El phishing ya no se reconoce solo por las faltas de ortografía. La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos advierte que, en la era de la inteligencia artificial, muchos correos falsos tienen una redacción perfecta. La pista dejó de ser el error evidente y pasó a ser el contexto: quién escribe, qué pide, con qué urgencia y a dónde lleva el enlace.

Cómo funciona el engaño

El phishing ocurre cuando un criminal intenta que abras un enlace, un archivo o un correo peligroso que solicita información personal o infecta tu dispositivo. Los mensajes suelen llegar por correo electrónico, mensajes de texto, mensajes directos en redes sociales o llamadas, y a menudo se hacen pasar por una persona u organización de confianza. El objetivo puede ser robar contraseñas, datos bancarios, códigos de verificación o instalar software malicioso.

El Centro Nacional de Ciberseguridad del Reino Unido describe el mismo patrón: los estafadores usan correos, mensajes o llamadas para que visites un sitio que puede descargar un virus o robar datos bancarios. La diferencia entre un intento burdo y uno peligroso no es el diseño, sino la precisión con la que imita un contexto real.

Señales en un correo electrónico

La CISA recomienda mirar estos indicios:

  • Lenguaje urgente o emocional. Mensajes que anuncian consecuencias graves si no respondes de inmediato.
  • Solicitudes de datos personales o financieros. Contraseñas, números de tarjeta, códigos de un solo uso o documentos de identidad.
  • URL acortadas o sospechosas. Enlaces que no muestran el dominio real o que usan acortadores para ocultarlo.
  • Direcciones incorrectas o parecidas. Un dominio como «amazan.com» en lugar del oficial, o una variación con guiones y subdominios.
  • Adjuntos inesperados. Facturas, currículos o comprobantes que no pediste.

La ortografía ya no es un indicador confiable. Si el mensaje es perfecto pero te pide algo que no esperabas, la duda sigue siendo válida. También conviene revisar la dirección completa del remitente, no solo el nombre que muestra el cliente de correo, y pasar el cursor sobre los enlaces para ver el destino real antes de hacer clic.

Señales en un SMS o en una aplicación de mensajería

Los mensajes de texto y las aplicaciones de mensajería son un canal frecuente porque se leen rápido y en el teléfono es más difícil inspeccionar un enlace. Algunas señales:

  • Un remitente desconocido que dice ser tu banco, una empresa de envíos o un servicio de pagos.
  • Un enlace corto para «verificar» una cuenta, «reactivar» un servicio o «recibir un reembolso».
  • La petición de un código de verificación que supuestamente debes compartir con un supuesto empleado.
  • Mensajes que llegan justo después de una compra o un trámite real, para aprovechar la confusión.

El código de verificación es especialmente delicado: si alguien te lo pide, probablemente está intentando entrar a tu cuenta. Ningún banco ni servicio legítimo necesita que le dictes ese código.

Qué hacer antes de hacer clic

La CISA resume la respuesta en tres pasos: reconocer, resistir y eliminar. Si sospechas, no hagas clic en enlaces ni abras adjuntos. No respondas al mensaje y no uses el enlace de «darse de baja», que también puede ser parte del engaño. Reporta el mensaje desde la opción de la plataforma o el botón de spam y bórralo.

Si el mensaje parece real, no uses los datos de contacto que aparecen en él. Abre la aplicación oficial o escribe la dirección del sitio a mano y verifica desde ahí. Para una llamada, busca el número en la página oficial de la empresa, no el que viene en el mensaje.

Qué hacer si ya hiciste clic o compartiste datos

Actúa rápido y sin vergüenza: es un delito, no una falla personal. Cambia la contraseña de la cuenta afectada desde otro dispositivo, activa la verificación en dos pasos, revisa las sesiones abiertas y los movimientos recientes. Si compartiste datos bancarios, contacta a tu banco por el canal oficial. Si el dispositivo muestra comportamientos extraños, busca orientación de un especialista.

La Oficina de Investigaciones del FBI recibe denuncias de delitos en internet a través del Centro de Quejas de Delitos en Internet (IC3). En Venezuela, además de reportar a la plataforma, conviene acudir a los canales de denuncia de las autoridades competentes. Guarda capturas del mensaje, la dirección del remitente y los enlaces: son evidencia útil.

Por qué reportar sirve

Reportar no solo protege tu cuenta. El NCSC británico señala que las denuncias permiten investigar y retirar direcciones y sitios de estafa. A octubre de 2026, esa entidad había recibido más de 60,5 millones de reportes y había logrado retirar 267.300 estafas en 472.300 URL. Cada reporte alimenta sistemas que bloquean campañas antes de que lleguen a otras personas.

La regla que resume todo

Desconfía de la urgencia y verifica por un canal distinto al que te contactó. Si un mensaje te pide credenciales, códigos o dinero, la carga de la prueba está de tu lado: no hagas clic, no respondas y comprueba en la aplicación o el sitio oficial. La comodidad de un enlace es lo que el atacante necesita; tu pausa es la defensa más simple.