---
title: "¿Qué es el phishing? Tipos, señales de alerta y protección"
description: "El phishing es una estafa: alguien se hace pasar por un remitente de confianza para obtener tu contraseña, tu tarjeta, un código o un clic. Tipos y señales."
url: https://proxynet.io/es/blog/what-is-phishing
date: 2026-11-12
author: "Acar Diveroli"
category: "Proxy 101"
lang: es
---

# ¿Qué es el phishing? Tipos, señales de alerta y protección

Un SMS dice que un paquete no se pudo entregar y pide una pequeña tarifa por el nuevo envío. El enlace abre una página con los colores de la empresa de mensajería y un formulario para la tarjeta, y nada en ella parece roto. De eso se trata: la página es de alguien que quiere el número de la tarjeta, y la tarifa nunca existió.

Este artículo explica qué es el phishing, cómo se desarrolla un ataque, sus tipos principales, las señales que delatan un mensaje, por qué las claves de acceso frenan la mayor parte de estos ataques y qué hacer si hiciste clic. Está escrito para quien recibe el mensaje; aquí no hay ninguna receta para atacantes.

> **Nota: Respuesta breve**
>
> El phishing es una estafa en la que alguien se hace pasar por un remitente de confianza, como un banco, una empresa de mensajería o un compañero de trabajo, para obtener tu contraseña, el número de tu tarjeta o un código de un solo uso, o para que abras un adjunto dañino o hagas clic en un enlace. Llega por correo electrónico, SMS, llamada, mensaje en redes sociales o código QR. Las señales habituales son la presión para actuar rápido, un remitente o un enlace cuya dirección no pertenece a la organización y las peticiones de códigos o pagos. Si escribiste algo, cambia la contraseña en el sitio real, cierra las demás sesiones, llama a tu banco si diste datos de la tarjeta y denuncia el mensaje. Las claves de acceso (passkeys) resisten el phishing porque solo funcionan en el sitio para el que se crearon.

## ¿Qué es el phishing?

El phishing es una forma de ingeniería social: el atacante no entra a la fuerza en un sistema, sino que convence a una persona de que le abra la puerta. El National Cyber Security Centre (NCSC) del Reino Unido lo describe como el uso de correos, mensajes de texto o llamadas fraudulentos por parte de delincuentes para engañar a sus víctimas; CISA, la agencia de ciberseguridad de Estados Unidos, añade que el cebo suele parecer enviado por alguien de confianza.

La palabra juega con «fishing», que en inglés significa pescar: se lanza un cebo a mucha gente y el remitente espera a que alguien pique. La presa es una de estas cuatro cosas: tus datos de acceso, los datos de tu tarjeta o de tu banco, un código de un solo uso que completa un inicio de sesión o un clic que instala malware, software hecho para espiar o dañar tu dispositivo.

## ¿Cómo funciona un ataque de phishing?

1. **Un pretexto.** El remitente elige una historia que encaje con el momento: un paquete, una devolución de impuestos, una cuenta bloqueada, una factura sin pagar, un documento compartido.
1. **Se envía el cebo.** Un correo, un SMS o un mensaje directo lleva un enlace, un adjunto o un número de teléfono al que llamar; en una llamada, la propia voz es el cebo.
1. **El anzuelo.** El enlace abre una copia de una página real de inicio de sesión o de pago, el adjunto te pide «habilitar contenido» o quien llama te pide que le leas el código que acaba de llegarte.
1. **Se capturan los datos.** Todo lo que escribes va al remitente. Algunas páginas de phishing pasan lo que introduces al sitio real a través de un proxy inverso, así que el inicio de sesión parece funcionar mientras el atacante se queda con la cookie de sesión que devuelve el sitio; [¿Qué es el session hijacking?](/es/blog/what-is-session-hijacking) explica por qué esa cookie basta por sí sola para abrir la cuenta.
1. **Se usan los datos.** La contraseña se prueba en el sitio real y en otros, se hacen cargos en la tarjeta o tu cuenta envía el mismo cebo a tus contactos.

## ¿Qué tipos de phishing existen?

| Tipo | Cómo te llega | Qué pide |
|---|---|---|
| Phishing por correo | Un correo masivo | Iniciar sesión en una página falsa, abrir un adjunto |
| Spear phishing | Un mensaje escrito para ti | Lo mismo, con datos reales sobre ti |
| Whaling | Un mensaje a un directivo | Un pago, archivos confidenciales |
| Smishing | SMS o una app de mensajería | Una pequeña tarifa, un enlace para «arreglar» una cuenta |
| Vishing | Una llamada o un mensaje de voz | Un código, datos de la tarjeta, una transferencia |
| Quishing | Un código QR | Datos de la tarjeta en una página de pago falsa |
| Phishing de consentimiento | Una pantalla de inicio de sesión real para una app desconocida | Acceso a tu buzón o a tus archivos |

**El spear phishing y el whaling** son las versiones dirigidas. Según el NCSC, el atacante usa información sobre tu personal o tu empresa para que el mensaje resulte convincente, y el whaling es spear phishing dirigido a un «pez gordo», como un miembro del consejo de administración.

