agosto 31, 2026
Phishing bancario: cómo detectar una web falsa aunque parezca legítima
Los intentos de phishing bancario ya no siempre llegan con faltas de ortografía, logotipos deformados o direcciones web claramente sospechosas.
Algunas campañas actuales están mucho mejor preparadas. Copian con bastante precisión la imagen del banco, utilizan argumentos creíbles y pueden dirigir a páginas prácticamente idénticas a la banca online real.
Y hay otro problema: cuando una campaña acaba de empezar, algunos servicios automáticos de verificación todavía pueden considerar seguro el enlace.
Es precisamente lo que he encontrado recientemente en una campaña que suplanta al Banco Santander. Pero podría haber sido cualquier otra entidad.
El phishing bancario ya no siempre parece phishing
Durante años hemos repetido algunos consejos bastante razonables para identificar un correo fraudulento:
- errores ortográficos;
- remitentes extraños;
- mensajes mal redactados;
- diseños poco profesionales;
- enlaces claramente sospechosos.
El problema es que los delincuentes también evolucionan.
Hoy resulta relativamente sencillo reproducir la identidad gráfica de un banco y generar mensajes perfectamente redactados. Incluso pueden utilizar conceptos reales relacionados con la seguridad bancaria para dar credibilidad al engaño.
Por eso, un correo bien escrito ya no es una garantía de legitimidad.
Un caso reciente: suplantación del Banco Santander
En una campaña que he analizado recientemente, el correo informaba de un supuesto proceso relacionado con la autenticación reforzada PSD2.
El mensaje estaba correctamente redactado y utilizaba un diseño coherente con la identidad visual del Banco Santander.
Nada especialmente llamativo a primera vista.
El verdadero problema aparecía al pulsar el enlace.
Una copia casi idéntica de la banca online
La página de destino imitaba con bastante precisión el acceso para empresas del banco.
Logotipo, estructura, colores, formularios y apariencia general estaban suficientemente bien reproducidos como para que una persona que accediera con cierta prisa pudiera pensar que estaba realmente en la web de su entidad.
El objetivo era conseguir las credenciales.
Este mismo procedimiento puede utilizarse para suplantar prácticamente cualquier banco: CaixaBank, BBVA, Sabadell, ING, Bankinter, Unicaja o cualquier otra entidad con servicios de banca online.
El nombre del banco cambia. La técnica es esencialmente la misma.
El problema de confiar únicamente en los verificadores de enlaces
Aquí aparece uno de los aspectos más interesantes de este caso.
Comprobé el enlace utilizando diferentes servicios de reputación y análisis de URLs.
Algunos no lo identificaban como malicioso.
Esto no significa que esas herramientas funcionen mal. Significa que tienen una limitación importante: necesitan información previa para identificar muchas amenazas.
Una web fraudulenta también puede tener buena reputación
Cuando los ciberdelincuentes crean un dominio nuevo para una campaña de phishing, ese dominio todavía puede no figurar en listas negras.
Puede ocurrir algo parecido a esto:
- Se registra el dominio.
- Se publica la copia del banco.
- Empieza la campaña de phishing.
- Llegan las primeras víctimas.
- Los sistemas de seguridad empiezan a detectar actividad sospechosa.
- El dominio termina siendo catalogado como peligroso.
Entre los primeros pasos y los últimos puede existir una ventana durante la cual una web fraudulenta todavía aparece como aparentemente segura en algunas herramientas.
Por eso los verificadores de enlaces son útiles, pero no deberían convertirse en nuestra única prueba.
Cómo comprobar si una web bancaria es realmente la correcta
Cuando recibas un correo, SMS o mensaje que te pida realizar alguna operación relacionada con tu banco, hay una medida especialmente sencilla:
no utilices el enlace recibido para entrar en tu banca online.
Abre tú mismo la página del banco escribiendo su dirección en el navegador o utiliza la aplicación oficial instalada en tu dispositivo.
