Llega un email que parece ser de tu banco, de PayPal, de Amazon o de Correos. El logo se ve auténtico, la estructura parece profesional, dice algo urgente como «Tu cuenta ha sido comprometida, verifica ahora» o «Paquete retenido, actualiza datos de envío». Haces clic en el enlace, introduces tus datos… y un par de horas después tu cuenta bancaria está vacía, o alguien compra cosas con tu tarjeta de crédito, o cientos de spams salen de tu email. Ese email era falso y aquí vamos a ver como detectar correos falso y evitar estafas por email.

Lo anterior se denomina phishing, y es la forma de cibercrimen más efectiva que existe porque funciona. No necesita virus sofisticado ni hackear tu PC; solo necesita que hagas clic en un enlace y entres tus credenciales en un sitio falso que parece auténtico. El problema es que en 2026 los correos falsos son cada vez más realistas; los criminales gastan dinero y esfuerzo porque funciona. Pero hay señales que te enseñan a identificarlos antes de caer. Vas a aprender cómo detectar correos falsos, tipos de estafas que existen y cómo protegerte, basándome en análisis real de amenazas de ciberseguridad.

Los tipos de estafas por email más comunes en 2026

Antes de aprender a detectar, vale la pena entender qué tipos de estafas existen ya que cada una tiene patrones diferentes.

Phishing (suplantación de identidad)

El criminal simula ser un servicio legítimo (banco, PayPal, Amazon, Correos) y te pide que hagas clic en un enlace para «verificar tu cuenta» o «actualizar datos de pago». El enlace va a un sitio falso que parece idéntico al verdadero. El objetivo es robar tus credenciales de acceso como usuario y contraseña. En 2026, muchos incluyen también código 2FA (factor de autenticación de dos factores) falso; dicen «verifica con el código que recibirás en tu teléfono», pero tú recibes un SMS falso enviado por ellos. Aunque no lo creas, este método es el más eficaz y aún funciona porque la gente confía en sitios conocidos.

Suplantación de ejecutivo (el CEO Fraud)

Te llega un email que parece ser del CEO, director o jefe, pidiendo que hagas una transferencia urgente o que reveles información sensible. Siempre quieren o pedir dinero o pedir datos confidenciales. Suelen funcionar ya que es una mezcla de Autoridad + urgencia + contexto laboral, lo que implican decisiones rápidas sin verificar correctamente el email.

Extorsión y chantaje

Te llega un típico email de «Encontramos archivo de vídeo comprometedor tuyo en la web. Paga «x€» en Bitcoin o lo publicaremos en redes sociales.» Normalmente lo que buscan es dinero (Bitcoin o alguna otra criptomoneda normalmente). Sinceramente no tienen absolutamente nada tuyo pero funcionan porque asustan al usuario.

Estafas de romance o «Catfish»

En este tipo de estafa te contactan pretendiendo ser alguien atractivo y construyen relación durante semanas de manera que aprovechan la soledad de muchas personas. Una vez ya tienen tu total confianza, suelen necesitar dinero para emergencia alguna o para pagar el billete de avión para ir a visitarte. Claramente quieren dinero y en muchos casos consiguen no solo un pago sino varios. Se juega mucho con la manipulación emocional y los sentimientos de las víctimas haciéndolas sentir culpables si no son capaces de darles dinero para ir a verte o para una situación de emergencia.

Malware distribuido por email

El malware es software o programa malicioso realizado con el único objetivo de robar información confidencial del usuario infectado. Te suelen enviar el malware mediante un Correo con archivo adjunto «importante» (factura, documento, etc.). Al abrirlo, automáticamente se instala malware, virus o ransomware sin que te des cuenta. Con este software pueden acceder al PC y robar todo tipo de datos. O también proceden con la extorsión mediante ransomware.

Estafas de premios de loterías

Estos emails son muy comunes que te lleguen y además son numerosos. El típico email de «¡Ganaste! Reclama tu premio de 50,000€ de la lotería. Haz clic para verificar datos.» Normalmente quieren dinero el cual te piden mediante lo que denominan ellos la «tarifa de procesamiento», que te cobran por gestionar datos y hacerte llegar el premio de lotería que has ganado. También quieren robarte tus datos personales. Obviamente, es imposible que ganes un premio de una lotería en la que nunca participaste.