**El smishing y el vishing** llevan el truco al teléfono; CISA los define como ingeniería social por SMS y por voz. A menudo funcionan juntos: un SMS avisa de un pago sospechoso y el «equipo antifraude» del número que indica te pide un código.

**El quishing** esconde el enlace en un código QR. La Comisión Federal de Comercio de Estados Unidos (FTC) ha advertido sobre códigos pegados encima de los reales en parquímetros y sobre códigos QR en correos y SMS inesperados que llevan a un sitio copiado.

**El phishing de consentimiento** (consent phishing) no roba ninguna contraseña. Microsoft lo describe como engañar a los usuarios para que concedan permisos a una aplicación maliciosa en la nube; la pantalla de consentimiento es auténtica, así que la barra de direcciones parece correcta. Lo que lo delata es la petición, como un «visor de documentos» desconocido que quiere leer y enviar tu correo; la solución es quitar la app de las aplicaciones conectadas de tu cuenta.

## ¿Cómo reconocer un mensaje de phishing?

Un mensaje de phishing te empuja a actuar antes de pensar, así que la presión es la primera señal; una dirección que no pertenece a la organización es la segunda. El NCSC [enumera cinco señales](https://www.ncsc.gov.uk/collection/phishing-scams/spot-scams): autoridad (un mensaje que dice venir de alguien oficial), urgencia (un plazo corto o la amenaza de una multa), emoción (pánico, miedo, esperanza o curiosidad), escasez (algo que hay en poca cantidad) y actualidad (la temporada de declaración de impuestos, una gran noticia).

Después, revisa los detalles:

- **La dirección del remitente, no el nombre que se muestra.** El nombre puede decir «Soporte del banco»; lo que cuenta es el dominio que va después de la @.
- **Dominios parecidos.** Un nombre con una letra de diferencia, o con la marca real al principio de una dirección más larga, es un disfraz habitual; [¿Qué es el typosquatting?](/es/blog/typosquatting) muestra cómo leer uno.
- **Un enlace cuya dirección real no coincide con su texto.** En un equipo, pasa el puntero por encima; en el teléfono, mantenlo presionado para ver una vista previa.
- **Un adjunto inesperado,** sobre todo si te pide habilitar contenido. Office en Windows bloquea por defecto las macros de los archivos que vienen de internet, así que unas instrucciones para desbloquearlas ya son una advertencia por sí mismas.
- **Un pago fuera de lo normal:** la «nueva» cuenta bancaria de un proveedor, tarjetas regalo, una transferencia urgente para un jefe al que no se puede localizar.
- **Una petición de código.** La FTC lo dice sin rodeos: quien te pide el código de verificación de tu cuenta es un estafador.
- **Una redacción impecable no demuestra nada.** CISA señala que las herramientas de IA ya escriben mensajes pulidos.

Ante la duda, contacta con la organización por una vía que ya conozcas, como su app o el número que figura en tu tarjeta, nunca por el enlace o el número del mensaje.

## ¿Por qué las claves de acceso resisten el phishing?

Una clave de acceso no se puede escribir en una página falsa: tu dispositivo solo la ofrece al sitio para el que se creó, así que una copia de la página de inicio de sesión en otro dominio no recibe nada que pueda usar. Una clave de acceso (passkey) es una credencial de inicio de sesión guardada en tu teléfono, tu equipo o tu gestor de contraseñas; el sitio web solo guarda una mitad pública. La FIDO Alliance [explica](https://www.passkeycentral.org/introduction-to-passkeys/how-passkeys-work) que una clave de acceso solo se presenta al sitio en el que se registró.

Los códigos y las notificaciones push son mejores que una contraseña sola, pero una página de phishing también puede recogerlos. La [hoja informativa de CISA sobre MFA resistente al phishing](https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf) describe el caso clásico: un portal de inicio de sesión falso donde la víctima introduce el nombre de usuario, la contraseña y el código de 6 dígitos de una app de autenticación. Su clasificación, con una fila añadida para la contraseña sola:

| Método de inicio de sesión | ¿Puede capturarlo una página de phishing? | También expuesto a |
|---|---|---|
| Solo contraseña | Sí | Reutilización en otros sitios |
| Código por SMS o voz | Sí, reenviado al instante | Duplicado de SIM (SIM swapping), interceptación en la red telefónica |
| Código de una app de autenticación | Sí, reenviado al instante | Nada más en la lista de CISA |
| Notificación push sin coincidencia de números | Pueden convencerte de aprobarla | Bombardeo de notificaciones: avisos hasta que apruebas |
| Clave de acceso o llave de seguridad (FIDO/WebAuthn) | No | Nada en la lista de CISA |

CISA llama a este tipo de inicio de sesión «el estándar de oro» y añade que cualquier autenticación multifactor (MFA) es mejor que ninguna. Un gestor de contraseñas aplica una comprobación parecida a las contraseñas, ya que solo rellena un formulario en el dominio donde se guardó la contraseña.

