El “ritual” de 10 segundos antes de hacer clic

No necesitas ser experto. Solo aplica este mini proceso cada vez que un enlace te pida iniciar sesión, pagar algo, descargar un archivo o confirmar un “problema urgente”:

1. Pasa el cursor por encima del enlace (o mantén pulsado en móvil) y mira la URL real.
2. Busca el dominio exacto y lee de derecha a izquierda: TLD → dominio → subdominio.
3. Desconfía si hay prisa, amenazas, premios, urgencia o “tu cuenta será bloqueada”.
4. Si dudas, no hagas clic: entra tú mismo escribiendo la web en el navegador.

Este hábito simple te evita la mayoría de trampas, porque el engaño casi siempre está en la URL.

Cómo leer una URL sin caer en trucos

Para verificar un dominio, primero hay que identificarlo correctamente. La URL completa puede ser larga, pero lo importante es saber dónde está “la verdad”.

1) El dominio real suele estar antes del primer “/”

En una URL típica, el dominio está después de https:// y antes del primer “/”. Todo lo que venga después (rutas, parámetros) puede ser manipulado para distraerte, pero el dominio manda.

2) Ojo con el subdominio: no es el dominio

Los atacantes aman el subdominio porque parece “oficial”. Ejemplo clásico: seguridad-banco.ejemplo.com es un subdominio de ejemplo.com. Si el banco real es banco.com, entonces seguridad-banco.banco.com podría ser legítimo, pero seguridad-banco.banco.com.estafa.net no lo es.

Regla mental: el dominio principal está justo antes del TLD. Y el TLD es el final: .com, .es, .net, etc.

3) Los “parecidos” son un arma: typosquatting

Hay dominios que engañan por ser casi iguales: una letra extra, una letra cambiada, un guion, un punto donde no toca: “g00gle”, “paypaI” (con i mayúscula), “micros0ft”, “amaz0n”, “faceb00k”. El objetivo es que tu cerebro complete el patrón sin fijarse.

Si te parece “muy parecido”, trátalo como sospechoso hasta que lo verifiques por un canal alternativo.

HTTPS ayuda, pero no es un sello de “sitio seguro”

Mucha gente piensa: “Si tiene candadito, es seguro”. Ese candado solo indica que la conexión está cifrada, no que el sitio sea legítimo. Hoy en día, cualquier estafador puede obtener un certificado TLS/SSL.

Aun así, HTTPS sigue siendo importante: si una web pide credenciales o pago y no usa HTTPS, es una señal roja clara. Pero el paso crucial sigue siendo confirmar el dominio.

Señales clásicas de phishing (cuando el dominio está “casi bien”)

Hay ataques muy finos donde el dominio está diseñado para parecer oficial. Estas señales te ayudan a detectar la trampa:

• Urgencia emocional: “último aviso”, “tu cuenta será suspendida hoy”, “actividad sospechosa”. La prisa reduce la capacidad de ver detalles como el dominio.
• Promesas demasiado buenas: premios, reembolsos inesperados, ofertas imposibles.
• Pantallas de login genéricas: logos pixelados, texto raro, diseño “casi” igual pero no idéntico.
• Solicitud de datos extra: “verifica tu identidad” pidiendo más datos de lo normal.
• Adjuntos o descargas: si un enlace te lleva a un archivo en lugar de una web clara, máxima precaución.

En España, además, hay campañas frecuentes que suplantan a bancos, paquetería, organismos públicos y marketplaces. El patrón suele ser el mismo: un enlace, urgencia y un formulario.

Acortadores de URL y redirecciones: cómo no perderte

Los enlaces acortados (por ejemplo, tipo “bit.ly/…”) no son necesariamente malos, pero ocultan el destino. Un atacante puede esconder un dominio peligroso detrás de un acortador y tú no lo verás hasta tarde.

Buenas prácticas:

• Prefiere enlaces sin acortar cuando el contexto es sensible (pagos, cuentas).
• Si es un email, revisa el dominio del remitente y el contenido: a menudo no coincide con el destino.
• En caso de duda, no abras desde el enlace: entra por tu cuenta al sitio oficial.

Además, cuidado con redirecciones múltiples: puedes empezar en un dominio “neutral” y terminar en uno malicioso. Lo importante es el dominio final donde introduces datos.

Comprobaciones extra cuando el riesgo es alto

Para acciones críticas (banca, pagos, acceso corporativo, cambio de contraseña), añade 2–3 verificaciones más. No hace falta hacerlas siempre, pero sí cuando hay dinero o identidad en juego.

