Qué es el phishing y cómo detectarlo antes de hacer clic

El phishing sigue siendo la puerta de entrada más común para robar datos o dinero a una pyme: no hace falta hackear nada, basta con que alguien haga clic donde no debía. La buena noticia es que casi siempre deja señales.

Es un mensaje, por correo, WhatsApp o redes sociales, que se hace pasar por una empresa o persona de confianza (tu banco, el SII, un proveedor) para que entregues una contraseña, hagas una transferencia o descargues un archivo malicioso.

Las señales, en un correo de ejemplo

De: Banco Estado <notificaciones@bancoestado-cl.com>

Asunto: Tu cuenta será bloqueada en 24 horas

Estimado cliente,

Detectamos actividad inusual. Haz clic aquí para verificar tu identidad: bancoestado-verificacion.com/login

Adjuntamos tu comprobante: factura_pendiente.pdf.exe

El remitente. El dominio casi coincide, pero no es el oficial: bancoestado.cl es el real.
El asunto. Urgencia artificial. Ninguna empresa seria te presiona así por correo.
El enlace. Apunta a otro dominio, aunque el texto diga lo contrario.
El adjunto. Extensión oculta: no es un PDF, es un programa ejecutable.

Si un mensaje te genera apuro o miedo, para y verifica por otro canal antes de hacer clic.

Cómo verificar un mensaje sin hacer clic

Mira la dirección completa del remitente, no solo el nombre que aparece. En el celular, toca el nombre para ver el correo real.
Revisa a dónde lleva el enlace. En el computador, pasa el mouse por encima sin hacer clic y mira la dirección que aparece abajo. En el celular, mantén presionado el enlace.
Entra por tu cuenta. Si el mensaje dice ser de tu banco, abre la app o escribe la dirección oficial en el navegador. Nunca uses el enlace del mensaje.
Llama a un número que ya conozcas. Si un proveedor te pide cambiar la cuenta donde le pagas, confírmalo por teléfono antes de transferir.

Ya hice clic, ¿qué hago?

Cambia la contraseña de esa cuenta, desde un dispositivo que no esté comprometido.
Si usabas esa misma contraseña en otros sitios, cámbiala ahí también.
Activa verificación en dos pasos donde puedas, empezando por tu correo.
Si entregaste datos bancarios, contacta a tu banco el mismo día, por un canal oficial.

Cómo proteger a tu equipo de aquí en adelante

Verificación en dos pasos en el correo, el banco y las redes del negocio. Aunque roben una contraseña, no basta para entrar.
Una contraseña distinta por servicio, guardada en un gestor de contraseñas y no en un Excel compartido.
Una regla simple para todos: ningún pago ni cambio de datos bancarios se aprueba solo por correo o WhatsApp.
Conversen los casos que lleguen. Mostrar un intento real al equipo enseña más que cualquier charla.