Recibes un correo de tu banco informando que detectaron un inicio de sesión sospechoso.
El logotipo parece correcto. El mensaje está perfectamente escrito. Utiliza tu nombre y explica que debes verificar inmediatamente tu cuenta.
Hay un botón para hacerlo.
Hace algunos años quizá habríamos buscado faltas de ortografía o frases extrañas para decidir si era phishing.
En 2026 esa estrategia ya no es suficiente.
Las herramientas de inteligencia artificial pueden ayudar a producir mensajes naturales, traducirlos, personalizarlos y crear múltiples versiones rápidamente. Al mismo tiempo, los delincuentes siguen utilizando técnicas clásicas como dominios parecidos, sitios web falsos, suplantación del remitente y presión psicológica.
Por eso la pregunta más útil ya no es:
“¿Este correo parece escrito por una IA?”
Sino:
“¿Puedo comprobar independientemente que esta solicitud realmente procede de quien afirma enviarla?”
En esta guía aprenderás a reconocer phishing en correos, mensajes de texto y sitios web sin depender de errores ortográficos ni de detectores de IA.
¿Qué es el phishing?
El phishing es una técnica de fraude diseñada para engañarte y conseguir que entregues información, abras un archivo, visites un sitio malicioso o realices alguna otra acción que beneficie al atacante.
Puede intentar robar:
- contraseñas;
- datos bancarios;
- números de tarjetas;
- información personal;
- códigos de autenticación;
- acceso a cuentas;
- dinero.
El FBI explica que estas campañas suelen utilizar técnicas de spoofing para hacer que una comunicación parezca proceder de una fuente confiable.
¿Qué es spoofing?
Spoofing significa disfrazar determinados elementos de una comunicación para hacerla parecer legítima.
Según el FBI, puede afectar a:
- la dirección de correo;
- el nombre del remitente;
- un número telefónico;
- la dirección de un sitio web.
A veces basta con modificar una letra, símbolo o número para crear una dirección visualmente parecida a la original.
Por eso reconocer el nombre de una empresa en pantalla no demuestra que la comunicación realmente proceda de ella.
¿Cómo cambia la inteligencia artificial el phishing?
La inteligencia artificial puede reducir parte del esfuerzo necesario para crear contenido convincente.
Puede utilizarse para:
- redactar mensajes;
- corregir errores;
- traducir;
- adaptar el tono;
- personalizar textos;
- crear conversaciones;
- producir contenido sintético a escala.
El informe IC3 del FBI correspondiente a 2025 señala que los sistemas de IA pueden producir contenido sintético convincente, incluidos perfiles sociales y conversaciones personalizadas, y que ese contenido resulta cada vez más difícil de distinguir.
Eso no significa que cada correo bien escrito utilice IA.
Significa que la mala gramática ha perdido valor como filtro de seguridad.
La vieja regla que ya no funciona
Durante mucho tiempo se recomendaba:
“Si tiene errores ortográficos, probablemente sea phishing.”
Los errores siguen siendo una señal posible.
Pero su ausencia no demuestra autenticidad.
Un mensaje fraudulento puede estar perfectamente redactado.
Incluso puede utilizar vocabulario apropiado para la empresa que intenta imitar.
La seguridad debe centrarse en identidad, contexto, destino del enlace y acción solicitada.
¿Cómo suele funcionar un ataque de phishing?
Un escenario típico puede seguir esta secuencia:
- recibes una comunicación inesperada;
- el mensaje presenta un problema o una oportunidad;
- te pide actuar rápidamente;
- incluye un enlace, archivo, teléfono o instrucción;
- el destino intenta obtener información o provocar otra acción;
- el atacante utiliza esa información para continuar el fraude.
El mensaje es solamente el anzuelo.
La acción posterior es el verdadero objetivo.
Ejemplo: la falsa alerta bancaria
Recibes un mensaje:
“Detectamos actividad sospechosa. Su cuenta será bloqueada si no confirma su identidad en los próximos 30 minutos.”
Incluye un enlace.
La combinación utiliza varios mecanismos:
- una entidad que reconoces;
- miedo a perder acceso;
- urgencia;
- una acción inmediata;
- un enlace controlado por quien envió el mensaje.
La solución más segura no es inspeccionar durante diez minutos el diseño.
Abre tú mismo la aplicación de tu banco o entra utilizando una dirección que ya conozcas.
Si realmente existe una alerta importante, podrás comprobarla sin utilizar el enlace recibido.
