Cómo saber si un enlace es estafa antes de abrirlo (2026)

El phishing creció un 40% en 2024. Aprende a leer señales visuales y usar herramientas gratuitas para no caer.

Qué es el phishing y para qué sirve saber reconocerlo

El phishing es una técnica de engaño en la que un enlace fraudulento imita a un sitio real para robarte datos personales, contraseñas o dinero. No es malware en el sentido clásico: no necesita infectar tu dispositivo. Solo necesita que hagas clic y confíes.

El nombre viene del inglés fishing (pescar): los atacantes lanzan el anzuelo y esperan a que piques. El cebo suele ser un correo, un SMS o un mensaje de WhatsApp que simula ser tu banco, Correos, Amazon o incluso la Agencia Tributaria.

Saber cómo detectar si un enlace es una estafa antes de abrirlo es, literalmente, la diferencia entre perder o no perder el acceso a tu cuenta bancaria.

Cómo verificar si un enlace es peligroso antes de abrirlo — paso a paso

Antes de hacer clic en cualquier enlace sospechoso, puedes analizarlo en segundos con métodos visuales y herramientas gratuitas. Aquí va el proceso completo:

1. Previsualiza la URL sin abrirla. En ordenador, pasa el cursor por encima del enlace: la barra de estado inferior del navegador muestra la dirección real. En móvil, mantén pulsado el enlace hasta que aparezca un menú con la URL. Si lo que ves no coincide con el texto del enlace, para.
2. Lee el dominio de derecha a izquierda. El dominio real es lo que está justo antes del primer / y después del último punto. Por ejemplo, en seguridad.banco-alerta.xyz/login el dominio real es banco-alerta.xyz, no «banco». Eso ya es señal de alerta.
3. Busca patrones sospechosos en la URL. Guiones excesivos, números que reemplazan letras (0 en lugar de o, 1 en lugar de l), dominios terminados en .xyz, .top, .click o .tk, y subdominios largos tipo amazon.verificacion-cuenta.ru son señales claras de fraude.
4. Copia la URL y pégala en VirusTotal. Entra en VirusTotal, selecciona la pestaña «URL», pega el enlace y pulsa enter. En menos de 10 segundos obtienes un análisis con más de 90 motores de seguridad. Gratuito, sin registro.
5. Contrástalo con Google Safe Browsing. El servicio de transparencia de Google (Google Safe Browsing) permite comprobar si una URL está en su lista negra de sitios peligrosos. Busca «Google Safe Browsing check» en Google y accede a la herramienta oficial de transparencia de Google.
6. Para URLs acortadas, usa URLScan.io. Los enlaces cortos del tipo bit.ly o t.co ocultan el destino real. URLScan.io hace una captura del sitio al que redirige y te muestra el resultado sin que tú lo visites. También detecta redirecciones encadenadas, una táctica habitual en campañas de phishing sofisticadas.
7. Consulta PhishTank para dominios muy recientes. PhishTank es una base de datos colaborativa donde usuarios y empresas reportan sitios de phishing confirmados. Es especialmente útil para dominios que llevan pocas horas activos y aún no aparecen en otras listas.

Errores frecuentes al intentar detectar phishing

El error más extendido es creer que HTTPS garantiza que un sitio es seguro. No es así. Según el Anti-Phishing Working Group (APWG), el 82% de los sitios de phishing activos en 2024 usaban HTTPS. El candado solo significa que la conexión está cifrada, no que quien opera el sitio sea legítimo.

• Fiarse del nombre visible del enlace. Un enlace puede mostrar el texto «www.paypal.com» pero redirigirte a cualquier otro sitio. El texto y la URL real son cosas distintas. Siempre previsualiza la dirección real.
• Ignorar los subdominios. Un dominio como paypal.com.verificacion-usuario.net no pertenece a PayPal. El dominio real es verificacion-usuario.net. Es un truco tan viejo como efectivo.
• Asumir que el remitente conocido lo hace seguro. Si un amigo o compañero de trabajo te manda un enlace raro, su cuenta puede haber sido comprometida. El origen no garantiza nada.
• No verificar URLs acortadas. Los atacantes usan acortadores precisamente para ocultar el dominio real. Nunca hagas clic en un enlace corto que llegue por SMS o correo no solicitado sin expandirlo antes.

Lo que necesitas saber antes de empezar

No necesitas instalar nada para aplicar estos métodos: todas las herramientas mencionadas funcionan desde el navegador. VirusTotal, Google Safe Browsing, PhishTank y URLScan.io son gratuitas para consultas básicas y no requieren cuenta.

El contexto importa: el APWG documentó un crecimiento del 40% en sitios de phishing activos entre 2023 y 2024, con más de 1,1 millones de dominios maliciosos detectados ese año. Los sectores más imitados fueron servicios financieros, redes sociales y plataformas de mensajería. Nadie está fuera del radar.

Una advertencia honesta: ninguna herramienta detecta el 100% de los sitios maliciosos. Los dominios de phishing pueden tener apenas horas de vida antes de aparecer en las listas negras. Por eso, la primera línea de defensa siempre es el criterio propio: si algo no encaja — urgencia exagerada, errores ortográficos, remitente inusual — no hagas clic aunque el análisis salga limpio.

Activar la autenticación en dos pasos en tus cuentas principales es la red de seguridad que convierte un clic accidental en un susto menor en lugar de un problema grave. No es opcional si te importa tu información.

Redacción de Tecnología — Trendeo Guías prácticas y tutoriales tecnológicos verificados. Explicamos cómo funciona todo, paso a paso, sin dar nada por sabido.

Sobre Trendeo Telegram @trendeo_es