Qué es el Phishing y Cómo Evitarlo

Te llega un mensaje: "Tu cuenta del banco fue bloqueada por actividad sospechosa. Verifica aquí." El corazón se acelera un poco, el dedo ya está sobre la pantalla. Ese segundo exacto de duda es lo que los estafadores están esperando.

Según el informe anual 2024 del FBI IC3 (Centro de Quejas de Delitos en Internet), el phishing fue el delito cibernético más denunciado en Estados Unidos ese año, y las pérdidas totales reportadas por delitos cibernéticos superaron los $16,000 millones, un aumento del 33% respecto al año anterior. Y eso es solo lo que se reportó — muchas víctimas nunca hacen la denuncia.

Lo que hace más peligroso al phishing hoy es que ya no llega solo por correo. Llega por texto, por WhatsApp, por redes sociales y hasta por llamada telefónica. Según Pew Research, los hispanos en USA son más propensos que la población blanca a perder dinero por estafas en línea — en parte porque muchos no tenemos el inglés como primer idioma y eso nos hace un blanco más frecuente.

En esta guía vas a aprender:

• Qué es el phishing explicado sin tecnicismos
• Cómo reconocer un mensaje falso antes de hacer clic
• Los tipos de phishing más comunes que afectan a la comunidad latina
• Qué hacer, paso a paso, si ya caíste en una trampa
• Cómo protegerte de forma permanente

Qué es el Phishing, Explicado sin Tecnicismos

La palabra viene del inglés fishing (pescar), y es exactamente lo que hacen los estafadores: lanzan un anzuelo disfrazado de algo confiable —tu banco, Amazon, el IRS, la Seguridad Social— y esperan que alguien muerda.

Usan correos o mensajes de texto para intentar robarte contraseñas, números de cuenta o tu número de Seguro Social. Si lo consiguen, pueden entrar a tu correo, a tu banco, o simplemente vender esa información a otros estafadores.

Un ejemplo real que circuló afectando a usuarios de habla hispana: llega un texto que dice "Tu cuenta de Bank of America fue suspendida por actividad sospechosa. Verifica tu identidad aquí: boa-secure-alert.com". Ese enlace no lleva a Bank of America — lleva a una página idéntica a la real que captura tu usuario y contraseña en el momento exacto en que los escribes.

Los Tipos de Phishing que Más Afectan a Latinos en USA

Phishing por correo electrónico. El más antiguo y todavía el más común. Un correo que parece venir de tu banco o de una empresa conocida te pide hacer clic en un enlace o descargar un archivo.

Smishing (por texto/SMS). Te llega un mensaje diciendo que tu paquete está retenido, que debes pagar una multa, o que tu número de ITIN está bajo investigación. Según APWG (Anti-Phishing Working Group), este tipo de fraude sigue en aumento trimestre a trimestre. Es particularmente peligroso porque en el celular es más difícil revisar la dirección real del enlace antes de tocarlo.

Vishing (por llamada telefónica). Alguien te llama diciendo ser del IRS, de la Seguridad Social o de tu banco, hablando con total seguridad. El lenguaje urgente —"tendrás consecuencias graves si no respondes ahora"— es la señal clásica.

Phishing por redes sociales. Un mensaje directo en Facebook, Instagram o WhatsApp, a veces desde la cuenta hackeada de alguien que conoces, pidiéndote un favor urgente o un préstamo.

Spear phishing. El más peligroso de todos, porque es personalizado. El estafador ya investigó quién eres, dónde trabajas, cómo te llamas. Si recibes un mensaje que menciona tu nombre completo o detalles reales de tu vida, no bajes la guardia — subí la alarma.

