Cómo Identificar un Correo de Phishing en Gmail

Gmail ya bloquea más del 99,9 % del spam, el phishing y el malware antes de que te lleguen — unos 10 millones de correos de spam cada minuto, según las cifras de Google. El problema es la fracción que pasa: son los mensajes lo bastante bien hechos para vencer a un filtro automático, lo que significa lo bastante bien hechos para engañar también a un humano con prisa. Yo recibo una falsificación convincente cada pocas semanas, y las que aterrizan nunca son las torpes. Aquí tienes exactamente cómo identificar un correo de phishing en Gmail — leer los avisos, comprobar el remitente real, probar los enlaces sin riesgo y saber qué hacer en cuanto algo te pide la contraseña.

Cómo es el phishing en Gmail

El phishing es un mensaje que se hace pasar por alguien de confianza para sacarte una contraseña, un pago o datos personales. En Gmail suele llegar como una marca o un contacto que reconoces, con un motivo para actuar ya y un enlace o un adjunto que hace el robo real.

El INCIBE, a través de su Oficina de Seguridad del Internauta, describe el phishing como un fraude que suplanta a una entidad de confianza para robar credenciales y datos personales. El objetivo es siempre el mismo — que hagas algo que no harías si te detuvieras a pensar. En Gmail ese «algo» casi siempre es uno de tres movimientos: hacer clic en un enlace a una página de inicio de sesión falsa, descargar un adjunto que instala malware, o responder con datos que nunca deberían enviarse por correo.

Lo que hace difícil al phishing moderno es el acabado. Las versiones de aficionado — español roto, dirección desconocida, estafa evidente — Gmail las filtra por millones. Las que llegan a tu bandeja toman prestados logos reales, copian el tono exacto de una empresa y suplantan un nombre de remitente que conoces. Así que la pregunta nunca es «¿parece profesional?», sino «¿puedo verificar, por mi cuenta, que es real?». El resto de esta guía explica cómo responderla en menos de un minuto, sin morder el anzuelo.

Lee los avisos de Gmail

Gmail señala el correo arriesgado con un banner de color antes de que leas. Un banner rojo significa que sospecha con fuerza un phishing y te dice que no hagas clic ni respondas; uno amarillo significa que no pudo verificar al remitente. Un mensaje que aun así lleva un aviso ya ha fallado una comprobación automática — confía en el banner.

Gmail hace gran parte del trabajo por ti, y la mayoría se salta la señal más obvia: el banner sobre el mensaje. Según la Ayuda de Gmail de Google, Gmail muestra estos avisos cuando detecta un riesgo:

• Banner rojo — probable phishing. Gmail sospecha un intento de robar tus datos y aconseja no hacer clic en los enlaces, no descargar adjuntos y no responder. Es el aviso más fuerte de Gmail. No discutas con él.
• Banner amarillo — remitente no verificado. Gmail no pudo confirmar la identidad del remitente, a menudo porque la dirección estaba suplantada o el dominio falló la autenticación. El mensaje puede ser legítimo, pero trátalo como culpable hasta que lo hayas verificado por otra vía.
• Avisos de suplantación y remitente no confirmado. Gmail también señala direcciones parecidas a las que conoces y remitentes cuya identidad no puede confirmar — dos montajes clásicos del phishing.

Estos banners no son cautela de cara a la galería. Google afirma que Gmail bloquea más del 99,9 % del spam, los intentos de phishing y el malware. Un mensaje que ha superado eso y aun así lleva un aviso es, estadísticamente, del tipo peligroso. El banner es la señal más barata que vas a obtener — léelo primero, cada vez, antes de leer el propio correo.

Comprueba el remitente real

El nombre mostrado es decoración; la dirección tras la arroba es la verdad. Haz clic o toca el nombre del remitente para desplegar la dirección real, y busca luego dominios parecidos, webmails públicos con uniforme de empresa y cualquier desajuste entre la marca y el dominio.

«Equipo de Seguridad de PayPal» es una etiqueta que cualquiera puede escribir. Debajo puede esconderse [email protected] — y esa parte es la que te dice si confiar. En Gmail, haz clic en el nombre del remitente en el ordenador (o toca la flecha en el móvil) para desplegar la dirección completa. Luego léela como un detective:

• Dominios parecidos. paypa1.com con un número uno, microsoft-soporte.co, amaz0n-facturacion.net. Los atacantes registran dominios que un vistazo confunde con el real.
• Webmail público con uniforme. Un banco, una empresa de mensajería o una administración que te escribe desde @gmail.com o @outlook.com es una falsificación casi segura. Las organizaciones reales envían desde su propio dominio.
• Desajuste marca-dominio. El correo dice venir de tu banco, pero el dominio tras la arroba no tiene nada que ver con él. Ese hueco es toda la estafa.

