El phishing es un ataque de ingeniería social en el que un ciberdelincuente se hace pasar por una persona u organización de confianza (un banco, una empresa de mensajería, una red social) para engañarte y conseguir que entregues tus contraseñas, datos bancarios u otra información personal. Es, hoy por hoy, el tipo de fraude online más extendido en España.
Qué es el phishing y cómo funciona
La palabra phishing viene del inglés fishing (pesca): el atacante lanza un anzuelo, un mensaje falso, y espera a que alguien pique. El mecanismo se repite siempre igual: crear una sensación de urgencia o de confianza, lograr que hagas clic en un enlace o descargues un archivo, y luego robarte la información o el dinero.
El proceso típico tiene tres pasos:
- El cebo: recibes un mensaje (email, SMS, llamada) que parece venir de una fuente legítima. El texto suele generar alarma: «Tu cuenta ha sido bloqueada», «Tienes un paquete pendiente de pago», «Detectamos un acceso sospechoso».
- El anzuelo: el mensaje incluye un enlace a una web falsa, casi idéntica a la original, o un archivo adjunto con malware.
- El robo: si introduces tus datos en la web falsa o abres el adjunto, el atacante los captura. A partir de ahí puede vaciar tu cuenta bancaria, robar tu identidad o vender tus credenciales.
Según el balance de ciberseguridad de 2025 del INCIBE (Instituto Nacional de Ciberseguridad), el phishing fue la amenaza más frecuente dentro del fraude online, con 25.133 casos gestionados ese año: un aumento notable frente a los 21.571 de 2024.
«El phishing es una técnica que consiste en el envío de un correo electrónico por parte de un ciberdelincuente a un usuario simulando ser una entidad legítima —red social, banco, institución pública, etc.— con el objetivo de robarle información privada, realizarle un cargo económico o infectar el dispositivo.»
Tipos de phishing: el correo electrónico es solo el principio
El phishing adopta muchas formas. Conocerlas ayuda a reconocerlas antes de caer en la trampa.
Phishing por correo electrónico
El más clásico. Recibes un email que imita a tu banco, a Amazon, a la Agencia Tributaria o a cualquier empresa conocida. Incluye tu nombre, logos reales y un tono urgente. El enlace te lleva a una página falsa donde te piden usuario y contraseña.
Spear phishing (phishing dirigido)
A diferencia del phishing masivo, el spear phishing está personalizado. El atacante investiga a la víctima en LinkedIn, redes sociales o bases de datos filtradas y construye un mensaje creíble dirigido específicamente a ella. Cuesta mucho más detectarlo y suele ir contra empleados de empresa o directivos.
Smishing (SMS y WhatsApp)
El phishing llega por SMS o mensajería instantánea. Mensajes como «Tu paquete no pudo entregarse. Paga 1,99 € para reprogramar la entrega: [enlace]» o «Banco Santander: hemos detectado un movimiento sospechoso en tu cuenta» son ejemplos habituales. La brevedad del SMS deja menos margen para detectar señales de alarma.
Vishing (llamadas telefónicas)
El atacante te llama por teléfono, se presenta como técnico de Microsoft, de tu banco o de la Seguridad Social y te presiona para que le facilites datos o instales un programa de acceso remoto. La voz humana genera más confianza que un texto, y por eso es especialmente peligroso para personas mayores.
Whaling (caza de ballenas)
Variante del spear phishing orientada a altos directivos (CEO, CFO). El objetivo es conseguir que autoricen transferencias bancarias urgentes o que entreguen credenciales de sistemas críticos. Las pérdidas por estos ataques suelen ser millonarias.
Clonación de páginas web (clone phishing)
El atacante copia íntegramente una web legítima (la de tu banco, la de Correos, la del Ayuntamiento) y la aloja en un dominio parecido. La víctima llega a través de un enlace en un email o un anuncio falso en Google y no percibe diferencia con la web real.