Cómo Reconocer un Mensaje de Phishing: Señales de Alerta

Estas señales las podés revisar en segundos, antes de hacer clic en cualquier cosa:

• 🚩 Te piden actuar de inmediato. "Tu cuenta será cerrada en 24 horas." La urgencia es el truco más usado: buscan que no pienses ni consultes con nadie. Las empresas legítimas avisan con días de anticipación.
• 🚩 El remitente viene de una dirección extraña. El nombre puede decir "Soporte de Chase" pero la dirección real es algo como support@chase-alerts-verify.net. Si el dominio no termina exactamente en el oficial de la empresa, es una trampa.
• 🚩 El enlace no lleva a donde dice. Mantené el dedo sobre el enlace (en celular) o pasá el cursor encima (en computadora) antes de tocarlo, para ver la dirección real.
• 🚩 Te piden información que ninguna empresa legítima pediría. Contraseña, PIN, número de tarjeta o de Seguro Social por correo o texto — nunca. Ya tienen esos datos, o te dirigen a iniciar sesión de forma segura en su sitio oficial.
• 🚩 Tiene errores raros o traducciones torpes. Aunque la inteligencia artificial mejora cada vez más la redacción de los estafadores, muchos mensajes todavía suenan forzados en español.
• 🚩 Te dicen que ganaste algo que nunca pediste. El IRS no notifica reembolsos por correo electrónico. Ningún premio de lotería llega por texto.
• 🚩 Un archivo adjunto que no esperabas. Ningún banco ni agencia de gobierno manda archivos sin que vos los hayas pedido primero.
• 🚩 Te llama alguien "del IRS" o "de la Seguridad Social". Estas agencias inician contacto por correo postal, no por llamada ni email exigiendo pago inmediato. Si te llaman así, colgá y llamá vos directamente al número oficial.

Phishing vs. Comunicación Legítima

Señal	Mensaje legítimo	Mensaje de phishing
Remitente	dominio oficial de la empresa	dominios parecidos pero falsos
Tono	informativo, sin presión	urgente, amenazante
Solicitud	entrar desde la app oficial	hacer clic en un enlace externo
Información que pide	ninguna por email/texto	contraseña, SSN, PIN, tarjeta
Adjuntos	nunca sin que los pidas	archivos inesperados
Verificación	podés confirmarlo en la app oficial	no hay forma real de verificar

Fuente: FTC.gov, CISA.gov, PCMag.com, CNET.com.

Qué Hacer si Ya Hiciste Clic — Paso a Paso

No entres en pánico. Actuar rápido puede ser la diferencia entre perderlo todo y recuperar el control.

1. No des más información. Si la página ya cargó y te pide datos, cerrala de inmediato.
2. Desconectate de internet temporalmente. Si descargaste algo o ingresaste tus datos, apagá el WiFi o los datos del celular mientras seguís los siguientes pasos.
3. Cambiá tus contraseñas desde otro dispositivo. Usá un celular o computadora distinto y cambiá de inmediato las contraseñas de tu banco, correo y cualquier cuenta donde reutilices la misma clave. Si todavía no usás contraseñas únicas para cada cuenta, en Cómo Proteger tus Contraseñas en USA te explicamos cómo hacerlo con un gestor gratuito.
4. Llamá a tu banco directamente. Usá el número que aparece en el reverso de tu tarjeta — nunca el del mensaje sospechoso. Cuanto antes reportes, más probabilidades hay de que el banco pueda congelar transacciones fraudulentas.
5. Reportá el phishing a las autoridades. Podés hacer varias de estas a la vez:
   • FTC: reportfraud.ftc.gov
   • FBI IC3: ic3.gov
   • APWG (si fue por correo): reenviá el mensaje a reportphishing@apwg.org
   • Si fue por texto: reenvialo al número 7726 (SPAM)
6. Revisá tus apps. En iPhone: Ajustes → Privacidad y Seguridad → revisá qué apps tienen acceso a tu información y desinstalá lo que no reconozcas. En Android: Configuración → Aplicaciones → desinstalá apps recientes sospechosas y corré un escaneo con Google Play Protect.

