Anúncios
Llega un mensaje de un remitente que no reconoces, con un asunto urgente y un enlace. Antes de hacer clic, conviene saber leer las pistas que ya están ahí. 🕵️
El correo electrónico sigue siendo la puerta de entrada favorita de los estafadores y, al mismo tiempo, el canal donde llegan cosas que de verdad importan: una factura, un código de acceso, la respuesta de una entrevista de trabajo.
Anúncios
El problema es que ambos tipos de mensaje conviven en la misma bandeja.
La buena noticia: analizar un remitente no requiere conocimientos técnicos avanzados. Requiere un método, unos 30 segundos de atención y saber dónde mirar. Vamos a repasar ese método, y también cómo recuperar los correos legítimos que tu filtro de spam se está tragando sin avisarte.
Anúncios
Anatomía de un remitente: las tres capas que casi nadie revisa
Cuando tu aplicación de correo muestra “Banco Nacional”, no está mostrando una identidad verificada. Está mostrando un texto que el emisor escribió libremente. Ese campo se llama display name (nombre para mostrar) y es trivial de falsificar: cualquiera puede configurar su cuenta con el nombre “Soporte de Netflix”.
Capa 1: el nombre para mostrar miente con facilidad
En el móvil, el nombre para mostrar suele ocupar toda la línea y la dirección real queda oculta. Ese detalle de interfaz es justamente el que aprovechan los ataques de suplantación. Toca (o pasa el cursor) sobre el nombre hasta ver la dirección completa entre corchetes angulares. Si la app no la muestra, abre el mensaje en la versión web.
Capa 2: el dominio, que es donde vive la verdad
La parte que va después de la arroba es lo único difícil de falsificar sin dejar huella. Aquí conviene leer de derecha a izquierda: el dominio real es el que está justo antes del primer “/” de una URL o al final de una dirección de correo.
- [email protected] → dominio real: paypal.com ✅
- [email protected] → dominio real: seguridad-alertas.net ❌
- [email protected] → sustitución de la “l” por un “1”, típico typosquatting ❌
- [email protected] → el “paypal.com” es solo un subdominio decorativo ❌
Existe una variante más sofisticada: los ataques homógrafos IDN, que usan caracteres cirílicos o griegos visualmente idénticos a los latinos (por ejemplo una “а” cirílica en lugar de una “a”). Los navegadores modernos muestran esos dominios en formato punycode (algo como xn--pypal-4ve.com), y verlo así es una señal clara de fraude.
Capa 3: el Reply-To, el campo olvidado
Un mensaje puede venir de un dominio aparentemente correcto y tener un Reply-To apuntando a un buzón gratuito controlado por el atacante. Es la técnica clásica del fraude de facturas: el correo parece del proveedor habitual, pero tu respuesta —con los datos bancarios nuevos— va a otro lado. Antes de responder algo sensible, verifica a dónde irá esa respuesta.
Leer las cabeceras técnicas sin ser administrador de sistemas
Todo correo viaja con metadatos invisibles. Ahí están los resultados de tres protocolos de autenticación que los servidores usan para comprobar si el emisor tenía permiso de enviar en nombre de ese dominio.
| Protocolo | Qué comprueba | Qué significa un “fail” |
|---|---|---|
| SPF | Que el servidor emisor esté autorizado por el dominio | El envío salió de una IP no listada: sospecha alta |
| DKIM | Firma criptográfica que garantiza que el contenido no se alteró | El mensaje fue modificado o la firma no corresponde |
| DMARC | Alineación entre el dominio visible y el autenticado, más la política del dueño | Suplantación directa del dominio: descartar |
Para verlo en Gmail (web): abre el mensaje, pulsa los tres puntos verticales arriba a la derecha y elige Mostrar original. Aparecerá un resumen con SPF, DKIM y DMARC, cada uno con “PASS” o “FAIL”. En Outlook web, usa los tres puntos → Ver → Ver origen del mensaje y busca la línea Authentication-Results. En Apple Mail, activa Ver → Mensaje → Todas las cabeceras.
Un detalle práctico de Gmail: cuando ves la palabra “vía” junto al remitente (por ejemplo “Tienda vía mailer.plataforma.com”), significa que quien firmó el envío es un dominio distinto al que aparece como emisor. No siempre es fraude —muchas empresas usan proveedores de marketing—, pero es una invitación a mirar con más atención.