Resumen: tipos de phishing de un vistazo
| Tipo | Canal principal | Ejemplo típico en España |
|---|---|---|
| Phishing por email | Correo electrónico | Email falso de CaixaBank pidiendo verificar tus datos |
| Spear phishing | Email personalizado | Email al responsable de RRHH con factura adjunta maliciosa |
| Smishing | SMS / WhatsApp | SMS de «Correos» con enlace de pago por arancel de paquete |
| Vishing | Llamada telefónica | Llamada del «servicio técnico de Microsoft» por virus falso |
| Whaling | Email dirigido a directivos | Solicitud urgente de transferencia al director financiero |
| Clone phishing / web falsa | Web clonada + email/anuncio | Copia exacta de la web de la AEAT para robar credenciales |
Señales para reconocer un intento de phishing
Los atacantes cada vez afinan más, pero siguen existiendo pistas que delatan a los mensajes fraudulentos. Aprende a detectarlas y estarás un paso por delante.
El remitente es sospechoso
Aunque el nombre que aparece diga «Banco Santander» o «Correos», mira la dirección de email real. Si el dominio es @sanrtander-alertas.com, @correos-pago.net o cualquier variación con caracteres extra, guiones o dominios raros, es phishing. Los bancos y grandes empresas siempre envían desde su dominio oficial.
Urgencia o amenaza
«Tu cuenta será cancelada en 24 horas», «Acción requerida inmediatamente», «Pago pendiente de confirmación». La urgencia artificial es una de las herramientas más usadas para que actúes sin pensar. Cuando un mensaje te presiona, para y reflexiona antes de hacer nada.
El enlace no cuadra
Pasa el ratón sobre cualquier enlace (sin hacer clic) y mira la URL que aparece abajo en el navegador. Si el texto dice «www.santander.es» pero la URL real apunta a santander-acceso.com o cualquier dirección diferente, es una trampa. En móvil, mantén pulsado el enlace para ver la URL completa antes de abrirla.
Faltas de ortografía o redacción extraña
La IA ha mejorado mucho la calidad de los textos fraudulentos, pero todavía es frecuente encontrar errores gramaticales, tildes mal puestas o frases que suenan a traducción automática. Un banco o institución pública seria no manda comunicaciones con faltas de ortografía.
Dominio falso o ligeramente modificado
Los atacantes registran dominios que se parecen visualmente al original: paypa1.com (con un uno en lugar de ele), amazon-soporte.com, hacienda-agencia-tributaria.net. Compara siempre con el dominio oficial que conoces o que encuentras buscando directamente en Google.
Te piden datos que nunca te pediría la empresa real
Ningún banco, ninguna administración y ninguna empresa seria te pedirá por email tu contraseña, tu PIN, el número completo de tu tarjeta o el código CVV. Si un mensaje lo hace, es fraude sin excepción.
Ejemplos reales de phishing en España
Conocer los escenarios más frecuentes ayuda a reconocerlos cuando los veas.
Suplantación de banco (el más habitual)
Recibes un email aparentemente de tu banco informándote de que «se ha detectado un acceso no autorizado» a tu cuenta y que debes verificar tu identidad en las próximas horas o la cuenta quedará bloqueada. El enlace lleva a una web clonada donde introduces tu usuario, contraseña y, en algunos casos, el código SMS que recibes en ese momento (que el atacante usa en paralelo para entrar en tu cuenta real).
Phishing de paquetería (Correos, DHL, Amazon)
Un SMS te informa de que tienes un paquete retenido y debes pagar 1,99 € de «gastos de aduana». El enlace lleva a una pasarela de pago falsa. Y no se quedan con los datos de tu tarjeta para un solo cargo: muchos la usan para cargos mucho mayores o la venden en la dark web.
Soporte técnico falso (Microsoft, Apple, antivirus)
Una ventana emergente o una llamada te avisa de que tu ordenador está infectado y que debes llamar a un número o instalar un programa de asistencia remota. Una vez dentro, el «técnico» accede a tus archivos, tu banca online o instala malware. Es especialmente efectivo con personas mayores poco habituadas a la tecnología.
