Recibes un correo del banco: tu cuenta se ha bloqueado por actividad sospechosa, tienes que verificarla ahora mismo. El logo es idéntico, el tono es el de siempre, hasta el pie de página legal parece calcado. Haces clic, entras tu usuario y tu contraseña en una página que se ve exactamente igual que la de tu banco… y en ese momento, sin que pase nada raro en pantalla, se las acabas de regalar a un desconocido.
Eso es el phishing: no un virus, no un fallo técnico, sino una página web falsa diseñada para que tú mismo entregues tus datos. Y en 2026 es mucho más difícil de detectar de lo que crees, porque las señales que nos enseñaron a buscar (faltas de ortografía, diseños cutres) casi han desaparecido.
Lo que vas a aprender
- Qué es exactamente el phishing y por qué sigue funcionando
- ¿Por qué seguimos cayendo en páginas web falsas?
- Las señales en la URL que casi nadie mira
- Por qué el candado HTTPS ya no es garantía de nada
- El phishing ya no tiene faltas de ortografía: así lo hace la IA ahora
- Quishing y smishing: el phishing que no llega por email
- Los canales por los que llega una página web falsa
- Qué hacer si ya has hecho clic
- Preguntas frecuentes
Qué es exactamente el phishing y por qué sigue funcionando
El phishing consiste en hacerse pasar por una entidad de confianza (tu banco, tu universidad, un servicio que usas a diario) para conseguir que introduzcas tus credenciales en una página que no es la real. No hace falta engañar a un ordenador, solo a una persona durante los dos segundos que tarda en escribir su contraseña sin fijarse bien en la barra de direcciones. Por el camino, esa página falsa puede llegar a ver mucho más de lo que crees, algo que ya explicamos al hablar de qué puede ver realmente una página web.
Microsoft Threat Intelligence detectó cerca de 8.300 millones de intentos de phishing por correo solo en el primer trimestre de 2026. No es un ataque puntual dirigido a ti: es un sistema automatizado que envía millones de mensajes esperando que un pequeño porcentaje pique, y con esos volúmenes, un pequeño porcentaje son miles de personas.
¿Por qué seguimos cayendo en páginas web falsas?
No es que las personas sean poco cuidadosas. Los ataques de phishing funcionan porque están diseñados para aprovechar cuatro cosas muy humanas: la urgencia («tu cuenta se bloquea en 24 horas»), la imitación de situaciones cotidianas que ya conoces, el momento en el que estás distraído (revisando el móvil entre clase y clase), y el uso de marcas en las que ya confías de forma automática.
Ninguna de esas cuatro cosas tiene que ver con ser más o menos listo. Por eso las mismas técnicas siguen funcionando año tras año, aunque cada vez más gente sepa, en teoría, qué es el phishing.
Las señales en la URL que casi nadie mira
La técnica más efectiva sigue siendo la más simple: registrar un dominio casi idéntico al real. Cambiar una «l» minúscula por una «I» mayúscula, añadir un guión, usar «.net» en vez de «.com», o directamente escribir el nombre del banco seguido de «-verificacion» o «-seguridad». A simple vista, en la pantalla pequeña de un móvil, esas diferencias son casi invisibles.
El truco para detectarlo no es leer la URL de corrido, sino fijarte únicamente en la parte que va justo antes de la primera barra después de «https://»: ese es el dominio real, algo distinto de la dirección IP que hay detrás, y también distinto de lo que ocurre justo después de pulsar Enter en la barra de direcciones. Si ves algo como tubanco.com.verificacion-segura.es, el dominio real no es «tubanco.com», es «verificacion-segura.es», y eso ya debería bastar para cerrar la pestaña.
Por qué el candado HTTPS ya no es garantía de nada
Durante años la recomendación fue «fíjate en el candado»: si aparece, la conexión es segura. El problema es que ese candado solo confirma que los datos viajan cifrados entre tu navegador y el servidor, tal y como explicamos al hablar de qué es HTTPS. No dice absolutamente nada sobre quién hay detrás de esa web: el candado protege el camino que siguen tus datos, no la honestidad de quien los recibe.
Hoy en día, cerca de un 20% de las páginas de phishing también usan HTTPS y muestran el candado con toda normalidad, porque los certificados gratuitos son triviales de conseguir para cualquiera, incluidos los estafadores. El candado te dice que nadie está espiando la conexión, no que la página al otro lado sea de fiar.
