Cómo comprobar si un enlace es seguro

Paso 1: revele el destino real antes de tocar

Las palabras de un enlace son solo una etiqueta; pueden decir cualquier cosa. Lo que importa es adónde apunta realmente el enlace. En un ordenador, pase el ratón por encima del enlace sin hacer clic y lea la dirección real que aparece en la esquina de la pantalla. En un teléfono, mantenga pulsado el enlace hasta que aparezca un menú de vista previa que muestre la URL completa, y luego ciérrelo sin abrirlo.

Compare lo que ve con lo que el enlace dice ser. Si un enlace etiquetado con el nombre de su banco lleva a un dominio cualquiera, a uno mal escrito o a un acortador de enlaces a través del cual no puede ver, esa discrepancia es su respuesta. Nunca se fíe solo del texto que se muestra.

• Cómo detectar un correo de phishing
• Phishing

Paso 2: lea el dominio, no la URL entera

Las URL pueden ser largas y confusas, y los estafadores las rellenan con palabras familiares para tranquilizarle. La única parte que determina adónde va realmente es el dominio principal: el nombre situado inmediatamente a la izquierda de la primera barra simple. En una dirección como account-verify.paypa1-support.example/login, el dominio principal es paypa1-support.com, no «paypal», ni «account», ni «login» metidos en otro lugar de la cadena.

Así que localice el dominio y juzgue eso. Las palabras que hay antes de él (subdominios como login.secure.) y todo lo que hay después de la barra (rutas y parámetros) pueden fijarse a cualquier cosa y no prueban nada. Si el dominio principal no es el real y oficial de la empresa, el resto de la URL no importa.

• Cómo detectar un mensaje de texto fraudulento
• Señales de una estafa

Paso 3: esté atento a las imitaciones y al typosquatting

Una vez que esté leyendo el dominio, fíjese bien en los pequeños trucos. El typosquatting cambia o añade caracteres que pasan desapercibidos a primera vista: un cero por la letra O, un uno por una ele minúscula, una letra de más, un guion o una terminación distinta como .co en lugar de .com. Otros adjuntan la marca real como un subdominio de un dominio que ellos poseen, de modo que el nombre familiar aparece, pero el dominio real es algo completamente distinto.

Lea el dominio despacio, carácter a carácter, especialmente en una pantalla pequeña. Si algo desentona, una letra sustituida, una terminación inesperada, el nombre de la marca en la posición equivocada, trate el enlace como inseguro. Los estafadores cuentan con que usted lea por encima.

Hay unos cuantos patrones concretos que aparecen una y otra vez. Palabras adicionales unidas por guiones alrededor de un nombre de marca (paypal-secure-login) son un truco de disfraz clásico; el dominio real casi nunca las necesita. Terminaciones inusuales.info, .top, .xyz o un código de país, adjuntas a una marca muy conocida deberían levantar una ceja. Y un nombre que técnicamente es la marca pero que aparece como subdominio de algo desconocido (paypal-account-check.example lleva a account-check.com) está diseñado para tranquilizarle mientras le envía a otro lugar completamente distinto. Ninguno de estos es una prueba por sí solo, pero cualquiera de ellos es motivo suficiente para detenerse y llegar a la empresa por su puerta principal.

• Typosquatting
• Reclutador falso con dominio imitado

Paso 4: esté atento a las pistas del contexto que rodea al enlace

Un enlace nunca llega solo; viene envuelto en un mensaje, y el envoltorio le dice mucho. Pregúntese quién lo envió y si lo esperaba. Un enlace en un mensaje de texto no solicitado, un correo sorpresa o un mensaje directo de alguien que acaba de conocer merece mucha más sospecha que uno que usted pidió específicamente, como un restablecimiento de contraseña que acaba de activar usted mismo hace unos instantes.

Luego lea la presión. Los enlaces maliciosos casi siempre van emparejados con urgencia y con un motivo por el que debe hacer clic ahora mismo: una cuenta se suspenderá, un paquete se devolverá, un pago ha fallado, una oferta limitada caduca. Los servicios legítimos rara vez fuerzan un clic instantáneo a través de un enlace desconocido para evitar una penalización. Si el mensaje que lo rodea le apremia o el enlace es la única forma de «arreglar» un problema repentino, trate el propio enlace como sospechoso por muy bien que se vea el dominio.

Sea también cauteloso con los enlaces acortados (bit.ly y similares) que ocultan por completo el destino real. Cuando no puede ver adónde lleva un enlace acortado, no puede inspeccionarlo, y esa opacidad es en sí misma un motivo para desconfiar, especialmente en un mensaje inesperado.

• Cómo detectar un mensaje de texto fraudulento
• Ingeniería social

Paso 5: ante la duda, no haga clic; vaya directo

No necesita hacer clic en un enlace para llegar adonde dice llevar. Si un mensaje dice que hay un problema con su cuenta, un paquete o una factura, llegue usted mismo a lo real: abra la aplicación oficial de la empresa o escriba directamente su sitio web en el navegador. Cualquier aviso genuino le estará esperando dentro de su cuenta a través de ese camino de confianza, y si no está ahí, el mensaje no era real.

Este único hábito desactiva la mayoría de las estafas basadas en enlaces, porque elimina por completo el enlace del estafador de la ecuación. Cuando tenga dudas, la opción segura por defecto es no hacer clic: un enlace que nunca abre no puede hacerle daño. No hay ninguna desventaja en llegar a una empresa por su puerta principal en lugar de por un enlace que alguien le envió, y convierte una decisión arriesgada en una rutina segura y automática.

• Hice clic en un enlace de phishing
• Proteja sus cuentas

Paso 6: pida una segunda opinión y una nota sobre los códigos QR

Si ha inspeccionado un enlace y aún no está seguro, pida ayuda antes de comprometerse. Puede pegar el enlace en Hunch, que señala las categorías de indicios que reconoce, un dominio imitado, un tono urgente o una solicitud de credenciales o de pago, de modo que tenga más en qué basarse que una simple corazonada.

Una cosa más: un código QR no es más que un enlace que no puede leer con los ojos. Cuando escanea uno, su teléfono suele mostrarle la URL de destino antes de abrirla; deténgase y aplique a esa URL los pasos anteriores exactamente igual que a cualquier otro enlace. Desconfíe especialmente de los códigos QR pegados encima de otros reales, en correos inesperados o en carteles de aparcamiento y de pago, ya que un estafador puede tapar un código legítimo con el suyo.

Vale la pena recordar por qué todo esto importa: el objetivo de comprobar un enlace es mantenerle fuera de una página que parece real pero no lo es. La mayor parte del robo de credenciales y del fraude con tarjetas empieza con un solo toque sobre una imitación convincente, así que los segundos que dedica a inspeccionar un enlace son algunos de los más valiosos de su vida en línea. Convierta estos pasos en un hábito y dejarán de parecer un esfuerzo: se convertirán en la pausa automática que le protege silenciosamente cada día.

• Cómo funciona Hunch
• Escaneé un código QR fraudulento
• Quishing

FAQ