Phishing a través de la Agencia Tributaria
En épocas de declaración de la renta, proliferan emails falsos de la AEAT informando de una devolución pendiente. Para «cobrarla», piden que introduzcas los datos de tu cuenta bancaria en un formulario falso.
Cómo protegerte del phishing: medidas concretas que funcionan
La buena noticia es que el phishing se puede prevenir con hábitos sencillos. Van de mayor a menor impacto.
1. Verifica siempre el remitente y la URL antes de actuar
Antes de hacer clic en cualquier enlace de un email o SMS, comprueba la dirección real del remitente y la URL de destino. Si recibes un mensaje supuestamente de tu banco, no uses el enlace del mensaje: abre el navegador y escribe directamente la dirección de tu banco que ya conoces. Ese simple gesto elimina casi todo el riesgo.
2. Activa la autenticación en dos factores (MFA) en todas tus cuentas
El doble factor de autenticación añade una segunda barrera de seguridad: aunque el atacante consiga tu contraseña, necesitará también el código que recibes en tu móvil o en una app autenticadora. Actívalo en tu email, banco, redes sociales y cualquier servicio importante. Es la medida individual más eficaz contra el phishing, y a mi juicio la que menos gente activa pese a lo sencilla que es.
3. No hagas clic en enlaces ni descargues adjuntos sospechosos
Si un mensaje genera urgencia o no lo esperabas, no hagas clic. Contacta directamente con la empresa o persona a través de sus canales oficiales (web, teléfono oficial) para verificar si el mensaje es real. En caso de duda, borra el mensaje.
4. Usa un gestor de contraseñas
Un gestor de contraseñas como Bitwarden, 1Password o KeePass guarda tus credenciales de forma segura y solo las rellena automáticamente en el dominio correcto. Si estás en una web falsa, el gestor no rellenará nada porque reconocerá que el dominio no coincide. También te permite tener contraseñas únicas y complejas para cada servicio, lo que limita el daño si una se ve comprometida.
5. Mantén el software actualizado
Muchos ataques de phishing van acompañados de malware que explota vulnerabilidades en sistemas y navegadores desactualizados. Mantener Windows, macOS, el navegador y las aplicaciones al día cierra esas puertas traseras. Activa las actualizaciones automáticas si puedes.
6. Usa filtros antiphishing en tu navegador y email
Los navegadores modernos (Chrome, Firefox, Edge) incluyen protección integrada contra sitios de phishing conocidos. Los servicios de email como Gmail o Outlook también filtran una gran parte de los mensajes fraudulentos. Son una red de seguridad extra, pero no la única.
7. Desconfía por defecto de mensajes urgentes no esperados
Interiorizar una regla simple te protege en la mayoría de situaciones: ninguna empresa o banco de confianza te pedirá datos sensibles por email, SMS o teléfono de forma urgente. Cuando algo te presione a actuar rápido, para. Esa pausa es tu mejor defensa.
Si quieres entender mejor los fundamentos de la seguridad digital para protegerte en todos los ámbitos, consulta nuestra guía sobre cómo empezar en ciberseguridad desde cero.
Qué hacer si has caído en un ataque de phishing
No entres en pánico. Si crees que has sido víctima de phishing, actúa de forma rápida y ordenada:
- Cambia las contraseñas de inmediato. Empieza por la cuenta afectada y sigue por cualquier otro servicio en el que uses la misma contraseña. Hazlo desde un dispositivo seguro (no el que puede estar comprometido).
- Avisa a tu banco si diste datos bancarios. Llama a tu entidad financiera a través de su número oficial (el que figura en tu tarjeta o en la web oficial, no en el mensaje que recibiste) y reporta el incidente. Pueden bloquear movimientos sospechosos o emitir una nueva tarjeta.
- Activa el doble factor en todas tus cuentas importantes si aún no lo tenías. Esto corta el acceso aunque el atacante tenga tu contraseña.
- Denuncia el incidente. Puedes hacerlo ante la Policía Nacional o la Guardia Civil, o a través del canal de reporte del INCIBE (017 o su web). La denuncia ayuda a que las autoridades rastreen y desactiven las campañas de phishing activas.