Cómo Protegerte del Phishing de Forma Permanente

Saber detectarlo es la mitad de la batalla. La otra mitad es tener protecciones activas todo el tiempo:

• Activá la verificación en dos pasos en tu banco, tu correo y tus redes sociales. Así, aunque alguien tenga tu contraseña, necesita también tu celular para entrar.
• Nunca reutilices contraseñas. Si tu banco y tu Netflix comparten la misma, cuando hackeen uno tienen el otro. Un gestor gratuito como Bitwarden resuelve esto de raíz — te lo explicamos en Cómo Proteger tus Contraseñas en USA.
• Usá una VPN en redes WiFi públicas. Cuando te conectás en la biblioteca o el café, tus datos viajan sin protección. Si todavía no tenés una, revisá nuestra comparativa de la mejor VPN para latinos en USA.
• Mantené tu celular actualizado. Las actualizaciones de iOS y Android incluyen parches de seguridad que cierran huecos que los estafadores ya conocen y explotan.
• Desconfiá siempre de la urgencia. Cuando un mensaje te presiona a actuar ya, respirá. Llamá directamente a la empresa usando el número oficial, nunca el del mensaje.

Preguntas Frecuentes

¿El IRS me puede contactar por texto o email si debo impuestos?

No. El IRS nunca llama, manda correo electrónico ni texto exigiendo un pago inmediato. Siempre inicia el contacto por correo postal. Cualquier mensaje que diga ser del IRS por otra vía es una estafa — repórtalo en ftc.gov.

¿Pueden hackearme solo por abrir un correo de phishing?

En la mayoría de los casos, no. El peligro real está en hacer clic en enlaces o descargar archivos adjuntos. Abrir el correo sin interactuar con nada suele ser seguro, aunque si el mensaje carga imágenes automáticamente, puede confirmarle al estafador que tu correo está activo.

¿El phishing en español es igual de peligroso que en inglés?

Sí, y está creciendo. Los estafadores saben que la comunidad latina en USA es grande y han mejorado mucho sus traducciones. Como señala Pew Research, los hispanos en USA son más propensos a perder dinero por estafas en línea, lo que confirma que somos un blanco activo.

¿Qué pasa si mi número de Seguro Social fue robado en un ataque de phishing?

Actuá de inmediato. Entrá a IdentityTheft.gov —disponible en español— y seguí los pasos indicados. También podés congelar tu crédito gratis en las tres agencias (Experian, Equifax, TransUnion) para que nadie pueda abrir cuentas a tu nombre.

¿Una VPN me protege del phishing?

Una VPN protege tu conexión y algunas incluso bloquean dominios maliciosos conocidos, pero no es una barrera perfecta contra el phishing. La mejor protección siempre es saber reconocerlo vos mismo, combinada con las herramientas de seguridad que ya vimos en esta guía.

Conclusión

El phishing existe porque funciona. Pero funciona menos cuando la gente sabe reconocerlo.

Tres cosas para recordar siempre:

1. La urgencia es la señal más confiable de una estafa. Cualquier mensaje que te presiona a actuar ahora mismo merece desconfianza inmediata.
2. Verificá siempre por fuera del mensaje. Si algo parece de tu banco, cerralo y entrá directo a la app oficial.
3. Reportar protege a otros. Denunciar un intento de phishing al FBI IC3 o a la FTC toma dos minutos y puede evitar que otra persona de tu comunidad pierda sus ahorros.

Compartí este artículo con tu familia, sobre todo con quienes son mayores o recién llegaron al país — suelen ser los más expuestos.

Fuentes: FBI IC3 (ic3.gov), FTC.gov, CISA.gov, Pew Research (pewresearch.org), APWG.org, PCMag.com, CNET.com, EFF.org.

Si quieres conocer otros artículos parecidos a Qué es el Phishing y Cómo Evitarlo puedes visitar la categoría Seguridad Digital Básica.