El phishing ya no tiene faltas de ortografía: así lo hace la IA ahora
Durante mucho tiempo, las faltas de ortografía y las traducciones raras eran la señal más fácil de detectar. Ese filtro ya casi no sirve: con herramientas de IA generativa, cualquiera puede escribir un correo de phishing perfectamente redactado, sin errores, con el tono exacto de una empresa real, en cuestión de segundos. Antes era “Estimado usuario, pulse aquí inmediatamente para verificar”; ahora es un correo con el mismo tono, la misma firma y el mismo formato que usa tu banco de verdad.
Las señales fiables en 2026 ya no son cosméticas, son de comportamiento: la urgencia artificial («tu cuenta se cerrará en 24 horas»), la petición de hacer algo fuera de lo normal (verificar datos que ese servicio nunca te pide por correo), y el canal por el que llega el mensaje. Si tu banco nunca te ha escrito por WhatsApp y de repente lo hace, esa es la señal, no la ortografía.
Quishing y smishing: el phishing que no llega por email
El phishing por SMS, conocido como smishing, ya representa en torno al 35% de todos los ataques de phishing según datos de SentinelOne de 2026, y ha crecido con fuerza porque en el móvil es aún más difícil fijarse en la URL completa antes de tocarla.
La variante más reciente es el quishing: un código QR, pegado en un parquímetro, en un cartel de una cafetería o dentro de un correo, que te lleva a una página falsa. Como el enlace va escondido dentro de una imagen, no puedes pasar el cursor por encima para comprobar el destino antes de hacer clic, que es justo lo que lo hace tan efectivo. Muchos móviles muestran la dirección de destino en una pantalla previa antes de abrir el enlace del código QR: dedicar dos segundos a leerla puede evitar un problema mucho mayor.
Los canales por los que llega una página web falsa
Un resumen rápido de por dónde suele llegar y cómo reconocerlo:
| Canal | Nombre técnico | Señal más fiable |
|---|---|---|
| Correo electrónico | Phishing | Remitente y dominio del enlace no coinciden |
| SMS | Smishing | Mensaje con urgencia + enlace acortado |
| Código QR | Quishing | QR en un lugar donde no lo esperarías |
| Llamada de teléfono | Vishing | Piden datos que esa entidad nunca pide por teléfono |
Qué hacer si ya has hecho clic
Si has introducido tu contraseña en lo que ahora sospechas que era una página web falsa, el orden importa. Primero cambia esa contraseña de inmediato, desde la web oficial escrita a mano en el navegador, nunca desde el enlace del mensaje. Después revisa si has reutilizado esa misma contraseña en otras cuentas, porque si es así, hay que cambiarla también ahí.
Por último, activa la verificación en dos pasos si aún no la tenías, porque es precisamente lo que convierte una contraseña robada en algo inútil para el atacante. En España puedes además denunciar el intento en la Oficina de Seguridad del Internauta, que es el organismo público dedicado a esto.
Preguntas frecuentes
¿Cómo saber si una página web es falsa?
Fijándote en el dominio real de la URL, no en si el texto tiene faltas de ortografía: la urgencia artificial, las peticiones inusuales y un dominio que no coincide exactamente con el oficial son las señales más fiables.
¿El candado verde del navegador significa que la página es segura?
Solo significa que la conexión está cifrada, no que la web sea legítima. Muchas páginas de phishing también tienen HTTPS.
¿Qué es el quishing?
Es phishing a través de códigos QR: escaneas un código que parece normal y te lleva a una página falsa, sin que puedas comprobar antes el enlace de destino.
¿La verificación en dos pasos me protege del phishing?
Te protege de que roben tu cuenta aunque consigan tu contraseña, aunque las llaves físicas FIDO2 son el único método realmente inmune a que introduzcas tu segundo factor también en una página falsa.
¿Dónde denuncio un intento de phishing en España?
En la Oficina de Seguridad del Internauta (OSI), el organismo público español dedicado a la ciberseguridad de los usuarios particulares.
Qué hacer a partir de ahora
- ✔ Lee únicamente el dominio principal antes de escribir cualquier contraseña, no te fijes solo en si aparece un candado.
- ✔ Desconfía de cualquier mensaje que te meta prisa, venga por el canal que venga.
- ✔ No abras códigos QR de origen desconocido sin comprobar antes la dirección de destino.
- ✔ Activa la verificación en dos pasos en tu correo y tu banco: es la red de seguridad cuando todo lo demás falla.
- ✔ Si algo te genera duda, escribe la web a mano en el navegador en vez de usar el enlace del mensaje.
Deja una respuesta