Si realmente existe una incidencia importante, normalmente podrás comprobarla desde tu área privada.
Desconfía especialmente cuando te pidan
Presta atención si el mensaje solicita:
- introducir usuario y contraseña;
- verificar nuevamente tu identidad;
- confirmar una transferencia;
- desbloquear una cuenta;
- actualizar datos bancarios;
- activar nuevas medidas de seguridad;
- introducir códigos recibidos por SMS;
- validar una operación que no recuerdas haber realizado.
El problema no está necesariamente en el argumento utilizado. Muchos de esos procesos existen realmente.
La cuestión es quién está solicitando esos datos y desde qué página.
El phishing bancario también llega por SMS y WhatsApp
El correo electrónico sigue siendo uno de los canales más utilizados, pero no es el único.
Los mismos ataques pueden llegar mediante:
SMS, conocidos habitualmente como smishing.
WhatsApp o Telegram, utilizando mensajes que aparentan proceder de una entidad financiera.
Redes sociales, mediante perfiles falsos de atención al cliente.
Incluso mediante llamadas telefónicas en las que el atacante intenta convencer a la víctima para que facilite información o confirme operaciones.
Por eso resulta cada vez menos útil asociar el phishing exclusivamente al correo electrónico.
El verdadero denominador común es otro: alguien intenta conseguir que tomemos una decisión rápida antes de que comprobemos quién está realmente detrás del mensaje.
Las empresas tienen un riesgo añadido
El problema puede ser especialmente serio cuando el objetivo es una empresa.
Una credencial bancaria comprometida puede facilitar información sobre cuentas, operaciones o proveedores.
Además, los atacantes pueden combinar el phishing con otras técnicas de fraude empresarial.
Por ejemplo, pueden utilizar previamente información pública sobre empleados, responsables financieros o proveedores para construir mensajes mucho más convincentes.
Por eso las empresas no deberían depender únicamente de filtros antispam y herramientas automáticas.
La formación de las personas que reciben estos mensajes sigue siendo una de las medidas más importantes.
Qué hacer si recibes un enlace bancario sospechoso
Si tienes dudas, no introduzcas ningún dato.
Puedes enviar el enlace gratuitamente a Alertaphishing.com, donde realizo una revisión para determinar si existen indicios de fraude.
El servicio sirve también como una primera muestra de cómo funciona mi trabajo de prevención de fraudes digitales.
En muchos casos, comprobar un enlace requiere bastante más que introducirlo en un verificador automático: hay que analizar el dominio, la web, su infraestructura, su comportamiento y el contexto en el que ha llegado.
Y cuando se trata de campañas muy recientes, ese análisis puede marcar una diferencia importante.
La mejor señal de alarma sigue siendo la duda
No necesitamos convertirnos en especialistas en ciberseguridad para evitar buena parte del phishing.
Pero sí necesitamos cambiar un hábito.
Cuando un mensaje relacionado con nuestro banco nos pide hacer algo urgente, la primera reacción no debería ser obedecer, sino verificar.
Las herramientas automáticas ayudan.
Los filtros ayudan.
Los antivirus ayudan.
Pero ninguno de ellos puede garantizar que una campaña nueva ya haya sido detectada.
Y precisamente por eso, cuando hay dinero, credenciales o información sensible en juego, dedicar unos minutos a comprobarlo puede evitar un problema mucho mayor.
Internet cambia rápido, y los métodos para engañarnos y las normativas todavía más.
Si gestionas una web o una entidad, la seguridad no debería ser un dolor de cabeza constante.
Únete a la newsletter para recibir consejos cortos y prácticos sobre:
- Protección de Datos: Cómo cumplir la ley correctamente para protegerte de multas y sanciones.
- Seguridad Web: Mantén tu página a salvo de intrusos.
- Ciberseguridad: Hábitos sencillos para blindar tu día a día.
- IA: Cómo usar la inteligencia artificial de forma segura.