¿Qué es phishing y por qué seguimos cayendo en mensajes falsos?
Publicado el 2026-10-17 por frfrand
Cómo funcionan los intentos de phishing, ejemplos habituales y consejos prácticos para reconocerlos sin depender solo del candado HTTPS.
Te llega un correo diciendo que tu cuenta será suspendida en diez minutos. Tiene el logo correcto, un botón azul y hasta un tono bastante profesional. Presionás el enlace y aparece una pantalla de inicio de sesión casi idéntica a la original.
Eso puede ser phishing: un intento de engañarte para conseguir información, dinero o una acción que favorezca al atacante. Muchas veces no necesita explotar un fallo del sistema; intenta aprovechar nuestra confianza, apuro o distracción.
¿Cómo funciona realmente?
El atacante prepara un mensaje que parece venir de alguien conocido: un banco, una tienda, un proveedor de servidores o un compañero de trabajo.
El mensaje intenta provocar una decisión rápida. Puede decir que hubo un cargo extraño, que se venció una factura o que hay que validar una cuenta urgentemente. Cuando la persona sigue las instrucciones, puede terminar entregando una contraseña, aprobando un acceso o descargando un archivo malicioso.
La parte más importante del ataque suele ser la historia que te cuenta, no la tecnología utilizada.
Un ejemplo cotidiano
Imaginá que recibís un mensaje del supuesto servicio donde tenés alojada tu web: «Tu servidor será eliminado hoy; iniciá sesión para evitarlo».
El diseño parece legítimo, pero el enlace conduce a un dominio ligeramente diferente. Si escribís tu contraseña ahí, la información va al operador de esa página y no al proveedor auténtico.
Esto no significa que todos los avisos urgentes sean falsos. Significa que la urgencia no debería reemplazar la verificación.
¿Cómo reconocer una señal sospechosa?
- Te presionan para actuar inmediatamente o amenazan con consecuencias exageradas.
- El remitente, enlace o dominio no coincide con el servicio verdadero.
- Piden contraseñas, códigos de verificación o datos que normalmente no deberían solicitar por mensaje.
- Hay un archivo inesperado o un cambio extraño en los datos de pago.
Un atacante cuidadoso puede evitar errores de ortografía y utilizar una apariencia muy creíble. Por eso no conviene basar todo el análisis en si el correo «está bien escrito».
¿Y el candado de HTTPS?
Esta es una confusión muy frecuente. El candado indica que la conexión utiliza cifrado y que se ha realizado cierta verificación de la conexión con el sitio. No demuestra que el propietario de la página sea honesto. Una web fraudulenta también puede tener HTTPS.
Es mejor comprobar la dirección del sitio y, si dudás, abrir una pestaña nueva para entrar escribiendo la dirección que conocés o usando un marcador guardado.
¿Qué hago si ya ingresé mi contraseña?
Entrá por la página legítima, cambiá las credenciales comprometidas y cerrá sesiones activas cuando el servicio lo permita. Si reutilizaste esa clave, cambiala también en las demás cuentas afectadas.
Activá autenticación multifactor y revisá movimientos, reglas de correo, dispositivos conectados o cambios administrativos. Si se trata de una cuenta empresarial, avisá al equipo responsable de seguridad para que pueda revisar el alcance.
¿Qué relación tiene con ArduMaker?
Si gestionás servidores y aplicaciones desde ArduMaker, protegé el acceso a tu cuenta como lo harías con cualquier panel de infraestructura: verificá el dominio antes de iniciar sesión, evitá compartir credenciales y desconfiá de solicitudes inesperadas que pidan modificar permisos.
La idea para llevarte: phishing es engañar a una persona para conseguir algo que no debería entregar. La mejor defensa empieza por verificar quién está pidiendo qué, no por confiar en la apariencia del mensaje.