La idea base: no confíes en la “apariencia”

Los emails peligrosos suelen estar diseñados para parecer legítimos. Copian logos, colores y tonos, y usan mensajes urgentes: “tu cuenta será bloqueada”, “pago pendiente”, “actividad sospechosa”, “último aviso”. El truco está en que tu cerebro, con prisa, rellena los huecos. Por eso, la regla número uno es: confía en pruebas, no en sensaciones. Un email puede verse perfecto y aun así ser falso.

Los 8 tipos de estafas por email más comunes

1) Phishing clásico (robo de contraseña)

Te llevan a una página de inicio de sesión falsa para que escribas tu contraseña. A veces imitan bancos, tiendas online o servicios conocidos. Si introduces tu clave, se la entregas al atacante.

2) Suplantación de identidad (CEO fraud / proveedor)

Un “jefe” o “proveedor” te pide una transferencia urgente. O te solicitan cambiar una cuenta bancaria en una factura. El objetivo es que pagues a una cuenta controlada por los estafadores.

3) Adjuntos maliciosos (facturas, currículums, “documentos”)

Envían archivos que, al abrirse, instalan malware o te llevan a habilitar macros. Suelen llamarse “Factura_2026.pdf”, “Pedido.doc”, “Seguimiento.zip” o similares.

4) “Tu paquete está retenido”

Mensajes de mensajería falsos con enlaces de “reprogramar entrega” o “pagar aduanas”. La mayoría buscan robar datos de pago o credenciales.

5) Falsas devoluciones o reembolsos

“Hemos procesado un reembolso” y te piden que confirmes. Si picas, terminas en una web falsa o te piden datos bancarios.

6) Estafas románticas o de soporte técnico

Te enganchan con conversación y luego piden dinero, tarjetas regalo o acceso remoto. O se hacen pasar por “soporte” y te presionan para que instales un programa.

7) Extorsión / amenazas

“Te grabamos”, “tenemos tus fotos”, “pagas o…”: suelen ser campañas masivas, no personalizadas. Buscan pánico. La urgencia es su combustible.

8) Códigos OTP y “verificaciones” trampa

Te piden un código que llegó a tu correo o móvil. En realidad, el atacante está intentando entrar a tu cuenta y necesita ese código. Si se lo das, le abres la puerta.

Checklist rápido: cómo “auditar” un email en 30 segundos

Antes de hacer clic, descargar o responder, aplica este mini-proceso. No necesitas hacerlo siempre; úsalo cuando el email sea inesperado, urgente o te pida datos.

1. ¿Esperabas este email? Si no, aumenta el nivel de sospecha. Muchas estafas ganan por sorpresa.
2. ¿Qué te pide exactamente? ¿Credenciales, dinero, códigos, descargar un archivo, “confirmar” algo? Cuanto más sensible, más verificación.
3. Revisa el remitente real. No te quedes solo con el nombre visible. Mira la dirección completa. Ojo con dominios parecidos (una letra extra, guiones, cambios sutiles).
4. Pasa el ratón por el enlace (o mantén pulsado en móvil) y mira la URL de destino. Si el dominio no coincide con el servicio real, mala señal.
5. Busca señales de presión: “último aviso”, “en 2 horas”, “acción inmediata”. La urgencia artificial es un patrón clásico.
6. No uses el enlace del email si es crítico. Abre el servicio por tu cuenta: escribe la dirección en el navegador o usa la app oficial.

Señales rojas: detalles que delatan el fraude

• Saludo genérico: “Estimado cliente” cuando la empresa suele usar tu nombre.
• Errores raros: frases extrañas, traducción automática, puntuación inconsistente.
• Adjuntos inesperados: facturas que no pediste, “comprobantes” sorpresa.
• Enlaces acortados: dificultan ver el destino real (no siempre son maliciosos, pero exigen cautela).
• Solicitud de datos: contraseñas, códigos OTP, datos bancarios, tarjetas regalo.
• Dominio sospechoso: parecido al real pero no idéntico, o subdominios engañosos.
• Presión emocional: miedo, urgencia, premio, amenaza, culpa.

Ninguna señal por sí sola confirma una estafa, pero varias juntas deberían activar un “modo seguro”. La mejor defensa es pausar y verificar por otro canal.

Enlaces: el punto más peligroso (y cómo tratarlos)

Muchos ataques no necesitan “hackearte” técnicamente: solo necesitan que tú hagas clic. Por eso conviene tener una regla simple: si el email es inesperado y el enlace pide login o pago, no entres desde ahí.

¿Qué hacer en su lugar? Abre el sitio legítimo directamente. Si de verdad hay un aviso, lo verás dentro de tu cuenta. Si no aparece nada, el email era un señuelo. Esto funciona especialmente bien con bancos, tiendas, redes sociales y servicios de suscripción.

En móvil, donde es más difícil ver URLs, aumenta la precaución. Si necesitas comprobar un enlace, mantén pulsado para previsualizar el destino. Si no se ve claro, mejor evitarlo.

