¿Qué es el phishing y por qué es tan eficaz?
El phishing es la práctica de enviar correos fraudulentos haciéndose pasar por organizaciones de confianza —bancos, empresas de mensajería, organismos públicos, proveedores de correo— para que la persona acabe entregando sus credenciales, datos bancarios o información personal.
Es eficaz por una razón muy simple: caer no requiere conocimientos técnicos. Un correo de phishing convincente se ve igual que uno real. El nombre del remitente cuadra. El logotipo es el correcto. El texto está bien redactado. Las únicas señales son sutiles —un dominio ligeramente distinto, un enlace que no termina en el sitio que dice—, y la mayoría de las personas no las busca activamente cuando abre su bandeja de entrada.
El volumen es asombroso. Cada día se envían más de 3.400 millones de correos de phishing. En 2023, el phishing estuvo implicado en el 36 % de todas las brechas de datos. Y el principal punto de ataque es siempre el mismo: tu dirección de correo.
6 tipos de ataques de phishing que debes conocer
Phishing por correo electrónico — campañas masivas que se hacen pasar por marcas conocidas (bancos, empresas de paquetería, plataformas de streaming). Lanzan red ancha y juegan al volumen.
Spear phishing — ataques dirigidos que usan tu nombre, tu empresa o una actividad reciente para parecer personalizados. Muchísimo más convincentes que las campañas en masa.
Whaling — spear phishing apuntado específicamente a directivos u objetivos de alto valor. Muy investigado, suele suplantar a miembros del consejo o al departamento legal.
Smishing — phishing por SMS, normalmente con enlaces acortados. Crece rápido a medida que mejoran los filtros de correo.
Vishing — phishing por llamada de voz. A menudo aparece después de un correo, para reforzar la legitimidad (“te llamo por el correo que acabamos de enviarte”).
Clone phishing — el atacante intercepta un correo legítimo que ya recibiste y reenvía una copia casi idéntica con los enlaces sustituidos por enlaces maliciosos.
8 señales de alerta de un correo de phishing
El dominio del remitente no coincide con la empresa. Un correo real de PayPal sale de @paypal.com, no de @paypal-security.net, @paypal.support-team.com ni cualquier variante. Comprueba el dominio real, no solo el nombre que se muestra.
Enlaces que no llevan a donde dicen llevar. Pasa el cursor por encima de cualquier enlace antes de hacer clic. Si la URL que aparece no coincide con lo que dice el correo, no hagas clic. En el móvil, mantén pulsado para previsualizarla.
Adjuntos inesperados, sobre todo .zip, .exe o .doc. Los adjuntos son una vía habitual de distribución de malware. Un banco serio, un organismo público o un empleador prácticamente nunca te enviará un adjunto que no hayas pedido.
Peticiones de contraseñas, números de tarjeta o datos personales. Ninguna organización legítima te va a pedir nunca por correo tu contraseña, tu PIN, tu número completo de tarjeta o tu DNI completo. Eso es siempre un intento de phishing.
Saludos genéricos en lugar de tu nombre real. Las campañas masivas de phishing suelen usar “Estimado cliente” o “Hola, usuario” en vez de tu nombre. No es prueba absoluta —el spear phishing sí usa tu nombre—, pero un saludo genérico en un correo sensible (de seguridad, banco, etc.) es una bandera roja clara.
Páginas de inicio de sesión sospechosas o que no cuadran. Si un enlace te lleva a una pantalla de login, revisa la URL con calma antes de escribir nada. Los atacantes hacen copias muy logradas en dominios casi iguales al real.
Urgencia o amenazas. “Tu cuenta será suspendida en 24 horas.” “Es necesario actuar de inmediato.” La urgencia artificial está diseñada precisamente para saltarse tu pensamiento crítico.
Mal formato, tipografías extrañas o imágenes rotas. Aunque la IA ha mejorado el nivel de los correos de phishing, las campañas más “baratas” siguen llegando con errores de formato, espaciados raros o logotipos rotos que delatan el engaño.
