Post actualizado el día noviembre 13, 2026 by DeiviSanzPlay
El primer error con un sitio de phishing no es hacer clic en el enlace equivocado. Es creer que el candado de la barra de direcciones te protege. Casi todo el mundo asume que si la URL empieza por «https» y aparece el icono del candado, la web es legítima. Y no lo es. El candado solo indica que la conexión está cifrada, no que el dueño del sitio sea quien dice ser.
Ese malentendido es la puerta de entrada de la mayoría de fraudes. Un sitio de phishing puede tener certificado SSL perfectamente válido, emitido gratis por cualquier autoridad de certificación. El cifrado protege el canal entre tu navegador y el servidor, pero si el servidor lo controla un estafador, el cifrado le beneficia a él, no a ti.
Qué mira la gente y qué debería mirar
En talleres y charlas de concienciación lo veo constantemente. Pongo una URL falsa de un banco en pantalla y pregunto quién la consideraría sospechosa. Pocos levantan la mano si el candado está presente. Cuando señalo que el dominio real es «bbva-seguridad-cliente.com» y no «bbva.es», la cara cambia.
La diferencia entre un sitio de phishing y la web original casi nunca está en el candado. Está en el dominio, en el subdominio mal colocado, en un guion de más, en una letra cambiada. Esa es la comprobación que casi nadie hace al empezar.
El truco del subdominio que engaña a simple vista
Un caso típico: «login.banco.com.verificacion-segura.net». Si lees rápido, ves «banco.com» y te relajas. Pero el dominio real es «verificacion-segura.net», y todo lo anterior es un subdominio que el atacante ha creado a su antojo. Este patrón aparece una y otra vez en campañas de sitio de phishing dirigidas a clientes bancarios y a usuarios de plataformas de pago.
La regla práctica es leer de derecha a izquierda hasta la primera barra. Lo que queda justo antes del «.com», «.es» o «.net» es el dominio verdadero. Si eso no coincide con la marca, da igual el candado, el diseño o lo bien redactado que esté el correo que te trajo hasta ahí.
Por qué los filtros automáticos no siempre salvan
Los navegadores y los proveedores de correo tienen listas de bloqueo, y funcionan, pero con retraso. Un sitio de phishing recién registrado puede operar durante horas o días antes de aparecer en esas listas. Y los atacantes lo saben: rotan dominios constantemente y usan servicios de alojamiento que dificultan el rastreo.
Esto no funciona para quien espera protección total sin mirar nada. Ninguna herramienta sustituye la comprobación manual del dominio cuando te piden credenciales, datos de tarjeta o un código de verificación.
Un detalle que casi nadie revisa: el momento
Más allá de la URL, hay una señal que pasa desapercibida: la urgencia. Casi todo sitio de phishing llega precedido de un mensaje que mete prisa. «Tu cuenta se bloqueará en 24 horas», «hemos detectado un cargo sospechoso, verifica ahora». La prisa existe para que no mires la barra de direcciones.
Cuando un mensaje te empuja a actuar en segundos, la probabilidad de acabar en un sitio de phishing sube. Frenar treinta segundos y abrir la web oficial escribiendo la dirección a mano, en lugar de pulsar el enlace, rompe la mayoría de estos intentos.
Limitaciones y lo que no cubre esta comprobación
Revisar el dominio no es infalible. Existen ataques de homógrafo con caracteres Unicode que imitan letras, y dominios comprometidos de webs legítimas que alojan formularios fraudulentos sin que el dueño lo sepa. En esos casos, la URL parece correcta y el sitio de phishing vive dentro de una web real.
Para esos escenarios, la única defensa razonable es la verificación en dos pasos con aplicación de códigos, nunca por SMS, y desconfiar de cualquier página que pida el código de un solo uso junto con la contraseña. Ningún banco serio lo hace.
Fuentes de referencia habituales en este tema son las guías de concienciación de organismos de ciberseguridad nacionales y los avisos de fraude que publican las propias entidades financieras. Merece la pena leerlas una vez, porque el patrón se repite.
Perfiles verificables: Sitio web
Publicado el 13 de November de 2026. Última revisión: 13 de November de 2026.