Ejemplo: el paquete que no puede entregarse
Otra modalidad frecuente utiliza supuestos problemas de entrega.
El mensaje puede afirmar que:
- falta una dirección;
- hay una tarifa pendiente;
- el paquete no pudo entregarse;
- debes reprogramar la entrega.
Después aparece un enlace hacia un sitio que imita a una empresa conocida.
El objetivo puede ser conseguir datos personales o de tarjeta.
Si realmente esperas un paquete, consulta directamente la aplicación o web oficial de la empresa utilizando el número de seguimiento que ya tengas.
Ejemplo: la invitación falsa
En mayo de 2026 la FTC advirtió sobre campañas de phishing que utilizaban falsas invitaciones a fiestas y eventos.
Algunas parecían proceder de plataformas conocidas e incluso mostraban el nombre de una persona conocida como anfitrión.
El engaño intentaba conseguir credenciales de correo o códigos para supuestamente abrir la invitación.
La defensa recomendada es sencilla:
contacta directamente al supuesto anfitrión y confirma que realmente envió la invitación.
Ejemplo: el CAPTCHA falso
El phishing también puede aparecer fuera del correo electrónico.
En junio de 2026 la FTC alertó sobre páginas que imitan una verificación CAPTCHA y piden ejecutar combinaciones de teclas y comandos en la computadora.
En realidad, esas instrucciones pueden provocar la ejecución de código malicioso.
Un CAPTCHA normal no necesita que abras una herramienta del sistema y ejecutes comandos para demostrar que eres humano.
Esta modalidad muestra por qué no debemos limitar nuestra idea de phishing a un correo con un botón azul.
Phishing, smishing y vishing
El mecanismo puede adaptarse a diferentes canales.
Phishing
El término se utiliza habitualmente para comunicaciones fraudulentas por correo y, en sentido amplio, para el conjunto de técnicas destinadas a conseguir que una víctima entregue información o interactúe con contenido malicioso.
Smishing
Es phishing mediante SMS o mensajes de texto.
Vishing
Utiliza llamadas telefónicas, mensajes de voz o servicios de voz sobre Internet.
Además, estas modalidades pueden combinarse.
Un SMS puede pedirte llamar a un número y la llamada puede continuar el fraude.
Cómo reconocer un correo sospechoso en 2026
En lugar de buscar una señal mágica, revisa varias capas.
1. ¿Esperabas la comunicación?
Un mensaje inesperado que exige una acción sensible merece mayor precaución.
2. ¿Qué intenta conseguir?
Presta especial atención si solicita:
- contraseñas;
- datos bancarios;
- códigos;
- pagos;
- descargas;
- inicio de sesión;
- cambios de cuenta.
3. ¿Te presiona?
La urgencia reduce el tiempo disponible para comprobar la historia.
4. ¿El remitente coincide realmente?
No mires solamente el nombre visible.
Comprueba la dirección completa cuando sea posible.
5. ¿El dominio es correcto?
Una dirección puede parecer legítima a primera vista y contener una pequeña variación.
6. ¿Puedes verificarlo sin utilizar el mensaje?
Esta es una de las preguntas más importantes.
Si puedes abrir directamente la aplicación o web oficial, no necesitas confiar en el enlace recibido.
Cómo revisar un enlace sin caer en la trampa
Antes de utilizar un enlace, identifica el dominio real al que conduce.
Presta atención a:
- errores ortográficos en el dominio;
- letras o números añadidos;
- subdominios engañosos;
- direcciones excesivamente extrañas;
- dominios que no corresponden a la organización.
Pero recuerda algo importante:
un dominio visualmente correcto no debería ser tu única comprobación.
Cuando se trata de banca, correo, pagos o cuentas importantes, es más seguro abrir tú mismo el servicio desde una aplicación, marcador o dirección conocida.
El truco de los subdominios
Una dirección puede contener el nombre de una empresa sin pertenecer a ella.
Por ejemplo, conceptualmente:
banco.ejemplo-falso.com
El dominio principal continúa siendo ejemplo-falso.com.
La palabra situada delante no convierte la página en propiedad del banco.
Aprender a identificar el dominio registrable ayuda a evitar algunas imitaciones.
HTTPS no significa que una página sea legítima
El candado del navegador indica que existe una conexión cifrada con el sitio.
No demuestra que la organización detrás de ese sitio sea quien tú crees.
Un sitio fraudulento también puede utilizar HTTPS.