1) Busca el dominio en una fuente independiente

En lugar de confiar en el enlace, abre una pestaña nueva y busca el sitio por tu cuenta (o escribe la URL manualmente). Si el enlace te llevaba a “soporte-seguro-ejemplo.com”, pero el resultado oficial es “ejemplo.com”, ya tienes una pista.

2) Revisa el dominio en el navegador (con calma)

Haz zoom mental: ¿el dominio es exactamente el que esperas? ¿tiene guiones raros, palabras extra, una extensión diferente? Muchos clones usan extensiones “parecidas” para despistar: .com vs .net, .es vs .co, etc.

3) Comprueba la coherencia interna del sitio

Sin entrar en tecnicismos: un sitio legítimo suele tener navegación consistente, enlaces que funcionan, textos bien escritos y políticas claras. Los clones a menudo fallan en detalles: menús rotos, páginas legales vacías, traducciones extrañas o formularios demasiado agresivos.

Verificación en email: el “triple control” recomendado

Los emails son el canal favorito para el phishing porque combinan presión (“tu cuenta”), apariencia “oficial” y enlaces listos para pulsar. Antes de clicar, revisa estas tres cosas:

1. Remitente real: no solo el nombre visible; mira la dirección completa.
2. Dominio del enlace: pasa el cursor o mantén pulsado y lee el dominio final.
3. Motivo del email: ¿encaja con algo que tú hayas iniciado? Si no, sospecha.

Si el email dice “verifica tu cuenta”, pero tú no hiciste nada, lo más seguro es entrar por tu cuenta al sitio oficial y revisar allí notificaciones o actividad.

Cuando el enlace viene por WhatsApp o redes: por qué es más peligroso

En mensajería, el contexto emocional es más fuerte: “mira esto”, “te etiquetaron”, “es urgente”. Además, en móvil es más difícil ver URLs completas. Por eso conviene aplicar dos hábitos:

• No abras enlaces de sorpresa, incluso si vienen de un contacto conocido. Muchas cuentas se comprometen y empiezan a enviar enlaces maliciosos.
• Confirma por otro mensaje si algo no encaja: “¿me lo has enviado tú?”. Un segundo de verificación evita problemas grandes.

Ejemplos de trampas típicas (para entrenar el ojo)

No hace falta memorizar listas. Solo fíjate en el patrón: dominió “casi igual” o estructura que intenta engañar.

• Guiones y palabras extra: “seguridad-mi-banco-verificacion.com”
• Subdominio engañoso: “banco.com.seguridad-login.estafa.net”
• Carácteres similares: “paypaI.com” (i mayúscula) o “micros0ft.com” (cero)
• Extensión distinta: “marca-soporte.net” cuando la marca real siempre usa .com o .es
• Ruta distractora: “estafa.net/banco.com/login” (la ruta no cambia el dominio)

Si alguna vez dudas, vuelve a la regla de oro: entra tú mismo al sitio oficial.

Qué hacer si ya hiciste clic (sin dramatizar, pero actuando rápido)

A veces pasa. Lo importante es reaccionar bien y no “seguir” el flujo del atacante. Si solo abriste el enlace y no introdujiste datos, el riesgo puede ser bajo, pero aun así conviene ser cuidadoso.

• Si escribiste credenciales, cambia la contraseña desde la web oficial (entrando por tu cuenta), y activa 2FA si está disponible.
• Si descargaste algo, no lo ejecutes. Elimina el archivo y pasa un escaneo de seguridad.
• Si diste datos bancarios, contacta con tu banco cuanto antes y revisa movimientos.
• Revisa correos de “cambio de contraseña” o “nuevo dispositivo” que no hayas solicitado.

Y, para el futuro, considera separar registros “de prueba” de tu correo principal: reduce el impacto si tu email aparece en listas de spam o campañas masivas.

Checklist final: verificación rápida y verificación completa

Verificación rápida (uso diario)

• Mira la URL real (hover/long press).
• Identifica el dominio principal (justo antes del TLD).
• Desconfía de urgencias, premios y amenazas.
• Si dudas: entra escribiendo la web, sin usar el enlace.

Verificación completa (pagos, banca, trabajo)

• Confirma que el dominio coincide exactamente con el oficial.
• Evita acortadores; verifica el destino final.
• Comprueba coherencia del sitio y del flujo de login.
• Activa 2FA y usa contraseñas únicas para servicios críticos.