Antes las estafas por correo se notaban a leguas: mal escritas, con el logo pixeleado, en un español rarísimo. Eso se acabó. Hoy muchas están mejor redactadas que los correos reales del banco, y llegan también por WhatsApp y por mensaje de texto.
Lo bueno es que, por muy bien hechas que estén, casi todas cometen los mismos errores de fondo.
Señal 1: Te meten prisa o te dan miedo
"Tu cuenta será bloqueada en 24 horas." "Detectamos un cargo no reconocido." "Tu paquete no pudo entregarse, actualiza tus datos hoy."
Esto no es casualidad: es la técnica principal. Cuando te asustas, dejas de revisar y actúas. Un banco de verdad no te va a cerrar la cuenta por no dar clic en un enlace, y una empresa seria no te da 24 horas para nada.
Regla práctica: mientras más urgente suene el mensaje, más despacio deberías ir tú.
Señal 2: El remitente casi coincide, pero no
No te fijes en el nombre que aparece, porque ese cualquiera lo puede poner. Fíjate en la dirección completa, la de después de la arroba.
Los ladrones usan direcciones que se parecen: cambian una letra, agregan un guion, o meten el nombre real como subdominio. Algo como seguridad@banco-mx-alertas.com no es el banco, aunque diga "banco" en medio.
En el celular muchas veces solo se ve el nombre. Tócalo para desplegar la dirección real antes de creerle a nada.
Señal 3: El enlace va a otro lado
El texto de un enlace puede decir una cosa y llevarte a otra.
- En computadora: pon el mouse encima del enlace sin dar clic. Abajo a la izquierda aparece a dónde va de verdad.
- En celular: mantén el dedo presionado sobre el enlace y espera. Se abre un menú que muestra la dirección completa.
Lo que importa es lo que está justo antes de la primera diagonal. En https://banco.com.seguridad-mx.net/login el sitio real es seguridad-mx.net, no el banco.
Señal 4: Te saluda de forma genérica
"Estimado cliente", "Hola usuario". Tu banco sabe tu nombre y normalmente sabe los últimos dígitos de tu tarjeta. Un saludo genérico en un correo supuestamente personal es mala señal.
Ojo: que traiga tu nombre tampoco lo hace confiable. Los datos filtrados se venden y los estafadores los usan para verse más creíbles.
Señal 5: Te piden algo que nadie te pediría
Ninguna empresa legítima te va a pedir, por correo o por mensaje:
- Tu contraseña.
- Tu código de verificación o NIP.
- El código de 3 dígitos que está atrás de tu tarjeta.
- Que instales un programa para "revisar tu equipo" o "liberar un depósito".
Si te piden cualquiera de estas cinco cosas, es estafa. No hay excepción ni caso especial.
Señal 6: Un archivo adjunto que no esperabas
Facturas, comprobantes, currículums, "resultados". Si no lo estabas esperando, no lo abras. Cuidado especial con archivos que terminan en .exe, .scr, .zip o con documentos que al abrirse te piden "habilitar contenido" o "habilitar macros". Ese botón es exactamente lo que instala el virus.
La regla que te salva de casi todo
Cuando dudes, no uses el mensaje para verificar el mensaje.
No le des clic al enlace ni marques al teléfono que viene en el correo. Sal de ahí, abre tú la app de tu banco o escribe la dirección en el navegador, o marca al número que está impreso atrás de tu tarjeta. Si la alerta era de verdad, ahí va a aparecer. Si no aparece, ya sabes lo que era.
Si ya diste tus datos
- Si diste datos bancarios: habla a tu banco de inmediato al número de tu tarjeta y pide bloqueo. Los primeros minutos importan mucho.
- Si diste una contraseña: cámbiala de inmediato, y cámbiala también en cualquier otro lugar donde usaras la misma.
- Si instalaste algo: desconecta el equipo de internet y córrele un análisis completo antes de volver a entrar a cualquier cuenta.
- Activa la verificación en dos pasos en el correo y en todo lo importante.
- Avisa. Si fue en el trabajo, dile a tu área de sistemas aunque te dé pena. Callarlo es lo que convierte un susto en un problema serio.
Caer en una de estas no te hace descuidado. Están diseñadas por gente que se dedica a esto de tiempo completo. Lo que sí importa es reaccionar rápido.