Por eso:
cifrado y legitimidad son preguntas diferentes.
No confíes solamente en el logotipo
Copiar un logotipo es sencillo.
También pueden copiarse:
- colores;
- tipografía;
- diseño;
- fotografías;
- textos;
- estructura visual.
Un sitio que “parece exactamente el original” todavía necesita verificarse por su dirección y procedencia.
¿Qué pasa con el remitente del correo?
El nombre visible puede no coincidir con la dirección real.
Por ejemplo, un correo podría mostrarse como:
Seguridad del Banco
mientras la dirección utilizada pertenece a un dominio completamente diferente.
Cuando el mensaje solicita una acción importante, comprueba la dirección completa y, aun así, verifica por otro canal.
¿Puede falsificarse una dirección?
Existen diferentes técnicas de suplantación y abuso de correo.
Por eso una dirección aparentemente familiar tampoco debería ser el único mecanismo para autorizar acciones sensibles.
En empresas, las defensas técnicas del correo deben combinarse con procedimientos humanos de verificación.
Phishing dirigido: spear phishing
No todas las campañas envían el mismo mensaje a miles de personas.
Un ataque puede estar diseñado específicamente para una persona o empresa.
El atacante puede utilizar información sobre:
- tu puesto;
- compañeros;
- proveedores;
- proyectos;
- eventos;
- clientes.
La IA puede facilitar la adaptación de mensajes a ese contexto.
Por eso que un correo conozca datos reales sobre ti tampoco demuestra que sea legítimo.
Business Email Compromise: cuando parece escribir el jefe
En un fraude BEC, el atacante intenta hacerse pasar por un ejecutivo, empleado, proveedor u otra parte confiable para provocar una transferencia o cambio financiero.
El informe IC3 2025 del FBI señala expresamente que generadores de texto pueden crear rápidamente correos con apariencia oficial que imitan a ejecutivos y pueden incluir enlaces de phishing o instrucciones para transferir fondos.
El organismo reportó más de 30 millones de dólares en pérdidas durante 2025 por fraudes BEC que involucraban IA.
La defensa empresarial no debería depender únicamente del correo.
Cómo verificar una solicitud del jefe
Si recibes una petición extraordinaria para:
- transferir dinero;
- comprar tarjetas;
- cambiar una cuenta bancaria;
- enviar información confidencial;
- restablecer un acceso;
utiliza el procedimiento habitual de la organización.
Confirma por un canal independiente si la solicitud se sale de lo normal.
Los mensajes de texto merecen especial atención
En mayo de 2026 la FTC informó que, según los reportes de fraude del año anterior, más personas dijeron haber sido contactadas inicialmente por estafadores mediante mensajes de texto que por cualquier otro método.
Los textos fraudulentos pueden imitar:
- empresas;
- organismos gubernamentales;
- servicios de entrega;
- bancos;
- programas de peajes;
- ofertas laborales.
La FTC recomienda no responder ni abrir enlaces en mensajes inesperados y contactar a la organización mediante información que sepas que es auténtica.
No respondas solo para comprobar
Responder “¿Quién eres?” o “¿Es esto real?” mantiene la conversación dentro del canal controlado por el posible estafador.
Si el mensaje afirma proceder de una empresa conocida, contacta directamente a esa empresa.
Si afirma ser una persona conocida, inicia una conversación nueva utilizando los datos que ya tengas.
¿Qué pasa si el mensaje conoce mi nombre?
No es prueba suficiente.
Información como nombres, empleadores, familiares, teléfonos o direcciones puede proceder de múltiples fuentes.
Un atacante también puede combinar información pública con otros datos obtenidos previamente.
La personalización aumenta la credibilidad, no la autenticidad.
¿Y si el correo no contiene ningún enlace?
Todavía puede formar parte de un ataque.
Algunas campañas comienzan estableciendo conversación.
El atacante puede esperar varias respuestas antes de solicitar:
- un pago;
- un teléfono;
- información;
- un cambio de cuenta;
- una acción posterior.
No todo phishing necesita mostrar el enlace malicioso en el primer mensaje.
¿Los códigos QR pueden utilizarse para phishing?
Un código QR puede dirigir a una página web igual que un enlace.
El problema es que el destino no siempre resulta evidente antes de escanearlo.
Trata un QR inesperado que solicita iniciar sesión o pagar con la misma precaución que un enlace inesperado.
¿Un detector de IA puede decirme si un correo es phishing?