- Si descargaste un archivo, pasa un análisis antivirus completo en tu dispositivo. Herramientas como Malwarebytes o Windows Defender pueden detectar y eliminar malware instalado durante el ataque.
- Revisa los movimientos de tus cuentas durante las semanas siguientes para detectar cargos no autorizados. Muchos atacantes esperan unos días antes de actuar para no levantar sospechas inmediatas.
El phishing es una de las puertas de entrada más comunes a ataques más complejos. Si te interesa entender cómo funcionan las amenazas desde el otro lado, la guía sobre qué es el hacking ético te dará una perspectiva muy útil sobre cómo piensan los atacantes y cómo se defienden las organizaciones.
Aprende más: vídeo explicativo de INCIBE
El Instituto Nacional de Ciberseguridad de España (INCIBE) publicó este vídeo educativo donde explica de forma clara qué es el phishing y qué técnicas usan los atacantes. Ideal para compartir con cualquier persona que quiera entender la amenaza sin conocimientos técnicos:
Preguntas frecuentes sobre phishing
¿Puede el phishing afectarme aunque tenga antivirus?
Sí. El phishing es un engaño psicológico, no un virus: no actúa infectando tu ordenador directamente, sino convenciéndote de que entregues tus datos o hagas clic en un enlace. Un antivirus detecta malware, pero no puede evitar que tú decidas introducir tu contraseña en una web falsa. La protección más eficaz combina antivirus actualizado, buenos hábitos de verificación y el doble factor de autenticación.
¿Cómo sé si un sitio web es falso?
Revisa la URL en la barra del navegador: debe coincidir exactamente con el dominio oficial (por ejemplo, www.caixabank.es, no caixabank-clientes.com). Verifica también que hay un candado de seguridad (HTTPS), aunque ojo: el candado solo significa que la conexión está cifrada, no que el sitio sea legítimo. Ante cualquier duda, cierra la pestaña y accede directamente desde la web oficial que ya conoces.
¿El phishing por SMS (smishing) es igual de peligroso que por email?
En muchos casos es más peligroso: los SMS tienen una tasa de apertura mucho mayor que los emails, la brevedad del mensaje deja menos espacio para detectar señales de alerta, y los teléfonos móviles tienen pantallas más pequeñas donde la URL completa no se ve de un vistazo. Aplica exactamente las mismas precauciones: no hagas clic en enlaces de mensajes inesperados y verifica siempre por los canales oficiales.
¿Puedo reportar un phishing que he recibido?
Sí, y es muy recomendable. Puedes reportarlo en España llamando a la línea de ayuda del INCIBE en el 017 (gratuita, de 8 a 23 h) o a través de incibe.es. También puedes denunciarlo ante la Policía Nacional o la Guardia Civil. Si el phishing llega a tu correo corporativo, avisa también al departamento de IT de tu empresa.
¿Es el phishing lo mismo que el spam?
No exactamente. El spam es correo no solicitado: publicidad, newsletters que no pediste, mensajes masivos. Puede ser molesto, pero en general no busca robarte nada. El phishing es un ataque deliberado que usa técnicas de engaño para robarte credenciales, dinero o información personal. Eso sí, mucho phishing llega disfrazado de spam, por lo que los filtros antispam también ayudan a bloquearlo.
Sigue aprendiendo sobre ciberseguridad
El phishing es solo una de las muchas amenazas del entorno digital. Si quieres profundizar y desarrollar una base sólida de conocimientos en ciberseguridad, estos recursos de este mismo sitio te serán muy útiles:
- Cómo empezar en ciberseguridad desde cero: la guía de inicio para quienes quieren formarse en este campo sin saber por dónde empezar.
- Qué es el hacking ético: entiende cómo piensan los atacantes para aprender a defenderte mejor.
- Cómo trabajar en ciberseguridad: si el mundo de la ciberseguridad te ha despertado la curiosidad profesional, aquí encontrarás el mapa de salidas laborales.
- OWASP Top 10: las diez vulnerabilidades web más críticas, una lectura importante para entender cómo se atacan las aplicaciones y cómo se protegen.