10 señales de alerta: Cómo identificar un correo falso

Ahora vamos a aprender a detectar este tipo de correos de suplantación de identidad. Los criminales intentan ser lo más realistas posible, a veces lo hacen excelentemente, pero siempre cometen errores. Veamos las señales que debes vigilar para darte cuenta y no caer nunca en este tipo de estafas:

1. Urgencia artificial e injustificada

El email usa como señal de alerta frases tipo «ACCIÓN REQUERIDA INMEDIATAMENTE», o «Tu cuenta será cancelada en 24 horas» sin contexto claro. No te da ningún contexto sobre que se basa esos mensajes, solo el mensaje de urgencia. Esta técnica funciona porque te hace actuar sin pensar mucho por miedo.

La realidad es que los bancos y servicios legítimos nunca presionan así. Si existe un problema real lo normal es que puedan esperar que lo verifiques tranquilamente, no se requiere ninguna urgencia. Por lo tanto, debes fijarte claramente que tipo de urgencia es, si tiene sentido o es algo genérico que no especifica nada concreto del problema que ha derivado en esa supuesta alerta.

2. Direcciones de email y enlaces sospechosos

En ocasiones recibirás un email cuya dirección viene de seguridad-bancaria@gmail.com o paypa1.support@hacker-server.ru o similares. Los ciberdelincuentes usan dominios que imitan al verdadero pero con cambios pequeños:

• paypa1.com (número 1 en lugar de letra l)
• amaz0n-account.com (número 0 en lugar de letra O)
• supp0rt-bbva@gmail.com (BBVA nunca envía desde Gmail)

Cuando veas un email así, para el cursor ENCIMA del nombre de remitente sin hacer clic. De esta forma verás la dirección real y si por ejemplo dice «@gmail.com» pero pretende ser de tu banco, es totalmente FALSO.

3. Solicitud de datos sensibles

En estos emails te piden usuario y contraseña, PIN, número de tarjeta o el código 2FA. Debes tener claro que jamás ningún servicio legítimo te pide datos sensibles por email. NUNCA JAMÁS. Ni tu banco, ni PayPal, ni nadie. Grábatelo a fuego.

La única excepción es el factor 2FA real, que pueden pedirte el código que recibiste en SMS, pero NUNCA la contraseña. Por lo tanto cualquier correo donde te pidan credenciales tiene un 99% de probabilidad de que sea falso.

4. Errores de gramática, ortografía o formato

Otra señal de alerta son las faltas de ortografía, aunque esto, con la IA cada vez es más realista ya que usan la inteligencia artificial para traducir y escribir de manera correcta. Aunque a veces se les cuelan cosas como «Estimado usário» (error de tilde) o «Verifica tu cuenta ahora!» (demasiados signos) y estructura extraña del texto.

Esto suele pasar porque el criminal copió de Google Translate mal, o es de habla extranjera e intenta directamente usar español en los correos. Tienes que dedicarte a leer el email con ojo crítico ya que los servicios legítimos siempre revisan su correo profesional y es muy extraño que cometan este tipo de errores de formato o grmática.

5. Saludos genéricos o sin tu nombre

¿Cuántas veces empiezan este tipo de email con algo así como «Estimado cliente» o «Dear User» en lugar de tu nombre? Casi siempre. Esto se debe a que estos emails son enviados a miles de personas de forma simultánea y no tienen información personal de nadie, por lo que no pueden personalizar ninguna parte del mensaje.

Los bancos o servicios conocidos normalmente si es una comunicación personal se suelen dirigir a ti mediante tu nombre ya que disponen de esa información al ser tu ya cliente de ellos.

6. Logo de baja calidad o desactualizado

Últimamente son capaces de imitar todo de forma tan perfecta que es muy complicado distinguirlo, pero si notas que el logo se ve pixelado, se ve borroso, tiene colores raros o es de una versión antigua de la marca, sospecha. Deberías comparar el logo del email con el sitio oficial ya que los delincuentes copian imágenes pero resolución más baja o imitan lo mejor que pueden el logo real. ¿Por que crees que las empresas cambian sus logos de forma más frecuente en los últimos años?

7. Enlace que no coincide con lo que dice

Si el correo tiene un botón que dice «Verificar cuenta» o cualquier otra cosa, NO lo pulses. Simplemente pasas el cursor por encima y verás que el enlace al que se dirige es algo que no coincide con la supuesta empresa que te ha enviado el correo, sino totalmente random con direcciones tipo «sospechoso-servidor.ru/» o cosas así de extrañas. Por lo tanto, SIEMPRE pasa el cursor sobre enlaces sin hacer clic. En la esquina inferior del navegador verás el URL real. Por ejemplo: ¿Dice Google.com pero el enlace dice google-verification.verify.com? FALSO.