## ¿Qué hacer si hiciste clic en un enlace de phishing?

Si solo abriste la página y no escribiste nada, ciérrala, borra lo que haya descargado y haz un análisis de seguridad. Si escribiste una contraseña, un código o un número de tarjeta, actúa ya, en este orden:

1. **Cambia la contraseña en el sitio real,** al que llegas escribiendo la dirección o abriendo la app. Si usaste la misma contraseña en otros sitios, cámbiala también allí, porque una contraseña capturada se prueba en otros servicios; [¿Qué es el credential stuffing?](/es/blog/what-is-credential-stuffing) explica ese paso.
1. **Cierra todas las demás sesiones** desde la configuración de seguridad de la cuenta, revisa los datos de recuperación, las reglas de reenvío y las aplicaciones conectadas, y añade una clave de acceso donde se ofrezca.
1. **Llama a tu banco** al número impreso en tu tarjeta si introdujiste datos de la tarjeta o del banco; tanto el NCSC como la FTC lo recomiendan.
1. **Analiza el dispositivo** si abriste un adjunto o instalaste algo. En un dispositivo del trabajo, avisa enseguida al departamento de TI.
1. **Denuncia el mensaje,** como se explica más abajo. Si perdiste dinero, denúncialo como fraude ante la policía.

## ¿Cómo denunciar el phishing?

Usa primero el botón de denuncia de tu app de correo y después el servicio de denuncia de tu país; ambos alimentan los filtros y las listas de bloqueo que protegen a otras personas.

- **Gmail en un equipo:** abre el mensaje, haz clic en **Más** junto a **Responder** y luego en **Denunciar phishing**.
- **Outlook.com:** selecciona el mensaje y luego **Informar** > **Informar sobre suplantación de identidad (phishing)**. Informar no bloquea al remitente; si los mensajes siguen llegando, bloquéalo aparte.
- **Reino Unido:** reenvía los correos sospechosos a report@phishing.gov.uk y los SMS fraudulentos al 7726, como explican las páginas de denuncia del NCSC.
- **Estados Unidos:** la [FTC](https://consumer.ftc.gov/articles/how-recognize-and-avoid-phishing-scams) pide reenviar los correos de phishing a reportphishing@apwg.org, reenviar los SMS de phishing a SPAM (7726) y denunciar la estafa en ReportFraud.ftc.gov.
- **España:** INCIBE recibe los casos de phishing, smishing y vishing en el buzón incidencias@incibe-cert.es, y su línea gratuita 017 resuelve dudas de ciberseguridad.
- **Otros países:** la agencia nacional de ciberseguridad o el CERT (equipo de respuesta ante emergencias informáticas) suele tener un formulario de denuncia.
- **En el trabajo:** usa el botón de denuncia de la empresa o reenvía el mensaje al equipo de seguridad, no a tus compañeros.

## ¿Cómo se defienden las organizaciones del phishing?

Las organizaciones superponen capas, porque ningún filtro atrapa todos los mensajes. El NCSC las agrupa en cuatro: dificultar que el phishing llegue a los usuarios (filtrado del correo, autenticación del correo), ayudar a los usuarios a detectarlo y denunciarlo sin buscar culpables, limitar el daño de un clic (MFA, gestores de contraseñas, dispositivos actualizados) y responder rápido.

Los equipos de seguridad también revisan los enlaces denunciados antes de bloquearlos. Algunas páginas de phishing muestran el inicio de sesión falso solo a los visitantes que se parecen al objetivo, como una conexión doméstica en el país atacado, y una página en blanco a todos los demás. Por eso los analistas abren el enlace en un navegador aislado, nunca con credenciales reales, a través de una salida de los [Proxies residenciales](https://proxynet.io/es/residential-proxy) en ese país y esa ciudad.

Si el cebo llegó por SMS, puede que la página solo se muestre en una red móvil; los [Proxies móviles](https://proxynet.io/es/mobile-proxy) dan al analista una dirección real de operador para esa única comprobación. Son unas pocas cargas de página por enlace, para documentar y denunciar la página, nunca para rellenarla.

