Abres la bandeja de entrada y, entre facturas y mensajes legítimos, aparecen avisos falsos del banco, de Correos o de una plataforma conocida. Reducir ese ruido es posible, aunque prometer cero mensajes sería engañoso: los atacantes cambian de dirección y falsifican remitentes constantemente. Aquí explico cómo dejar de recibir correos de phishing, qué hacer con cada mensaje y cómo proteger la cuenta si ya has pulsado un enlace.
Estas medidas reducen el phishing desde hoy
- Marca los mensajes como phishing en lugar de limitarte a borrarlos.
- No respondas ni pulses enlaces, aunque el correo parezca proceder de una empresa conocida.
- Activa la autenticación multifactor y utiliza una contraseña exclusiva para tu cuenta.
- Separa tus direcciones de correo para compras, registros y comunicaciones importantes.
- Bloquear al remitente no basta cuando los atacantes cambian de dirección o falsifican el dominio.
Por qué no puedes detenerlos por completo
El phishing no funciona como una suscripción comercial que puedas cancelar. Un atacante puede enviar miles de mensajes desde cuentas distintas, dominios recién creados o direcciones que imitan a una empresa real. Por eso, la meta razonable es que la mayoría termine en spam y que los pocos mensajes restantes sean fáciles de identificar.
También conviene distinguir entre phishing y publicidad legítima. En una newsletter reconocible puedes usar el enlace de baja, pero en un mensaje sospechoso esa opción puede confirmar que tu dirección está activa o llevarte a una página peligrosa. Yo solo cancelo la suscripción cuando conozco al remitente y esperaba esos correos.
Si recibes una avalancha repentina, puede que tu dirección haya aparecido en una filtración de datos o que alguien la haya añadido a listas automatizadas. Cambiar de proveedor no elimina necesariamente el problema, porque el origen está en la exposición de la dirección, no siempre en el servicio de correo.
Qué hacer con cada mensaje sospechoso
La reacción correcta es más importante que descubrir de inmediato quién lo ha enviado. Mi procedimiento es corto y siempre sigue el mismo orden:
- No hagas clic en enlaces, botones, imágenes ni archivos adjuntos.
- Abre las opciones del servicio y selecciona “Marcar como phishing” o “Denunciar suplantación”.
- Si solo aparece la opción de spam, utilízala y elimina el mensaje.
- Si el correo suplanta a tu banco, una administración o una tienda, avisa a la entidad mediante su aplicación o teléfono oficial.
Marcarlo como phishing aporta más que borrarlo, porque ayuda al filtro a reconocer mensajes parecidos en el futuro. Aun así, no reenvíes el correo a tus contactos para pedir opinión: podrías propagar el enlace malicioso sin darte cuenta.
Señales que merecen desconfianza
Un mensaje urgente que exige pagar, verificar una cuenta o descargar un documento merece una pausa. Comprueba el dominio completo del remitente, no solo el nombre visible, y desconfía de errores, amenazas de bloqueo y premios inesperados.
Hay falsificaciones muy cuidadas, así que la ausencia de faltas no demuestra que el mensaje sea auténtico. La comprobación más segura consiste en entrar directamente en la aplicación o escribir la dirección oficial en el navegador, sin utilizar el enlace recibido.
Configura el correo para que filtre mejor
Gmail, Outlook y otros servicios permiten denunciar mensajes, bloquear remitentes y crear filtros. Las opciones cambian ligeramente de nombre según la versión, pero el principio es el mismo. Conviene usar primero el sistema automático y reservar los filtros manuales para patrones muy claros.
| Medida | Qué consigue | Limitación |
|---|---|---|
| Marcar como phishing | Entrena el filtro y genera una señal sobre la suplantación | No bloquea todas las campañas futuras |
| Bloquear al remitente | Desvía mensajes de esa dirección concreta | El atacante puede utilizar otra dirección |
| Crear un filtro | Envía a spam mensajes con palabras o dominios repetidos | Puede ocultar correos legítimos si es demasiado amplio |
| Usar un alias | Permite separar registros y detectar dónde se expuso la dirección | No todos los sitios aceptan alias |
Un filtro basado en palabras como “premio”, “urgente” o “verificación” suele ser demasiado agresivo. Si decides crear uno, empieza por un dominio concreto o una combinación muy específica y revisa la carpeta de spam durante varios días.