No debería utilizarse como criterio definitivo.
Un mensaje generado por IA puede ser legítimo.
Un mensaje escrito por una persona puede ser fraudulento.
Detectar quién pudo redactar el texto y determinar si la comunicación es auténtica son problemas diferentes.
En nuestra guía sobre cómo detectar textos escritos con inteligencia artificial explicamos por qué un porcentaje de detección no demuestra autoría.
¿Debo copiar un correo sospechoso en ChatGPT para preguntarle si es phishing?
Una IA puede ayudarte a identificar señales sospechosas, explicar un dominio o analizar el lenguaje del mensaje.
Pero no debería sustituir la verificación independiente.
Además, evita copiar contraseñas, códigos, datos bancarios u otra información sensible en herramientas que no necesiten recibirla.
Una evaluación lingüística no demuestra quién controla realmente una dirección, cuenta o sitio web.
La prueba más útil: salir del mensaje
Supongamos que recibes una alerta de tu banco.
No sabes si es auténtica.
En lugar de analizarla indefinidamente:
- no pulses el enlace;
- abre directamente la aplicación bancaria;
- comprueba las notificaciones;
- si es necesario, llama al número conocido del banco.
Has verificado la historia sin utilizar la infraestructura proporcionada por quien envió el mensaje.
Ese principio es aplicable a muchísimas situaciones.
El método SALIR para verificar phishing
Puedes recordar cinco pasos:
S — Suspende la acción.
No pulses, pagues o respondas por impulso.
A — Analiza la solicitud.
¿Qué quieren conseguir de ti?
L — Localiza el canal auténtico.
Aplicación oficial, marcador, número conocido o contacto guardado.
I — Investiga independientemente.
Comprueba si la alerta realmente existe.
R — Reporta y retira el mensaje.
Si confirmas el fraude, utiliza las herramientas de reporte y elimínalo.
Cómo proteger tus cuentas aunque caigas en un phishing
Ninguna persona detecta el cien por ciento de los engaños.
Por eso conviene añadir capas técnicas.
La FTC recomienda utilizar autenticación multifactor, mantener dispositivos y software actualizados y utilizar las protecciones disponibles en los servicios.
La autenticación multifactor puede dificultar que un atacante entre en una cuenta incluso si obtiene una contraseña.
Sin embargo, tampoco debes entregar códigos de autenticación a alguien que te los solicite.
Usa contraseñas diferentes
Si reutilizas la misma contraseña, el compromiso de una cuenta puede aumentar el riesgo para otras.
Utilizar credenciales diferentes limita ese efecto.
Un gestor de contraseñas puede ayudar a mantener contraseñas únicas y también puede aportar una señal adicional: si no reconoce el dominio falso, no ofrecerá automáticamente las credenciales esperadas.
Mantén los dispositivos actualizados
El phishing no siempre busca solamente una contraseña.
Un archivo o sitio malicioso puede intentar instalar software dañino.
Mantener sistema operativo, navegador y aplicaciones actualizados reduce exposición a vulnerabilidades conocidas.
Qué hacer si abriste un enlace pero no escribiste nada
No significa automáticamente que tu cuenta haya sido comprometida.
Pero conviene evaluar lo ocurrido.
Si se descargó o ejecutó algo:
- detén la interacción;
- actualiza el software de seguridad;
- realiza las comprobaciones correspondientes;
- revisa descargas y aplicaciones recientes;
- vigila actividad sospechosa.
La FTC recomienda ejecutar un análisis de seguridad cuando exista posibilidad de haber descargado software dañino.
Qué hacer si entregaste tu contraseña
Actúa rápidamente:
- entra al servicio desde su sitio o aplicación auténticos;
- cambia la contraseña;
- cierra sesiones desconocidas si el servicio lo permite;
- activa o revisa la autenticación multifactor;
- comprueba métodos de recuperación;
- revisa actividad reciente;
- cambia credenciales reutilizadas en otros servicios.
Si perdiste información personal o financiera, sigue además los procedimientos de recuperación correspondientes.
Qué hacer si entregaste un código de autenticación
Trátalo como un posible compromiso de cuenta.
Un atacante puede haber utilizado el código inmediatamente.
Revisa sesiones, cambia credenciales cuando corresponda y contacta al proveedor si detectas accesos no autorizados.
Qué hacer si introdujiste datos bancarios
Contacta cuanto antes a tu banco o entidad financiera utilizando un canal auténtico.