8. Solicitud de dinero o Bitcoin

El típico email de ganancias de loterías o herencias, o también de paquetes retenidos en aduanas. Estos siempre te dicen que necesitas pagar «cuota de procesamiento» o «verificación de seguridad» o «retención de aduana». Los servicios legítimos nunca piden dinero por email para realizar verificaciones. El objetivo es sacarte dinero en el 100% de este ripo de correos.

9. Archivo adjunto sospechoso

Cualquier email que no venga de alguien que conozcas de antemano, si trae un adjunto .exe, o un .zip con .exe adentro, o .scr que son macros habilitadas en Excel/Word son perjudiciales. Quieren que descargues archivos ejecutables desde correos inesperados para con total seguridad meterte en el sistema un PROBABLE MALWARE. En 2026 los criminales son más sofisticados y pueden disfrazar .exe como .pdf usando caracteres Unicode invisibles. Por lo tanto desconfía de archivos adjuntos cuando no sepas quien lo envía ni sea algo que estés esperando con total seguridad.

10. Contexto que no tiene sentido

Un email que dice «Paquete de DHL no entregado» pero tú nunca compras online o sabes que la empresa de transporte que tiene el paquete que estas esperando no es DHL. O te llega un correo de «Factura de Telefónica» pero no eres cliente. Fíjate bien si el email habla de un servicio o empresa que no usas, esto es una prueba de que probablemente sea spam o estafa.

Cómo verificar si un email es genuino (métodos técnicos)

Si tienes dudas, no hagas clic en el email sino que verifica directamente.

Método 1: Contacta al servicio directamente

Nunca uses el número o el sitio que aparece en el email. Abre Google, busca el número oficial del servicio (ej: «número de teléfono BBVA»), asegúrate desde la web oficial del número correcto y llama. Explícales el email que has recibido y si es legítimo o no. Por ejemplo recibes un email de un paquete retenido en aduanas y que debes hacer un pago. Si es de correos, ve directamente a una oficina y pregunta, te dirán que efectivamente eso es una estafa.

Método 2: Verifica usando SPF, DKIM y DMARC

Las siglas anteriores son sistemas técnicos que verifican si el email vino realmente de donde dice que viene.

Cómo verificar manualmente:

1. Abre el email
2. Busca opción «Mostrar original» o «Ver fuente» o «Origen del mensaje»
3. Busca líneas que digan:
   • Authentication-Results: ...pass... (buen signo)
   • spf=pass (buen signo)
   • dkim=pass (buen signo)
   • dmarc=pass (muy buen signo)

Si ves «fail» o no aparecen estas líneas, el email tiene problemas de autenticación. Podría ser falso.

Nota: Este es método técnico. La mayoría de usuarios no necesita hacerlo; el Método 1 (contactar directamente) es suficiente.

Método 3: Analizar la URL con herramientas online

Si el email tiene un enlace sospechoso:

1. NO hagas clic
2. Copia el enlace (clic derecho > Copiar enlace)
3. Ve a urlscan.io o virustotal.com
4. Pega el URL
5. Verás si es conocido como malicioso o phishing

Estos sitios tienen una gran base de datos así como sistemas de seguridad que comprueban si la URL supone un peligro para tu ordenador por ser malicioso. Por ejemplo las típicas páginas que saltan desde otras páginas normalmente al intentar reproducir contenido multimedia.

Qué hacer si crees que es phishing

Si todavía NO hiciste clic en el enlace:

1. No hagas clic
2. No descarges adjuntos
3. Reporta como spam/phishing:
   • Gmail: Clic en los tres puntos y pulsa «Reportar phishing»
   • Outlook: Clic en «Correo no deseado» y «Phishing»
   • Yahoo: Similar a Outlook
4. Elimina el email

Si sospechas que te apuntaste a una lista fraudulenta:

1. Cambia tu contraseña de email (especialmente si usas la misma en otros sitios)
2. Activa la autenticación de dos factores 2FA si no lo tienes
3. Revisa historial de acceso a tu cuenta email

Si ya hiciste clic en el enlace pero NO entraste datos:

1. No entres datos
2. Cierra la pestaña inmediatamente
3. Cambia la contraseña de email desde otro dispositivo o PC diferente
4. Activa la autenticación de dos factores 2FA
5. Revisa tu cuenta por actividad sospechosa