## Dónde te encuentras con el phishing

En las bandejas de entrada personales y del trabajo. En SMS sobre paquetes, peajes, devoluciones de impuestos o alertas del banco. En llamadas de un «equipo antifraude» o del «soporte técnico». En mensajes de redes sociales que prometen un premio o un empleo. En códigos QR pegados en carteles y parquímetros. En el trabajo, en facturas, avisos de documentos compartidos y mensajes que parecen venir del jefe.

## Errores frecuentes

- **Fiarse del logotipo y del nombre que se muestra.** Ambos se copian gratis; el dominio no.
- **Fiarse del candado.** HTTPS significa que la conexión con ese dominio está cifrada, no que el dominio sea de tu banco.
- **Llamar al número del mensaje para comprobarlo.** Ese número es del remitente.
- **Leerle un código a quien llama.** Un código que llega durante una llamada que no iniciaste tú es el propio ataque.
- **Borrar sin denunciar.** La denuncia es lo que consigue que la página se bloquee para la siguiente persona.

## Guía de decisión

| Tu situación | Qué hacer primero |
|---|---|
| Un mensaje sospechoso, sin hacer clic | Denúncialo con el botón de tu app y luego bórralo |
| Hiciste clic pero no escribiste nada | Cierra la página; analiza el dispositivo si se descargó algo |
| Escribiste una contraseña | Cámbiala en el sitio real y donde la hayas reutilizado; cierra las demás sesiones |
| Diste datos de la tarjeta o del banco | Llama a tu banco al número de tu tarjeta |
| Le leíste un código a quien llamaba | Cambia la contraseña, cierra sesiones, avisa al proveedor |
| Aprobaste una app desconocida | Quítala de las aplicaciones conectadas de tu cuenta |
| Revisas enlaces denunciados para una empresa | Navegador aislado, una salida residencial o móvil en el país objetivo, sin credenciales reales |

## Preguntas frecuentes

### ¿Te pueden hackear solo por abrir un correo de phishing?

Rara vez. Leer un mensaje en una app de correo actualizada suele ser seguro; el daño empieza cuando haces clic, abres un adjunto o respondes con información. Un fallo en una app de correo desactualizada puede activarse en ocasiones solo con un mensaje, así que mantenla al día.

### ¿El phishing es ilegal?

Sí. El phishing lleva al fraude y al acceso no autorizado a cuentas ajenas, y ambos son delitos en la mayoría de los países; el delito exacto depende de la ley local. Una simulación que una empresa hace con su propio personal es formación, no un ataque.

### ¿Qué diferencia hay entre phishing y spam?

El spam son mensajes masivos no deseados, normalmente publicidad; molesta, pero no se hace pasar por alguien de confianza. El phishing se hace pasar por un remitente de confianza para quitarte algo: una contraseña, un pago o un clic.

### ¿Qué es una prueba de phishing en el trabajo?

Una prueba de phishing, o simulación, es un correo de phishing falso e inofensivo que una empresa envía a su propio personal para enseñarle a detectar y denunciar los de verdad. Hacer clic en uno suele llevar a una breve página de formación, y el NCSC aconseja a las organizaciones no reprender a quien hace clic. Si no sabes con certeza si un mensaje es una prueba, denúncialo de todos modos.

### ¿Qué es la MFA resistente al phishing?

Es un segundo paso de inicio de sesión que un sitio falso no puede capturar ni reenviar. En la práctica, eso significa iniciar sesión con FIDO/WebAuthn mediante claves de acceso o llaves de seguridad físicas, y en algunas organizaciones también con tarjeta inteligente. Los códigos por SMS y de app son mucho mejores que una contraseña sola, pero una página de phishing puede reenviarlos.

### ¿Un antivirus o una VPN te protegen del phishing?

Solo en parte. El software de seguridad y las listas de advertencia del navegador bloquean las páginas de phishing conocidas, pero una página creada hace una hora puede no estar todavía en ninguna lista. Una VPN cambia la ruta de red y no distingue una página de inicio de sesión falsa de una real; leer la dirección y usar claves de acceso cubren ese hueco.

## En resumen

El phishing es un disfraz, no un allanamiento: alguien se hace pasar por un remitente de confianza para conseguir una contraseña, un código, un pago o un clic. Frena cuando un mensaje te meta prisa, lee el dominio del remitente y la dirección real del enlace, y nunca le leas un código a nadie. Si escribiste algo, cambia la contraseña en el sitio real, cierra las demás sesiones y denuncia el mensaje. Las claves de acceso eliminan lo que recoge la mayoría de las páginas de phishing: una contraseña y un código que funcionan en cualquier sitio. Las marcas que vigilan las copias de sus propias páginas de inicio de sesión encontrarán la configuración en nuestra página de [protección de marca](/es/brand-protection).