Checklist de 30 segundos para decidir si un correo es de fiar
Este es el filtro mental que puedes aplicar sin abrir cabeceras. Si dos o más señales se activan, trata el mensaje como hostil.
| Señal | Por qué importa | Acción inmediata |
|---|---|---|
| Urgencia con plazo corto (“24 horas para evitar el bloqueo”) | La prisa desactiva la verificación racional | Ignorar el enlace y entrar al servicio por la app oficial |
| Saludo genérico (“Estimado cliente”) | Tu banco conoce tu nombre y los últimos dígitos de tu cuenta | Comparar con correos anteriores reales |
| Adjunto inesperado .html, .zip, .iso o macro de Office | Formatos usados para saltar filtros y ejecutar código | No abrirlo; eliminar el mensaje |
| El enlace visible no coincide con el destino | El texto puede decir una cosa y la URL otra | Pasar el cursor y leer el dominio real |
| Pide credenciales, código 2FA o datos de tarjeta | Ninguna entidad seria solicita eso por correo | Cortar el contacto y reportar |
| Errores de idioma, tildes ausentes, traducción automática | Muchas campañas son traducciones masivas | Elevar sospecha, no descartar por sí solo |
Ojo con el sesgo contrario: hay campañas de phishing muy bien escritas, con logotipos perfectos y certificado HTTPS. El candado del navegador solo indica que la conexión está cifrada, no que el sitio sea legítimo. Un dominio fraudulento puede tener HTTPS en minutos y gratis.
Cómo verificar sin morder el anzuelo
La regla es simple: nunca uses el canal del mensaje para verificar el mensaje. Si el correo dice que hay un problema con tu cuenta, escribe la dirección del servicio a mano en el navegador o abre su aplicación. Si dice que viene de tu jefe, llama al número que ya tenías guardado, no al que aparece en la firma.
Para enlaces dudosos, existe una alternativa intermedia: copiar la URL (clic derecho → copiar dirección) y analizarla en un servicio de reputación de sitios antes de abrirla. Y si necesitas leer el destino sin exponerte, hazlo desde una sesión de navegación aislada, sin credenciales guardadas.
El problema inverso: mensajes importantes que jamás llegaron a tu vista
Mientras todos hablan de spam que entra, se ignora el fenómeno opuesto: correos legítimos que caen en carpetas que nunca abres. Ocurre más de lo que parece, y suele afectar justo a lo que más duele perder.
- Confirmaciones de reserva y billetes enviados desde dominios nuevos o servidores compartidos.
- Códigos de verificación que caducan en 10 minutos y llegan al spam.
- Respuestas de reclutadores que responden desde plataformas de RR.HH. poco conocidas.
- Facturas y avisos de vencimiento clasificados como promociones.
- Notificaciones de seguridad sobre inicios de sesión sospechosos.
Por qué los filtros se equivocan
Los filtros de spam puntúan cientos de variables: reputación de la IP emisora, historial de quejas, proporción imagen/texto, presencia de enlaces acortados, autenticación fallida, palabras asociadas a marketing agresivo. Un remitente legítimo pero pequeño puede reunir varias señales negativas sin mala intención: servidor recién creado, sin registro DKIM configurado, plantilla llena de imágenes.
Se suma un factor que depende solo de ti: las reglas antiguas. Filtros creados hace años que archivan automáticamente todo lo que contenga cierta palabra, o reenvíos a cuentas que ya no usas. Revisar la lista de reglas suele revelar sorpresas.
Si gestionas varias cuentas y quieres separar el ruido del correo crítico, las direcciones temporales son un aliado sorprendentemente eficaz. Aquí tienes la herramienta que uso para eso:
Rutina de rescate: búsquedas que encuentran lo perdido
En Gmail, la barra de búsqueda acepta operadores que atraviesan todas las carpetas. Guárdalos:
in:anywhere factura→ busca también en Spam y Papelera.in:spam after:2025/01/01→ revisa lo filtrado en un periodo concreto.has:attachment larger:5M→ localiza adjuntos grandes archivados.from:(*.recruiting.com)→ rastrea remitentes de un tipo de dominio.is:unread category:promotions→ revisa la pestaña Promociones sin abrirla entera.
En Outlook, activa la opción de buscar en “Todas las carpetas” y revisa Correo no deseado y Otros si tienes la Bandeja Prioritarios habilitada. En cuentas corporativas con Microsoft 365, pide al administrador acceso al informe de cuarentena: ahí se acumulan mensajes que ni siquiera llegan a tu carpeta de spam. 📥
Correos desechables: cómo usarlos para proteger tu buzón principal
Buena parte del spam que recibes no viene de hackers, sino de formularios que llenaste voluntariamente: descargas de PDF, wifi de un hotel, un cupón, una prueba gratuita. Cada uno de esos registros multiplica la superficie de exposición de tu dirección principal.