Cómo el correo anónimo te saca de la lista de objetivos
La mayoría de los ataques de phishing necesitan tu dirección real para llegarte. Esa dirección tuvo que salir de algún lado: una brecha de datos, una lista comprada, un sitio web del que la rasparon, un servicio en el que te diste de alta hace años y que terminó comprometido.
Si tu dirección real nunca fue entregada a un determinado servicio, ese servicio no la puede filtrar. Esa es la protección esencial que ofrece el correo desechable.
Cada vez que usas una bandeja desechable en lugar de tu dirección real para un registro, eliminas una fuente más de exposición potencial de tu correo. La dirección desechable puede acabar en una brecha, en una lista o recibiendo phishing, pero ya habrá expirado mucho antes de que nada de eso ocurra, y no está vinculada a tu identidad real de ninguna forma.
Qué cambia cuando usas correo desechable
- Los servicios comprometidos filtran una dirección muerta, no la tuya real
- Las listas de spam que se construyen a partir de tus registros contienen direcciones que ya no existen
- Las campañas de spear phishing que te investiguen no encuentran un historial de correo ligado a tu identidad real
- La superficie de ataque para phishing dirigido se reduce drásticamente
Con una bandeja de 10 minutos, la ventana de exposición es tan corta que cualquier intervalo entre brecha y campaña llega cuando la dirección ya ha expirado. Con una bandeja de 3 días, la dirección es aleatoria y no está enlazada a ningún perfil personal: no hay nada que un atacante pueda investigar ni armar contra ti.
Quién usa el correo anónimo y para qué
Compradores online — para evitar secuencias de marketing eternas y la exposición a brechas por una compra puntual.
Equipos de desarrollo y QA — bandejas limpias y aisladas para probar flujos de correo sin contaminar las direcciones reales.
Gamers — cuentas de prueba y accesos a betas sin dejar rastro permanente vinculado a su identidad real.
Investigadores y periodistas — acceso a fuentes, plataformas y servicios sin generar un rastro de datos que luego se pueda atacar.
Viajeros — pasar el portal de WiFi del aeropuerto o del hotel sin entregar una dirección real.
Profesionales — investigar competidores y evaluar servicios sin disparar las cadenas de seguimiento de los equipos comerciales.
Usuarios sensibles a la privacidad — cualquiera que trate su correo real como un activo a proteger en lugar de algo que se reparte sin más.
Qué hacer si ya hiciste clic en un enlace de phishing
Actúa de inmediato. Cuanto más esperes, más daño se puede hacer.
Si introdujiste credenciales: cambia la contraseña en el servicio afectado y en cualquier otro donde uses la misma. Activa la verificación en dos pasos en tu cuenta de correo principal ahora mismo.
Si introdujiste datos de pago: llama al banco de inmediato y solicita el bloqueo o la sustitución de la tarjeta. Reclama cualquier cargo que no reconozcas.
Si descargaste un archivo: ejecuta un análisis completo con un antivirus antes de seguir usando el dispositivo. Desconéctate de internet si sospechas que la infección está activa.
En todos los casos: usa el Comprobador de filtraciones de correo para ver si tus credenciales ya están circulando, y vigila tus cuentas de cerca durante las semanas siguientes.
Sigue leyendo
- ¿Qué es el correo desechable? La guía completa
- Cómo el correo temporal protege tu privacidad online
- La guía completa sobre privacidad del correo
- Cómo evitar el spam: 7 estrategias comprobadas
- ¿Tu temp mail no recibe el OTP? Soluciónalo ya
- Cómo comprobar SPF, DKIM y DMARC
- Correo desechable, burner email y temp mail comparados
Entender cómo funciona la autenticación de correo también te ayuda a juzgar qué proveedores de temp mail son fiables.
La forma más sencilla de reducir tu superficie de ataque al phishing es reducir cuántos servicios tienen tu dirección real. Empieza con una bandeja desechable gratuita: tarda dos segundos y no te pide nada a cambio.
Your temp mail is ready right now
No signup, no password. A disposable inbox waiting the moment you open the page.
Get My Free Temp Mail →