Si ya entraste usuario y contraseña (O código 2FA):

ACCIÓN URGENTE:

1. Cámbiate la contraseña INMEDIATAMENTE desde otro dispositivo
   • Si el email era de banco, llama al banco por teléfono oficial
   • Si era de PayPal/Amazon, entra en el sitio oficial (no por el email) y cambia contraseña
2. Activa 2FA si no lo tienes (después de cambiar la contraseña)
3. Revisa transacciones recientes por actividad fraudulenta
4. Revisa recuperación de cuenta:
   • ¿Cambiaron tu email de recuperación?
   • ¿Hay números de teléfono nuevos?
5. Si es cuenta bancaria: Reporta al banco ahora
6. Reporta a AEPD (Agencia Española de Protección de Datos) si es empresa española
7. Considera congelación de crédito (si es delicado como robo de datos financieros)

Si ya transferiste dinero o compraste cosas:

1. Contacta a banco/empresa INMEDIATAMENTE
   • Si fue transferencia, pide que la reviertan (tienes entre 24 y 48 horas normalmente)
   • Si fue tarjeta de crédito, disputa la transacción
2. Reporta fraude a la Policía Nacional (https://www.policia.es/)
3. Reporta a AEPD
4. Solicita informes de crédito para verificar si hay más fraude

Herramientas y servicios que te protegen automáticamente

Gmail (Google)

Gmail tiene un filtro de phishing muy bueno que normalmente detecta y manda a spam automáticamente los mensajes que considera fraudulentos. Pero asegúrate de:

1. Mantener Gmail actualizado
2. Usar 2FA con aplicación (Google Authenticator u otra a tu elección)
3. Revisa ocasionalmente la carpeta Spam por si Gmail te filtra algún email legítimo

Outlook/Microsoft 365

Excelente protección contra phishing. Indica visualmente si el email pasó verificaciones:

• Icono de «verificado» al lado del nombre del remitente = email auténtico
• Sin icono = podría ser sospechoso

Extensiones del navegador para detectar phishing

Existen extensiones del navegador que ayudan a detectar si un sitio web puede ser phishing y por lo tanto no ser legítimo e intentar robarte información.

Google Safe Browsing (integrado en Chrome, Edge, Firefox): Automáticamente te avisa si un sitio es conocido como phishing.

PhishTank Browser Extension: Base de datos comunitaria de sitios phishing. Te avisa si intentas acceder a uno.

Antivirus con protección email

Windows Defender (integrado en Windows): Escanea adjuntos y detecta malware básico.

Malwarebytes: Excelente para detectar amenazas que otros se pierden.

Hábitos de seguridad que te protegen

Más allá de as herramientas tecnológicas, la primera y más efectiva es el uso de la razón, por lo que siempre sigue estos consejos:

Nunca hagas clic en enlaces de emails

Incluso si parece que es auténtico:

1. Si es importante, abre el servicio directamente en navegador
2. O llama por teléfono a la empresa

Toma 10 segundos adicionales pero te salva de phishing.

Usa gestor de contraseñas

Bitwarden, 1Password, Dashlane, etc.

Con los gestores de contraseña, rellenar los campos de usuario y contraseña se autocompletará SOLO cuando es el sitio real. En sitios falsos no se autocompletará por lo que es un indicador muy efectivo de que es un sitio falso.

Activa 2FA en todo (especialmente email y bancos)

Incluso si caes en phishing y el criminal tiene tu contraseña, no puede entrar sin el segundo factor, por lo tanto es muy conveniente tenerlo activado. Personalmente el que más me gusta es el uso de aplicaciones ya que es el más seguro. Vamos a ver que métodos existen de mejor a peor:

1. Aplicación (Google Authenticator, Microsoft Authenticator) es la más segura y eficaz ya que cambia el código de autenticación cada cierto intervalo de tiempo.
2. Hardware key (Yubikey, Titan) es una llave física que sirve como segundo factor de autenticación. Funciona mediante criptografía avanzada (claves públicas/privadas): al iniciar sesión en un servicio compatible, conectas la llave o la acercas mediante NFC y presionas un botón para verificar tu identidad.
3. SMS (mejor que nada, pero vulnerable). Por comodidad se suele utilizar el SMS, pero este es vulnerable al SIM swapping o duplicado fraudulento de SIM, que es una estafa en la que un ciberdelincuente suplanta tu identidad para solicitar a tu operador de telefonía un duplicado de tu tarjeta SIM. Una vez la active, la original de tu teléfono se apaga y todos los SMS le llegan al estafador.
4. Preguntas de seguridad (muy débil, evita este método).

