo que tú has iniciado (registro, cambio de email, inicio de sesión, recuperación de cuenta). Un correo de phishing busca aprovechar tu prisa y tu confianza para robar credenciales, instalar malware o redirigirte a una web falsa.

Si no estabas haciendo nada relacionado con esa verificación, aplica esta política simple: no interactúes con el email y verifica desde el canal original (la web o app) entrando manualmente.

Checklist rápida en 60 segundos

Si tienes prisa, sigue este orden. Si el mensaje falla en cualquiera de estos puntos, trátalo como sospechoso.

1. ¿Yo pedí esta verificación? Si no la solicitaste, mala señal.
2. ¿El remitente y el dominio coinciden con la marca? Mira el dominio real, no solo el nombre visible.
3. ¿El enlace apunta al dominio oficial? Pasa el cursor por el botón antes de hacer clic.
4. ¿Te pide contraseña, pago o datos “extra”? En verificación normal, casi nunca.
5. ¿Hay urgencia rara, amenaza o lenguaje agresivo? “Caduca en 2 minutos”, “cuenta bloqueada”, “última advertencia”.
6. ¿Adjuntos inesperados? En verificación, adjuntos es una bandera roja.

1) Contexto: ¿esperabas este email?

Empieza por el contexto. Los atacantes se aprovechan de que la gente se registra en muchas cosas a la vez. Hazte dos preguntas:

• ¿Acabo de crear una cuenta o iniciar un proceso? Si sí, es más probable que sea legítimo, pero no garantiza nada.
• ¿El servicio coincide exactamente con lo que estaba haciendo? Si te registraste en “EjemploApp” y el correo menciona “EjemploCloud Security”, sospecha.

Cuando no hay contexto, la mejor práctica es entrar a la web escribiendo la URL a mano o usando un marcador confiable, y revisar dentro de tu cuenta si realmente hay una verificación pendiente.

2) Remitente: nombre visible vs dominio real

Muchos fraudes pasan el primer filtro porque el nombre visible del remitente parece correcto: “Soporte”, “Seguridad”, “Verificación”, incluso el nombre de la marca. Lo importante es el dominio real del remitente.

• Abre los detalles del remitente (no respondas): revisa la dirección completa. Un dominio extraño, con guiones raros o letras añadidas suele indicar suplantación.
• Ojo con dominios parecidos: cambios mínimos, letras repetidas, extensiones distintas. En móviles esto se oculta fácil, así que toca para ver la dirección completa.
• Desconfía de “reply-to” diferente: algunos emails muestran un remitente “bonito” pero las respuestas van a otra dirección.

Un correo legítimo puede venir de un subdominio (por ejemplo, notificaciones), pero debería mantener coherencia con la marca. Si el dominio no te inspira confianza, no avances.

3) Enlaces: el botón no importa, importa la URL

Los correos de verificación suelen tener un botón grande: “Verify”, “Confirmar”, “Activar cuenta”. Ese botón puede ocultar cualquier URL. Antes de pulsar:

• Pasa el cursor (o mantén pulsado en móvil si tu cliente lo permite) y mira la URL completa.
• Comprueba el dominio: debe ser el oficial de la empresa o el servicio.
• Evita acortadores si no son habituales en esa marca. Los links cortos ocultan el destino real.
• Desconfía de URLs con parámetros extraños que parecen aleatorios o excesivamente largos sin motivo.

Consejo práctico: si tienes dudas, no hagas clic en el correo. Abre el navegador y entra a la web oficial por tu cuenta. Si la verificación es real, normalmente podrás completarla desde allí o reenviar el correo de confirmación desde el panel.

4) Qué te pide el mensaje: señales típicas de fraude

Un correo de verificación legítimo normalmente pide una acción simple: confirmar el email o copiar un código. Cuando un correo se sale de ese guion, sube el riesgo.

• Pide tu contraseña dentro del correo o en la web enlazada sin que tú lo hayas solicitado.
• Pide datos bancarios, pago de una “tarifa de verificación” o “validación de identidad” sin contexto.
• Pide instalar una app o descargar un archivo para “completar la verificación”.
• Pide información personal sensible (documento, foto, dirección) para algo que claramente no lo requiere.

Para verificaciones de cuentas comunes, la regla es: cuanto más “extra” te piden, más probable que sea phishing.

5) Códigos OTP: cómo evitar el “phishing por código”

Los códigos OTP (un solo uso) son seguros cuando tú los usas en el lugar correcto. El fraude aparece cuando alguien intenta que se lo entregues.