Explica qué información proporcionaste y sigue sus indicaciones para proteger la cuenta o medio de pago.
No esperes a comprobar si aparecerá un cargo.
Cómo reportar phishing
La FTC recomienda reportar los intentos de phishing.
En Estados Unidos, los mensajes de texto fraudulentos pueden reenviarse a 7726 (SPAM).
Los intentos de fraude también pueden reportarse a la FTC.
El FBI recibe denuncias relacionadas con phishing y ciberdelitos mediante IC3.
En un entorno laboral, informa además al equipo de seguridad o soporte siguiendo el procedimiento interno.
Phishing y estafas con inteligencia artificial
El phishing es solamente una parte de un ecosistema de fraude más amplio.
Puede combinarse con:
- voces clonadas;
- deepfakes;
- perfiles falsos;
- suplantación de empresas;
- ingeniería social;
- falsas oportunidades laborales o financieras.
En nuestra guía sobre estafas con inteligencia artificial y cómo protegerte reunimos estas modalidades dentro de un método general de prevención.
La siguiente capa: proteger tus cuentas
Reconocer el phishing evita muchos ataques, pero también necesitamos reducir el daño cuando una contraseña termina expuesta.
Por eso la siguiente guía de esta serie explicará cómo proteger tus cuentas online con autenticación en dos pasos, passkeys y mejores prácticas de seguridad.
Lista rápida antes de pulsar un enlace
- ¿Esperaba este mensaje?
- ¿Qué acción me está pidiendo?
- ¿Intenta apresurarme?
- ¿Necesito realmente utilizar este enlace?
- ¿Puedo abrir directamente la aplicación oficial?
- ¿El dominio pertenece realmente a la organización?
- ¿Me solicita contraseña, pago o código?
- ¿Puedo verificarlo mediante otro canal?
Si puedes comprobar la situación sin utilizar el enlace recibido, normalmente esa será la opción más prudente.
Conclusión
La inteligencia artificial está haciendo menos útil una de las señales históricas del phishing: el mensaje torpe y mal escrito.
Pero eso no significa que el phishing se haya vuelto imposible de reconocer.
Simplemente debemos buscar señales más importantes.
¿Quién solicita la acción?
¿Qué quiere conseguir?
¿A dónde conduce realmente?
¿Existe urgencia?
¿Puedes comprobar la historia sin utilizar el enlace, número o archivo recibido?
La mejor defensa no consiste en adivinar si una IA redactó el correo.
Consiste en evitar que el posible atacante controle tanto el mensaje como el proceso utilizado para verificarlo.
Cuando tengas dudas, sal del mensaje y entra por tu cuenta al canal que sabes que es auténtico.
Preguntas frecuentes sobre phishing e inteligencia artificial
¿Qué es phishing?
Es un engaño diseñado para conseguir que entregues información, abras contenido malicioso, visites un sitio falso o realices una acción beneficiosa para un atacante.
¿La inteligencia artificial puede crear correos de phishing?
Sí. Los sistemas generativos pueden utilizarse para producir, traducir, personalizar o mejorar mensajes. Pero un correo fraudulento no necesita utilizar IA para ser peligroso.
¿Un correo sin errores ortográficos puede ser phishing?
Sí. La ausencia de errores ya no debería considerarse una prueba de autenticidad.
¿Cómo sé si un enlace es seguro?
Comprueba el dominio real y el contexto. Para cuentas sensibles, es preferible abrir directamente la aplicación o sitio oficial mediante una dirección conocida en lugar de utilizar un enlace inesperado.
¿HTTPS significa que una página es legítima?
No. HTTPS protege la conexión con un sitio, pero un sitio fraudulento también puede utilizar cifrado.
¿Qué es smishing?
Es phishing realizado mediante mensajes SMS o textos.
¿Qué es vishing?
Es una modalidad que utiliza llamadas, mensajes de voz o comunicaciones de voz para intentar engañar a la víctima.
¿Qué hago si introduje mi contraseña en una página falsa?
Cámbiala inmediatamente desde el servicio auténtico, revisa sesiones y métodos de recuperación, activa o comprueba la autenticación multifactor y protege cualquier otra cuenta donde hayas reutilizado esa contraseña.
¿Puedo preguntarle a una IA si un correo es phishing?
Puede ayudarte a analizar señales, pero su evaluación no sustituye comprobar remitente, dominio, cuenta y solicitud mediante canales independientes.
0 comentarios:
Publicar un comentario