Un correo fraudulento bien hecho no se distingue por las faltas de ortografía. Esa época pasó. Hoy imitan el logotipo, el tono y hasta el pie de firma de tu banco, de Hacienda o de tu proveedor. Lo que sí siguen sin poder falsificar del todo son tres cosas, y con mirarlas tienes casi todo hecho.
Uno: de dónde viene de verdad
El nombre que ves —«Banco Santander»— lo escribe quien envía, y puede poner lo que quiera. Lo que importa es la dirección real, la que va detrás. Ábrela y míratela entera: el dominio tiene que ser el de la empresa, no algo parecido. @santander-seguridad.com no es el Santander.
Dos: a dónde lleva el enlace
Pasa el ratón por encima sin pulsar y mira abajo a la izquierda. Si el texto dice una cosa y el destino otra, ya lo sabes. Desconfía de los acortadores y de los dominios que meten la marca como subdominio: banco.verificacion-clientes.net es el dominio verificacion-clientes.net, no tu banco.
Tres: qué te está pidiendo, y con qué prisa
La urgencia es la herramienta principal del fraude. «Su cuenta será bloqueada en 24 horas», «responda hoy para evitar el recargo». Ninguna entidad seria te pide por correo tus claves ni resuelve un asunto grave con un plazo de un día.
Qué hacer si dudas
- No respondas ni pulses nada. Ni siquiera para darte de baja: eso solo confirma que tu dirección existe.
- Entra tú por tu cuenta. Escribe la dirección de la empresa a mano en el navegador, o llama al teléfono que tengas tú, no al que viene en el correo.
- Si es un correo dirigido a tu empresa, avisa a quien lleve la informática antes de tocarlo. Un solo clic en la máquina equivocada da mucho trabajo después.
Y si ya has picado
Cambia inmediatamente la contraseña de la cuenta afectada y de cualquier otra donde uses la misma. Si has metido datos bancarios, llama a tu banco. Y si el correo era de una cuenta de tu dominio, avísanos: podemos revisar si se está usando para enviar en tu nombre.
Basado en la información divulgativa del INCIBE, reescrito por el equipo de Netebu.