Cuando una dirección parece plausible pero dudas, encuentra a la empresa por un canal en el que ya confíes — escribe tú mismo su URL o usa un número de tu tarjeta, nunca uno del correo. Si quieres confirmar qué te ha escrito ya un remitente conocido, busca en Gmail por remitente para comparar este mensaje con su historial real; un cambio brusco de tono, dominio o formato es una pista. La dirección es donde la mayoría de los phishings se vienen abajo — solo que es fácil deslizarse sobre el nombre mostrado y no mirar nunca debajo.

Inspecciona los enlaces antes de hacer clic

No te fíes nunca del texto del enlace — fíate del destino. En el ordenador, pasa el cursor sobre un enlace y lee la URL real abajo a la izquierda; en el móvil, mantén pulsado para verla en vista previa. Si el texto visible y la dirección real no coinciden, o el dominio está mal escrito o es desconocido, no hagas clic.

El enlace es donde un phishing hace su trabajo, y también donde se delata. Un botón que dice «Verifica tu cuenta» puede llevar a cualquier sitio. Antes de hacer clic, obliga al destino real a mostrarse:

• En el ordenador, posa el cursor sobre el enlace sin hacer clic. Gmail muestra la URL real abajo a la izquierda de la ventana. Compárala con el texto visible.
• En el móvil, mantén pulsado el enlace hasta que aparezca una vista previa, y lee el dominio antes de decidir.

Lo que compruebas es simple: ¿el destino coincide con el dominio real del remitente y está bien escrito? Tanto las indicaciones de Google sobre phishing como los organismos de protección aconsejan verificar adónde lleva un enlace antes de seguirlo, porque las empresas legítimas no tienen motivo para disfrazarlo. Dos reglas más: los enlaces acortados (bit.ly y similares) ocultan su destino, así que desconfía de ellos en correo inesperado; y una página de inicio de sesión a la que llegas desde un enlace de correo nunca debería ser donde escribes tu contraseña — abre el sitio tú mismo. El mismo reflejo vale para los adjuntos: una factura inesperada, un «albarán de envío» o un archivo de «mensaje de voz» son vías habituales de malware, así que confirma con el remitente por otro canal antes de abrir nada.

El lenguaje de un phishing

El phishing manipula la emoción para cortocircuitar el juicio. Las señales: urgencia («actúa en 24 horas»), amenaza («tu cuenta será suspendida») y peticiones de cosas que ninguna empresa seria pide por correo — tu contraseña, el número completo de tu tarjeta o un pago en tarjetas regalo.

Más allá de las señales técnicas, el phishing tiene una voz, y una vez que la oyes ya no puedes ignorarla. El guion está diseñado para que actúes antes de pensar:

• Urgencia fabricada. «Tu cuenta se cerrará en 24 horas.» «Inicio de sesión sospechoso — confirma ahora.» La presión es el objetivo; te impide comprobar.
• Amenaza o miedo. Suspensión, una multa, una alerta de fraude, un paquete retenido en aduana. El miedo hace clicar.
• Peticiones que ninguna empresa real hace. Según Google, Gmail «nunca te pedirá información personal, como tu contraseña, por correo» — y tu banco tampoco. Una petición de contraseña, PIN, número completo de tarjeta o código de un solo uso es phishing, sin más.
• Demasiado bueno para ser verdad. Un reembolso que te deben, un premio, una herencia, una fortuna en criptomonedas. Si no participaste, no ganaste.
• Detalles que chirrían. Un «Estimado cliente» genérico, pequeños fallos de gramática, un logo ligeramente mal, una dirección de respuesta distinta de la del remitente.

Ninguna señal por sí sola es prueba — una empresa real puede sonar urgente. Pero urgencia más una petición de credenciales más un enlace a un dominio desconocido no es casualidad; es la receta. Cuando la presión emocional y el desajuste técnico se alinean, estás ante un phishing. Confiar en ese instinto también significa no denunciar de más el correo normal: si un boletín real te molesta, márcalo como no spam y date de baja, en vez de tratar cada correo no deseado como un ataque.

Denuncia y borra

Denunciar gana a borrar. Abre el mensaje, haz clic en Más (los tres puntos) junto a Responder y elige Marcar como phishing — Gmail lo elimina y lo usa para proteger a todos. Después bórralo. No respondas nunca, ni siquiera para «darte de baja», porque una respuesta confirma que tu dirección está activa.