Señales de alarma:

• Recibes un OTP sin haber iniciado sesión.
• Alguien te escribe o llama pidiendo el código “para validar tu identidad”.
• El email insiste en que copies el código en un enlace externo no oficial.

Un servicio legítimo rara vez te pedirá que le “envíes” el OTP. El OTP es para ti, dentro del flujo oficial de inicio de sesión o verificación.

6) Lenguaje y diseño: el phishing suele “apretar” emocionalmente

Muchos correos falsos se parecen mucho a los reales, pero suelen incluir presión: urgencia, amenazas o promesas demasiado buenas.

• Urgencia extrema: “Tu cuenta se elimina hoy”, “última oportunidad”, “caduca en 2 minutos”.
• Amenazas: “bloqueo”, “suspensión”, “acción legal” sin pruebas.
• Errores raros: traducciones forzadas, frases extrañas, mayúsculas excesivas.
• Saludo genérico: “Estimado usuario” puede ser normal, pero combinado con lo anterior es mala señal.

Un correo legítimo puede ser breve y automático, sí. Pero normalmente no necesita manipularte. El phishing vive de que actúes sin pensar.

7) Adjuntos: casi nunca son necesarios para verificar

Para confirmar un email, los adjuntos no pintan nada en la mayoría de servicios. Si un “correo de verificación” incluye un archivo (ZIP, PDF, DOC, HTML) y te pide abrirlo para completar el proceso, considéralo muy sospechoso.

Hay casos legítimos con PDF (por ejemplo, facturas), pero eso ya no es “verificación”. Separa mentalmente: verificar = enlace/código; adjunto = otro flujo, y más riesgo.

8) Comprobaciones técnicas fáciles (si quieres ir un paso más)

Sin entrar en análisis avanzado, hay dos cosas que puedes revisar si tu cliente de correo lo muestra:

• Encabezados básicos: muchos proveedores indican “enviado por” o “firmado por”. Si aparece incoherente, mala señal.
• Dominio de enlace vs dominio visible: si el texto dice una cosa pero la URL apunta a otra, sospecha.

No hace falta memorizar siglas: lo importante es la coherencia. Si el correo dice ser de una marca, el remitente y los enlaces deben respirar esa misma marca.

9) Qué hacer si dudas (sin perder tiempo)

Si no estás 100% seguro, aquí tienes acciones seguras que no te exponen:

1. No hagas clic. Entra a la web oficial escribiendo la URL manualmente.
2. Reenvía/verifica desde la app: muchos servicios permiten reenviar el email de confirmación. Así comparas el nuevo correo con el sospechoso.
3. Busca el mensaje dentro de tu cuenta: si el servicio es real, suele mostrar “email pendiente de verificar”.
4. Comprueba el dominio con calma: un solo carácter raro basta para desconfiar.

10) Si ya hiciste clic: plan de respuesta rápido

Si ya tocaste el enlace, no entres en pánico, pero actúa con orden. Las acciones dependen de lo que haya pasado:

Si solo abriste la página

• Cierra la pestaña.
• No introduzcas datos.
• Accede a la web oficial por tu cuenta y revisa actividad reciente.

Si introdujiste usuario y contraseña

• Cambia la contraseña inmediatamente en el servicio real.
• Si reutilizabas esa contraseña en otras webs, cámbialas también (prioriza correo principal y banca).
• Activa 2FA si está disponible.
• Revisa sesiones abiertas y cierra las que no reconozcas.

Si descargaste un archivo

• No lo ejecutes (si aún no lo hiciste).
• Pasa un análisis de seguridad con una herramienta confiable.
• Si lo ejecutaste, desconecta temporalmente de la red y busca soporte técnico si notas comportamientos raros.

La clave es reducir el tiempo de exposición: cambiar credenciales y activar medidas de seguridad suele cortar el daño.

Mini-checklist imprimible (para tenerla a mano)

Úsala como rutina cada vez que recibas una verificación:

• ¿Lo pedí yo?
• ¿Remitente y dominio reales coinciden con la marca?
• ¿El enlace apunta al dominio oficial (sin acortadores raros)?
• ¿Solo pide confirmar/código, sin contraseñas ni pagos?
• ¿Sin adjuntos inesperados?
• ¿Sin urgencia agresiva ni amenazas?
• Si dudo: entro manualmente a la web oficial y listo.