Cómo reconocer un correo de phishing: ejemplos de Suiza y qué hacer si ha hecho clic

Un correo de phishing se reconoce sobre todo por tres cosas: la dirección del remitente no coincide con el supuesto remitente, el enlace lleva a un dominio ajeno y se le presiona para pagar algo o introducir sus datos de acceso. La regla más segura es: no actúe a través del enlace del correo, abra usted mismo la app o el sitio web del proveedor. Lo que no aparezca allí es muy probablemente falso.

Estafas de phishing típicas en Suiza

Los estafadores suelen hacerse pasar por remitentes con los que uno trata habitualmente. En Suiza se repiten sobre todo estos patrones:

Correos, paquetes y aranceles

Un paquete habría sido retenido, la entrega habría fallado o quedarían aranceles o tasas de almacenaje pendientes, a menudo solo unos pocos francos. El enlace lleva a una página copiada que roba los datos de la tarjeta. Según Correos de Suiza, nunca se piden por SMS o correo electrónico contraseñas, códigos de seguridad ni datos completos de la tarjeta de crédito.

Banco y tarjeta de crédito

Su cuenta estaría a punto de bloquearse, habría que confirmar un pago o actualizar sus datos. A menudo sigue una llamada en la que alguien se hace pasar por empleado del banco con un idioma impecable. Ningún banco pide contraseñas ni la confirmación de datos de la tarjeta por correo. Abra la banca en línea solo desde la app o una dirección escrita por usted.

Renovación de dominio y servicios de inscripción

Los titulares de dominios reciben correos o cartas que parecen una factura de renovación: su dominio .ch estaría a punto de vencer y se deberían varios cientos de francos por el registro o por un «servicio de inscripción», pagaderos en una cuenta extranjera. Las policías cantonales advierten con regularidad sobre estas supuestas facturas de dominio. Renueve su dominio solo con el registrador en el que está registrado; cualquier consulta WHOIS le indica cuál es.

Factura de hosting y buzón lleno

Un pago habría fallado y su sitio web se suspendería, o su buzón estaría lleno y habría mensajes retenidos. El enlace lleva a una página de acceso falsa del webmail o del área de cliente. Compruebe siempre las facturas pendientes directamente en el área de cliente de su proveedor.

Comprobar el remitente

El nombre que muestra un correo puede ser cualquiera. Lo que cuenta es la dirección que hay detrás y, sobre todo, el dominio después de la @. Toque o haga clic en el nombre para ver la dirección completa.

• Dominio ajeno: el nombre dice «Correos de Suiza», pero la dirección termina en @entrega-paquetes.info o @gmail.com.
• Dominio parecido: caracteres cambiados o añadidos como p0st.ch, post-ch.com o seguridad-su-banco.ch.
• Dirección de respuesta distinta: las respuestas van a otra dirección que la del remitente.
• Saludo impersonal como «Estimado cliente», aunque el proveedor real conoce su nombre.

Si quiere profundizar, abra los encabezados del correo (en muchos programas «Mostrar original» o «Ver código fuente»). En «Authentication-Results» verá si SPF, DKIM y DMARC se superaron. Un «fail» en un correo que supuestamente viene de su banco es una señal de alarma clara. Al contrario, un «pass» solo significa que el correo procede realmente del dominio indicado, no que ese dominio sea de fiar.

Comprobar enlaces sin hacer clic

En el ordenador, pase el ratón por encima del enlace y espere a que aparezca la dirección de destino en la parte inferior de la ventana. En el móvil, mantenga pulsado el enlace hasta que aparezca la vista previa. Después lea el dominio de derecha a izquierda, a partir de la primera barra simple:

Cuidado también con los códigos QR en correos o cartas: ocultan la dirección igual de bien. Y un candado en la barra de direcciones solo significa que la conexión está cifrada. Los sitios de phishing también usan HTTPS.

Consejo: Cree marcadores para su banco, Correos, los impuestos y su proveedor de hosting, o use las apps oficiales. Así nunca tendrá que seguir un enlace recibido por correo.