Borrar un phishing te protege; denunciarlo protege a todos, incluido tu yo futuro. Según la Ayuda de Gmail de Google, los pasos son:

1. Abre el mensaje sospechoso.
2. Haz clic en Más (el menú de tres puntos) junto a Responder.
3. Selecciona Marcar como phishing.

Gmail entonces elimina el mensaje y lo reincorpora al filtro, afinando la detección de ese patrón de ataque. Si Gmail marcó por error un correo genuino, el mismo menú ofrece Marcar como no phishing para corregirlo. Lo que no debes hacer es responder — ni para protestar, ni para preguntar «¿es real?», ni siquiera por el enlace de «darse de baja» dentro de un phishing sospechoso, porque cualquier respuesta le dice al atacante que la dirección está vigilada y merece más ataques. Si tu bandeja se ahoga en spam que oculta las amenazas reales, saber denunciar el spam con constancia y limpiar tu carpeta de spam mantiene la relación señal-ruido lo bastante alta como para que un phishing real destaque en lugar de confundirse con la masa.

Si ya has hecho clic

Actúa rápido y contén el daño. Si introdujiste una contraseña, cámbiala ahora y activa la verificación en dos pasos; cámbiala allí donde la hayas reutilizado. Analiza tu dispositivo, vigila tus cuentas, avisa a informática si era una cuenta de trabajo y luego denuncia el mensaje original.

Caer en un phishing no es la catástrofe — no reaccionar lo es. Si hiciste clic en un enlace o, peor, escribiste algo en una página falsa, sigue este orden:

• La contraseña primero. Si la introdujiste, cámbiala de inmediato en el sitio real y allí donde la reutilizaras. La reutilización convierte un phishing en cinco cuentas comprometidas.
• Activa la verificación en dos pasos. Bloquea a un atacante que ya tiene tu contraseña. Si la cuenta era tu cuenta de Google, repasar tus opciones de recuperación de cuenta y asegurarlas es la prioridad.
• Analiza tu dispositivo. Si descargaste o abriste un adjunto, ejecuta un análisis antimalware antes de hacer cualquier otra cosa sensible.
• Vigila el fraude. Revisa tus extractos bancarios y la actividad reciente de tu cuenta de Google por algo que no hayas hecho. Si Gmail en sí se siente raro — correo enviado extraño, ajustes que no cambiaste —, sigue enseguida los pasos para una cuenta comprometida.
• Escala en el trabajo. Una cuenta de trabajo supone un riesgo para la organización. Avisa de inmediato a tu equipo de informática o seguridad; la rapidez limita el alcance.
• Denúncialo. Por último, denuncia el mensaje original en Gmail para que el ataque quede registrado y otros estén protegidos.

La ventana entre el clic y la acción del atacante es tu ventaja. Aprovéchala.

Veredicto

Identificar un correo de phishing en Gmail se reduce a cuatro hábitos: leer el banner de aviso, desplegar la dirección real del remitente, pasar el cursor sobre los enlaces antes de hacer clic y tratar como hostil toda petición de contraseña o pago. Gmail atrapa el 99,9 %; estas comprobaciones cubren el resto.

Ideal para: quien quiera una rutina repetible, en menos de un minuto, en lugar de una vaga sensación de cautela. Banner, remitente, enlaces, lenguaje — pasa esas cuatro comprobaciones por todo lo que te pida actuar, y las falsificaciones pulidas que se cuelan por los filtros de Gmail dejan de ser una apuesta.

Cuidado si: tomas la ausencia de aviso como un visto bueno. El 99,9 % de Gmail es excelente, no perfecto, y el phishing más peligroso es justo el diseñado para llegar sin banner. Las comprobaciones manuales no duplican el filtro — cubren el hueco que él deja.

Lee el banner primero, fíate de la dirección más que del nombre mostrado, no hagas clic nunca en un enlace que no hayas inspeccionado, y denuncia en vez de responder. Combina esos hábitos con una bandeja más tranquila, y el raro phishing que te alcance topará con un lector que lo busca en lugar de uno que pasa con prisa.

Alexis Dollé

Fundador & Editor

Alexis Dollé, experto en correo desde hace más de 10 años. Fundador de Email Tools. Pruebo yo mismo cada cliente de correo y cada herramienta, y luego escribo sobre ellos como se lo explicaría a un amigo — sin palabrería de marketing, sin rankings patrocinados, con cada afirmación documentada.

LinkedIn

Relacionado: Pasos si tu cuenta de Gmail está comprometida — qué hacer tras un ataque con éxito. Cómo denunciar spam en Gmail — mantener el filtro afilado y la bandeja tranquila. Revisa tu carpeta de spam de Gmail — donde aterriza el phishing marcado.