La función de bloqueo tampoco debe confundirse con una barrera total. Si el mensaje utiliza una dirección distinta cada vez, el bloqueo individual tendrá poco efecto. En ese caso, denunciar la suplantación y mejorar la protección de la cuenta suele dar mejores resultados.
Reduce la exposición de tu dirección
La prevención empieza antes de que llegue el correo. Evita publicar tu dirección principal en foros, comentarios o páginas abiertas, y no la uses para registrarte en servicios que solo quieres probar una vez. Para compras, newsletters y promociones, yo prefiero una dirección secundaria que pueda revisar sin mezclarla con comunicaciones bancarias o laborales.
Usa alias con una finalidad concreta
Algunos proveedores permiten crear alias o variantes con etiquetas. Puedes emplear una dirección distinta para una tienda, una asociación o un registro temporal y crear un filtro que la clasifique automáticamente. Si después empieza a recibir spam, sabrás dónde pudo producirse la exposición y podrás dejar de utilizar ese alias.
Este sistema no es anónimo ni sustituye a la autenticación multifactor. Además, ciertos comercios rechazan direcciones con el signo “+” o consideran sospechosos algunos alias. Por eso lo veo como una herramienta de organización y control, no como una solución mágica.
Lee también: Cómo dividir la pantalla en Windows 10 sin complicaciones
Revisa qué aplicaciones tienen acceso
Comprueba periódicamente las aplicaciones y servicios conectados a tu cuenta de correo. Elimina los permisos que ya no utilices, sobre todo los que permiten leer, enviar o gestionar mensajes. Una aplicación olvidada con acceso amplio puede convertirse en un problema aunque tu contraseña siga siendo segura.
Refuerza la cuenta y actúa si ya has caído
Un correo de phishing es molesto, pero el riesgo real aparece cuando alguien obtiene tu contraseña o instala un programa malicioso. Activa la autenticación multifactor, preferiblemente con una aplicación de códigos o una llave de seguridad, y utiliza una contraseña única guardada en un gestor fiable.
Si has introducido tus credenciales en una página falsa, cambia la contraseña inmediatamente desde un dispositivo seguro. Después cierra las sesiones abiertas, revisa las reglas de reenvío y los datos de recuperación, y cambia esa misma contraseña en cualquier otro servicio donde la reutilizaras.
Cuando el mensaje estaba relacionado con pagos, llama al banco usando el número de su tarjeta o aplicación oficial. Si descargaste un archivo, desconecta el equipo de la red si notas un comportamiento extraño y realiza un análisis de seguridad. Actuar durante los primeros minutos puede limitar mucho el daño.
En una empresa, estas medidas deben completarse con controles de correo como SPF, DKIM y DMARC. Son mecanismos que ayudan a verificar qué servidores están autorizados a enviar mensajes en nombre de un dominio. Para una cuenta personal no necesitas configurarlos, pero sí conviene que la organización los aplique si gestiona información sensible.
El plan más eficaz para mantener limpia tu bandeja
Empieza hoy denunciando los mensajes sospechosos y revisando las sesiones activas de tu cuenta. Después separa tu dirección principal de los registros comerciales, activa la autenticación multifactor y ajusta los filtros solo cuando tengas patrones claros.
Si la cantidad de mensajes no disminuye tras varias semanas, considera crear una nueva dirección para asuntos importantes y mantener la antigua como buzón secundario. No es la opción más cómoda, pero puede ser sensata cuando la dirección lleva años circulando en listas de spam y la seguridad pesa más que la comodidad.
La combinación que mejor funciona es sencilla: menos exposición, filtros bien utilizados y ninguna reacción impulsiva ante la urgencia del mensaje. El correo perfecto no existe, pero una bandeja entrenada y una cuenta protegida hacen que el phishing deje de ser una amenaza cotidiana.