Examina tus cuentas regularmente

Cada cierto tiempo como mensualmente o quincenalmente, haz una revisión de tus cuentas:

1. Revisa historial de acceso o sesiones activas
2. Busca dispositivos o ubicaciones desconocidas
3. Revisa métodos de recuperación (emails o teléfonos alternativos)
4. Revisa permisos de aplicaciones conectadas

No reutilices contraseñas

Se que es fácil decirlo, pero ahora mismo que tenemos decenas de contraseñas en internet, siempre acabamos repitiendo alguna. Esto supone un gran problema, ya que si un servicio es hackeado, los criminales prueban tu contraseña en otros servicios. Lo ideal es una Contraseña única para cada sitio (un buen gestor de contraseñas lo hace fácil). Si no quieres tener un gestor de contraseñas al menos usa Contraseñas diferentes para servicios críticos como el email, el banco, PayPal, etc.

Casos reales de phishing en 2026

Phishing de BBVA disfrazado

Este 2026 un caso muy sonado y habitual es el email que parece ser del BBVA, con logo correcto y que dice «Verifica tu identidad por cambios en la seguridad». Enlace va a sitio falso prácticamente idéntico para robarte datos de acceso. Una vez introduces tus datos, se produce un supuesto error de acceso a la web, los datos llegan directamente al estafador y luego te redirige a la web oficial donde ya al segundo intento entras en la web oficial.

De esta forma parece que solo ha sido un error puntual y ya te olvidas, pero el delincuente tiene ya todos tus datos. Para detectarlo, la dirección del email de este correo es seguridad@bbva-verification.com (falsa) y recuerda seguir todos los consejos vistos anteriormente.

Chantaje de «virus en tu PC»

Recibes un email con un mensaje del estilo «Detectamos virus en tu ordenador. Compra nuestro software antivirus o veremos tus archivos privados.» la verdad es que no tienen nada y no accedieron a tu PC. Es un correo genérico enviado a miles de correos aleatorios con amenazas vagas sin contexto y donde normalmente te piden dinero por criptomonedas.

Preguntas frecuentes

¿Puedo confiar en un email si tiene mi nombre?

No completamente. Aunque normalmente los correos falsos no suelen indicar tu nombre, a veces los criminales pueden tener tu nombre de bases de datos hackeadas. Te tienes que fijar en que además de tu nombre tenga contexto muy específico (número de cuenta, detalles personales exactos), es más probable que sea auténtico. De todas formas, siempre verifícalo con los consejos anteriores.

¿Es seguro abrir correos en vista previa?

En Gmail y Outlook, sí. La vista previa no ejecuta scripts peligrosos, pero NUNCA hagas clic en los enlaces.

¿Qué pasa si cliqueo un enlace malicioso desde el móvil?

Prácticamente es similar a PC. Puede llevarte a un sitio phishing o descargar malware, por lo que debes protegerte igual, simplemente no hagas clic en enlaces de emails sospechosos.

¿Los emails cifrados son siempre seguros?

No siempre. El cifrado significa que nadie en el medio puede leer el contenido si intercepta el email, pero el email puede seguir siendo phishing. Siempre verifica el remitente de todas formas.

¿Reportar phishing lo detiene?

Reportar a tu proveedor de email lo bloquea para otros usuarios y ayuda a mejorar filtros. Pero no detiene al criminal; puede enviar desde otra dirección sin ningún problema.

Conclusión: Sé escéptico, pero no paranoico

La mejor defensa contra phishing es escepticismo sano. No es desconfiar de todos los emails; es simplemente:

1. Pausar antes de hacer clic
2. Verificar que el email tiene sentido
3. Buscar señales de alerta
4. Si tienes dudas, contactar al servicio directamente

En 2026, con Inteligencia Artificial mejorando, los emails falsos serán aún más realistas. Pero las técnicas básicas de detección siguen siendo las mismas: verifica direcciones, busca urgencia artificial, nunca entres credenciales desde email. El dinero que ahorres siendo cauteloso es dinero que no pierdes en estafas. Vale la pena invertir 10 segundos extra en verificar.

¿Recibiste un email phishing? Cuéntame en los comentarios cómo lo detectaste o si caíste en uno (no te avergüences; le pasa a millones). Tu experiencia puede ayudar a alguien a no perder dinero hoy.