Desconfíe dun correo que lle mete présa, lle pide contrasinais, pagamentos ou un cambio de conta bancaria, chega dun remitente que se parece ao real pero non é igual, ou trae ligazóns e anexos que non agardaba. Se dubida, non faga clic nin responda: confirme co remitente por outra canle ou comprobe a mensaxe co detector.
Antes de pegalo, elimine os datos persoais que non sexan necesarios para a análise.
NetSereno non almacena o contido que pegue. O detector analízao primeiro con regras propias e, se fai falta, envía o texto xa filtrado a Google (Gemini) para valorar o risco; Google actúa como encargado do tratamento.
Que sinais delatan un correo de phishing?
Ningún sinal é definitivo por si só, pero varios xuntos case sempre o son. Fíxese en quen o envía de verdade, a onde levan as ligazóns, que lle piden e con canta urxencia. Un correo lexítimo rara vez lle pide credenciais ou un pagamento inmediato por correo electrónico.
- O remitente non coincide coa organización: dominio parecido, non idéntico (netsereno-soporte.com en vez de netsereno.com).
- Urxencia ou ameaza: «a súa conta pecharase hoxe», «pagamento pendente».
- O destino real da ligazón non coincide co texto. Pase o rato por riba, ou manteña premido no móbil, antes de abrila.
- Anexos inesperados: facturas, arquivos comprimidos ou documentos que piden activar macros.
- Petición de contrasinais, códigos de verificación, pagamentos ou un cambio de conta bancaria.
- Saúdo xenérico, ton estraño ou erros que a organización real non cometería.
Como se usa o detector de NetSereno?
Abra o detector, pegue o contido do correo sospeitoso e obterá unha valoración orientativa dos sinais que presenta. É unha axuda para decidir, non un veredicto. Antes de pegalo, elimine os datos persoais que non sexan necesarios. Ante a dúbida, trate a mensaxe como sospeitosa e confírmea co remitente por outra canle.
Que fago se xa fixen clic?
Se descargou algo, desconecte o equipo da rede. Desde outro dispositivo, cambie o contrasinal que introducise e calquera outro igual, active a verificación en dous pasos e avise ao seu responsable ou ao seu provedor de informática. Se se expuxeron datos persoais, valore se é unha brecha que deba notificarse.
Para esa valoración ten o noso asistente de notificación de brechas e a ferramenta oficial da AEPD, Asesora Brecha (en castelán). O prazo para notificar á AEPD é de 72 horas desde que ten constancia da brecha (art. 33 RXPD).
INCIBE ofrece a empresas e cidadanía unha liña gratuíta de axuda en ciberseguridade no 017.
Cinco comprobacións antes de facer clic
O correo electrónico segue a ser unha das principais portas de entrada de incidentes de seguridade nas empresas. Os ciberdelincuentes non precisan descifrar complexos sistemas informáticos cando poden enganar a unha persoa para que abra unha porta desde dentro. Iso é o phishing: unha técnica de manipulación psicolóxica (enxeñaría social) deseñada para que vostede entregue os seus contrasinais, descargue un arquivo malicioso ou autorice unha transferencia bancaria fraudulenta crendo que trata cun interlocutor lexítimo.
Quedaron atrás os tempos nos que os correos fraudulentos se recoñecían a simple vista por traducións pésimas ou faltas de ortografía evidentes. Hoxe, grazas ás ferramentas xerativas e á clonación minuciosa de modelos corporativos, unha mensaxe de phishing pode resultar practicamente indistinguible dunha auténtica.
Porén, ningún engano é perfecto. Para detectar se un correo é unha trampa antes de cometer un erro irreversible, aplique de forma metódica estas comprobacións:
1. Comprobe o enderezo real do remitente, non o nome visible
Calquera pode configurar o seu xestor de correo para que na pantalla apareza como nome «Abanca», «Axencia Tributaria» ou o nome exacto do seu director xeral. Este campo (display name) é puramente visual e pódese falsear sen ningún obstáculo técnico.
Fíxese sempre no enderezo de correo real que acompaña ao nome:
- Dominios parecidos (typosquatting): os atacantes adoitan rexistrar dominios case idénticos ao orixinal para confundir a simple vista, como provedor-pagamentos.com ou empresa.co en lugar do lexítimo empresa.com.
- Subdominios enganosos: preste atención ao que hai xusto antes do dominio principal. Un enderezo como seguridade.banco.com.servidor-externo.gal non pertence ao banco, senón a servidor-externo.gal.
- Contas lexítimas comprometidas: se o enderezo é auténtico pero o ton ou a petición son anómalos, a caixa do seu interlocutor puido ser secuestrada.
2. Inspeccione o destino real das ligazóns
Un texto subliñado en azul pode amosar https://o-seu-banco.gal/acceso, pero levar a unha páxina clonada baixo control do atacante.
- No ordenador, pase o cursor por riba da ligazón sen facer clic. Na esquina inferior do navegador ou do xestor de correo aparecerá o enderezo web (URL) ao que apunta realmente.
- No móbil ou na tableta, manteña premida a ligazón un segundo para previsualizar a URL completa antes de abrila.
- Se o destino non coincide co dominio oficial da entidade, ou se usa acurtadores de ligazóns para agochar a ruta, non a abra baixo ningún concepto. Pode comprobala sen abrila co noso inspector de ligazóns.
3. Detecte a manipulación emocional: urxencia e medo
O obxectivo do atacante é desactivar o seu sentido crítico facéndoo actuar baixo presión. Moitas campañas de phishing exploran dous resortes psicolóxicos: a présa e o respecto á autoridade.
Desconfíe sistematicamente das mensaxes con ultimátums como «a súa conta quedará suspendida en 24 horas se non valida as súas credenciais», «factura urxente vencida hoxe», supostas notificacións da DXT ou avisos de paquetaría bloqueada. Se unha mensaxe lle transmite unha necesidade imperiosa de actuar de inmediato, esa urxencia artificial é o sinal de alerta máis claro de que debe deterse a verificar.
4. Examine os anexos con receo
Os atacantes usan documentos anexos para infectar equipos con programas espía (spyware) ou secuestradores de arquivos (ransomware).
- Sospeite de arquivos comprimidos (.zip, .rar) ou de extensións potencialmente executables (.iso, .exe, .html).
- Desconfíe de documentos de Word ou Excel que, ao abrirse, lle piden «habilitar macros» ou «activar contido». Ningunha organización lexítima precisa que habilite macros para amosarlle unha factura ou un albará.
- Teña coidado cos PDF cuxo contido é unha simple imaxe cun botón que o invita a abrir unha páxina externa: adoita ser un truco para esquivar os filtros perimetrais do correo.
5. Aplique a regra da canle alternativa
Un banco nunca lle pedirá os seus contrasinais completos nin un código SMS de verificación a través dun correo electrónico. Do mesmo xeito, se recibe unha mensaxe dun cliente ou provedor que lle notifica un cambio repentino no número de conta bancaria para pagar unha factura (o habitual fraude do provedor), nunca execute o pagamento fiándose só do correo recibido.
Ante a mínima dúbida, acuda sempre a unha canle alternativa de verificación: colla o teléfono e chame directamente ao seu interlocutor habitual a un número que xa tivese gardado na súa axenda (nunca ao número que figure no propio correo sospeitoso). Unha comprobación de dous minutos evita perdas económicas importantes e días de xestión de incidentes.