Otras señales de alarma

• Urgencia: «en un plazo de 24 horas», «último aviso», «su cuenta será eliminada».
• Adjuntos inesperados, sobre todo archivos ZIP, HTML u Office con macros.
• Importe o número de factura que no coinciden con ninguna factura de su cuenta de cliente.
• Petición de cambiar los datos bancarios o de pagar a un nuevo IBAN.
• Faltas de ortografía, idiomas mezclados o una hora de envío poco habitual.

Ha hecho clic o introducido datos: ¿y ahora qué?

Si solo hizo clic en el enlace sin introducir ni descargar nada, normalmente no se ha producido ningún daño. Cierre la página. Si introdujo datos o abrió un adjunto, actúe de inmediato:

1. Cambiar la contraseña de la cuenta afectada y en todos los sitios donde use la misma contraseña. Si se trata de su cuenta de correo, cambie también las contraseñas de los servicios vinculados a esa dirección.
2. Si introdujo datos de tarjeta o bancarios, llamar enseguida al banco o al emisor de la tarjeta y bloquearla.
3. Activar la autenticación en dos pasos donde aún no la tenga.
4. Buscar en la cuenta de correo reenvíos y reglas de filtro desconocidos y eliminarlos.
5. Si abrió un adjunto o instaló un programa, desconectar el dispositivo de la red y hacerlo revisar. Si se instaló un programa de acceso remoto, desinstalarlo.
6. Si hubo un perjuicio económico, presentar denuncia ante la policía, por ejemplo a través de Suisse ePolice o en una comisaría.

Notificar el phishing

Las notificaciones ayudan a bloquear antes los sitios falsos. La Oficina Federal de Ciberseguridad, que hasta finales de 2023 se llamaba Centro Nacional de Ciberseguridad (NCSC), gestiona para ello el sitio antiphishing.ch:

• Reenviar los correos de phishing sin comentarios a reports@antiphishing.ch. El buzón se procesa automáticamente y no recibirá respuesta.
• Notificar los sitios de phishing mediante el formulario de antiphishing.ch.
• Si desea una respuesta o quiere notificar otro incidente, usar el formulario de notificación de la Oficina Federal de Ciberseguridad.
• Informar también a la empresa en cuyo nombre se envió el correo. Muchas tienen su propia dirección para avisos.

Después puede borrar el correo. No responda nunca a un correo de phishing: solo confirmaría que su dirección está activa.

Para empresas: SPF, DKIM y DMARC

El phishing no solo apunta a su personal. Los estafadores también envían correos en nombre de su empresa, por ejemplo facturas falsas a sus clientes. Contra esto ayudan tres registros DNS de su dominio:

• SPF define qué servidores pueden enviar correo para su dominio.
• DKIM firma los correos salientes para que los destinatarios puedan comprobar que proceden de usted sin cambios.
• DMARC indica a los servidores receptores qué hacer con los correos que no tienen ni SPF ni DKIM válidos y alineados con el dominio del remitente: solo observar (none), enviar a spam (quarantine) o rechazar (reject).

Solo con DMARC en quarantine o reject resulta difícil para los estafadores entregar correos con exactamente su dominio de remitente. Los registros no ayudan contra falsificaciones con dominios parecidos como su-empresa-ch.com. Por eso una buena protección incluye también algunas reglas internas: confirmar siempre por teléfono, a un número conocido, cualquier cambio de datos bancarios, autorizar los pagos con el principio de los cuatro ojos e informar regularmente al personal sobre las estafas actuales. En nuestra guía sobre SPF, DKIM y DMARC explicamos paso a paso cómo configurar los registros.

Consejo: Empiece DMARC con p=none y una dirección para informes. Los informes muestran qué servicios envían en su nombre. Solo cuando todos los remitentes legítimos estén bien configurados, endurezca a quarantine y luego a reject.

En los planes de correo de HostOn, DKIM, SPF y DMARC vienen preparados, y los mensajes entrantes los revisa Rspamd contra el spam y ClamAV contra los virus. Cómo reconocer los mensajes auténticos de HostOn lo explicamos en nuestra página de avisos de phishing.