La estrategia que funciona es segmentar por nivel de importancia:
| Tipo de uso | Dirección recomendada | Motivo |
|---|---|---|
| Banco, impuestos, salud, trabajo | Cuenta principal con 2FA | Recuperación de cuenta y trazabilidad |
| Compras recurrentes y suscripciones que quieres conservar | Alias o segunda cuenta | Facilita filtrar y archivar |
| Descargas, wifi público, pruebas de un día, sorteos | Correo temporal | Recibes el código y no dejas rastro permanente |
Un correo temporal te da una bandeja desechable que recibe el mensaje de confirmación y luego desaparece. Sirve para probar una app antes de decidir, para acceder a un contenido bloqueado por registro o para verificar si un servicio empieza a vender tu dirección a terceros.
Cuándo no conviene usarlo
No lo uses para nada que necesites recuperar después. Si pierdes el acceso a un servicio y la única vía de restablecimiento es una dirección que ya expiró, no hay soporte que lo arregle. Tampoco lo emplees para cuentas bancarias, trámites oficiales, facturación fiscal ni comunicaciones laborales. La regla práctica: temporal para lo desechable, permanente para lo que tiene consecuencias.
Ya hice clic: plan de contención en orden de prioridad
Si abriste un enlace o introdujiste datos, la velocidad importa más que la culpa. Actúa en este orden:
- Desconecta el dispositivo de la red si descargaste un archivo y algo se ejecutó.
- Cambia la contraseña del servicio afectado desde otro dispositivo limpio, y también en cualquier sitio donde reutilizabas esa misma clave.
- Revisa las sesiones activas y cierra todas (Gmail: “Detalles” al final de la bandeja; la mayoría de servicios tiene un panel de dispositivos conectados).
- Activa 2FA, preferentemente con app de autenticación o llave física, no solo SMS.
- Inspecciona reglas y reenvíos de tu correo: los atacantes suelen crear un filtro que reenvía copias o borra alertas del banco.
- Avisa a tu banco si hubo datos de tarjeta, y solicita bloqueo preventivo.
- Reporta el mensaje como phishing dentro del cliente de correo: mejora el filtro para todos.
El punto 5 es el que más gente olvida y el que permite ataques persistentes. Un filtro malicioso que envía todos los correos con la palabra “transferencia” a la papelera puede pasar desapercibido durante meses.
Diez minutos al mes para mantener el control de tu bandeja
La higiene del correo funciona como el mantenimiento del coche: pequeñas revisiones periódicas evitan averías caras. Esta rutina cabe en una pausa de café. ☕
- Ojeada al spam ordenando por remitente: detectas patrones y rescatas falsos positivos en segundos.
- Auditoría de filtros y reenvíos: elimina lo que ya no aplica y verifica que nadie añadió nada.
- Lista de remitentes seguros: marca como “nunca spam” a tu banco, tu gestoría, tu empleador y las plataformas donde recibes códigos.
- Baja de suscripciones usando el enlace nativo del cliente (List-Unsubscribe) y no botones dentro de correos dudosos.
- Revisión de contraseñas reutilizadas con el gestor del navegador o una aplicación dedicada.
Añade un hábito extra: crea una etiqueta o carpeta llamada “Verificar” y mueve ahí cualquier mensaje que te genere duda en lugar de responderlo al instante. Volver a leerlo 20 minutos después, en frío, desmonta la mayoría de las urgencias fabricadas.
Qué mirar en el móvil, donde falla la atención
La mayoría del correo se lee desde el teléfono, y es justo el entorno con menos información visible. Tres gestos rápidos que marcan diferencia: despliega el remitente completo antes de tocar cualquier enlace, mantén pulsado un enlace para previsualizar la URL en lugar de abrirlo, y desactiva la carga automática de imágenes remotas (los píxeles de seguimiento confirman al remitente que tu dirección está activa).
Analizar un remitente es, al final, una mezcla de lectura atenta y desconfianza calibrada: mirar el dominio, comprobar la autenticación cuando algo huele raro, verificar por otro canal y reservar tu dirección principal para lo que de verdad la merece. Con ese método, el próximo correo misterioso deja de ser una amenaza y pasa a ser un simple ejercicio de observación. 🔍