Adjuntos: “Factura.pdf” puede no ser una factura

Un adjunto malicioso puede disfrazarse de documento normal. Los formatos más usados por atacantes suelen ser archivos comprimidos o documentos que intentan activar funciones peligrosas. Para principiantes, la regla práctica es: no abras adjuntos que no esperabas, y si el email parece venir de un proveedor, confirma por otra vía (por ejemplo, entrando a tu panel o llamando al contacto oficial).

• Si el adjunto llega de un “proveedor”: revisa si coincide con una factura real pendiente. Si tienes dudas, responde por un canal que ya conocías (no el email recibido).
• Si es una “oferta de trabajo”: cuidado con adjuntos sorpresa. Muchos ataques se esconden en “CV” o “prueba”.
• Si te piden habilitar macros: es una señal de alto riesgo. Evita hacerlo salvo que sea imprescindible y de fuente verificada.

El truco de los códigos OTP: por qué nunca debes compartirlos

Un código OTP sirve para confirmar que tú eres tú. Si alguien te pide el código “para verificar tu identidad”, normalmente ocurre lo contrario: ellos están intentando entrar y necesitan tu código para completar el acceso.

Reglas claras:

• Un servicio legítimo no te pedirá tu OTP por email como si fuera un dato normal.
• Nunca reenvíes códigos a nadie (ni “soporte”, ni “verificación”, ni “administración”).
• Si recibes un OTP sin haberlo solicitado, es una alerta: cambia contraseña y revisa la seguridad de tu cuenta.

Historia corta (realista): cómo cae alguien “normal”

Marta recibe un email: “Tu paquete está retenido. Falta el pago de aduanas: 1,99 €”. Está esperando una compra y el mensaje llega justo cuando va con prisa. Hace clic, mete su tarjeta, y el sitio “confirma” que todo está bien. Dos días después ve cargos extraños. No fue el 1,99 €: fue entregar sus datos de pago a un formulario falso.

El detalle importante no es la “falta de inteligencia”: es el timing y la presión. Por eso, el hábito más útil es este: cuando hay prisa, no hagas clic. Entra a la web oficial por tu cuenta y comprueba ahí el estado real del pedido.

Hábitos que te protegen sin complicarte la vida

1) Usa contraseñas únicas (y un gestor)

Si reutilizas contraseña y una web se filtra, tu correo principal queda expuesto. Un gestor de contraseñas ayuda porque rellena solo en el dominio correcto: si estás en una web falsa, el gestor no autocompleta y te da una pista.

2) Activa 2FA donde importe

Para cuentas críticas (correo principal, bancos, redes sociales), activa doble factor. Idealmente, usa opciones robustas y revisa los métodos de recuperación.

3) Separa correos por “riesgo”

Una práctica simple: un correo para lo importante (banca, trabajo), y otro para registros y newsletters. Así reduces el ruido y detectas anomalías más rápido. Si además usas direcciones temporales para registros puntuales, minimizas el spam y reduces exposición.

4) Revisa “desde dentro”

Ante un aviso de pago, bloqueo o seguridad, no uses el enlace del email. Abre la app oficial o escribe la URL tú mismo. Esta costumbre corta de raíz una gran parte del phishing.

Qué hacer si ya hiciste clic (sin entrar en pánico)

A veces pasa. Lo importante es actuar con método:

1. Si escribiste una contraseña, cámbiala inmediatamente en el servicio real y en cualquier otro sitio donde la hayas reutilizado.
2. Activa o refuerza 2FA en esa cuenta y revisa dispositivos/sesiones activas.
3. Si metiste datos de pago, contacta con tu banco para bloquear o vigilar cargos y revisar movimientos.
4. Revisa reglas de reenvío en tu correo (los atacantes a veces crean reenvíos ocultos).
5. Reporta el email como phishing en tu proveedor; ayudas a proteger a otros.

Cuanto antes lo hagas, mejor. La velocidad aquí vale más que la perfección.

Mini guía para reconocer remitentes “casi iguales”

Los atacantes juegan con dominios parecidos: una letra cambiada, un guion extra, un subdominio engañoso. Ejemplos típicos:

• Dominio con letra extra o sustituida (parece igual a simple vista).
• Subdominio que aparenta ser la marca, pero el dominio real es otro.
• Uso de palabras como “secure”, “support”, “billing” para crear confianza.

No hace falta memorizar trucos: basta con mirar el dominio final y preguntarte si coincide con el sitio real que tú escribirías en el navegador.

Conclusión: una rutina sencilla, repetible

La seguridad del correo para principiantes no se trata de vivir con miedo, sino de tener un proceso básico: pausa, verifica el remitente, comprueba el dominio, y entra por tu cuenta cuando el mensaje sea crítico. Con ese hábito, el phishing pierde fuerza.

Tu bandeja de entrada puede ser segura sin convertirte en experto: solo necesitas constancia y una regla de oro: cuando un email te presiona para actuar ya, respira, verifica y decide.