¿Hiciste clic en un enlace de phishing? Haz estas 6 cosas ahora mismo
Respira hondo. Hacer clic en un enlace de phishing no es automáticamente un desastre. En la mayoría de los casos, el clic en sí no compromete tus cuentas ni tu dispositivo. Lo que importa es lo que pasó en los segundos posteriores al clic — y lo que hagas en los próximos minutos.
Esta guía te lleva exactamente por eso: triage, pasos de acción y cómo asegurarte de que no vuelva a pasar.
Primero: ¿qué pasó realmente cuando hiciste clic?
Los navegadores y sistemas operativos modernos están construidos para contener amenazas. Simplemente aterrizar en una página maliciosa rara vez instala algo por sí solo. El daño real casi siempre requiere que hagas algo más — escribir algo, descargar algo o aprobar un aviso.
Pregúntate cuál de estas ramas encaja con tu situación:
Solo hice clic y cerré la pestaña de inmediato. Riesgo bajo. Es muy probable que tu dispositivo esté bien. Aun así, repasa los pasos 1 y 4 de abajo, pero no entres en pánico.
Introduje mi contraseña o mi usuario. Riesgo alto. Trata tus credenciales como comprometidas. Ve directo al paso 2 y actúa rápido — el robo de credenciales es el resultado más común de un clic de phishing.
Descargué y abrí un archivo. Riesgo alto. Un archivo descargado puede ejecutar código. El paso 4 — un análisis de malware — se convierte en tu máxima prioridad, junto con cambiar las contraseñas de las cuentas a las que accediste en ese dispositivo.
Introduje datos de tarjeta de crédito o débito. Riesgo alto. Contacta con tu banco de inmediato (paso 5) para congelar o vigilar la tarjeta. Aquí el tiempo importa.
Aprobé un aviso de autenticación o di permiso a una app. Riesgo alto. Los atacantes usan ataques de «fatiga de MFA» y concesiones de permisos OAuth para tomar el control de cuentas incluso sin robar tu contraseña. Ve a la configuración de seguridad de tu cuenta y revoca cualquier permiso de app que no reconozcas.
Si todavía no estás seguro de qué pasó, recorre los seis pasos en orden. Lleva menos de 20 minutos y cubre todos los escenarios.
Los 6 pasos que debes dar ahora mismo
1. Desconéctate de la página y no introduzcas nada más
Cierra la pestaña de inmediato si aún no lo has hecho. No vuelvas a ella, no reintroduzcas nada y no hagas clic en ventanas emergentes secundarias ni en botones de «cerrar» dentro de la propia página — algunas páginas de phishing los usan para activar descargas.
Si sigues en una página que te resulta sospechosa, cierra toda la ventana del navegador en lugar de navegar a otro lado. En un teléfono, fuerza el cierre de la app.
No necesitas desconectar tu dispositivo de internet. Los ataques de phishing dependen de que tú proporciones información — normalmente no son exploits automáticos (drive-by) que se ejecutan en silencio en segundo plano en cuanto se carga una página.
2. Cambia la contraseña expuesta de inmediato — y en todos los sitios donde la reutilices
Si escribiste una contraseña en el sitio de phishing, asume que esa contraseña está ya en manos del atacante. Cámbiala en el sitio legítimo ahora mismo, antes de terminar el resto de esta lista.
Después, para. Piensa en dónde más usas esa misma contraseña. Toda cuenta que la comparta es ahora vulnerable, porque los atacantes prueban las credenciales robadas contra decenas de sitios populares de forma automática (esto se llama relleno de credenciales o credential stuffing). Cambia la contraseña en cada cuenta reutilizada.
Usa una contraseña única y generada al azar para cada sitio. Un gestor de contraseñas hace esto práctico.
3. Activa la autenticación de doble factor
Una vez que hayas cambiado la contraseña comprometida, activa la autenticación de doble factor (2FA) en esa cuenta — y en cualquier otra cuenta importante que aún no la tenga.
El 2FA hace que, incluso si un atacante tiene tu nueva contraseña mañana, aun así no pueda entrar sin tu segundo factor. Usa una app autenticadora (como Google Authenticator o Authy) en lugar de SMS siempre que sea posible — los códigos por SMS pueden interceptarse, aunque siguen siendo mejor que nada.
4. Ejecuta un análisis de malware y vigila el comportamiento de tu dispositivo
Si descargaste y abriste un archivo de la página de phishing, ejecuta un análisis completo de malware con tu software de seguridad. En Windows, Microsoft Defender (integrado) es un buen punto de partida. En Mac, Malwarebytes tiene un nivel gratuito de buena reputación.
Aunque no descargaras nada, vigila tu dispositivo durante las próximas 48 horas:
- Lentitud inesperada o uso alto de CPU
- Nuevas extensiones o barras de herramientas del navegador que no instalaste
- Correos de restablecimiento de contraseña que no solicitaste
- Actividad de inicio de sesión desconocida en el historial de tu cuenta
Si ves cualquiera de estas señales, escala — contacta con tu equipo de TI si esto ocurrió en un dispositivo de trabajo, o considera ayuda profesional.
5. Avisa a tu banco si había datos de pago de por medio
Si introdujiste un número de tarjeta, fecha de caducidad, CVV o credenciales bancarias, llama a tu banco o proveedor de tarjeta ahora. La mayoría tiene líneas de fraude 24 horas. Pídeles que:
- Marquen la tarjeta para vigilancia o emitan una de reemplazo
- Revisen las transacciones recientes en busca de algo desconocido
- Bloqueen cualquier pago a comercios desconocidos
Actuar en cuestión de horas aumenta drásticamente la probabilidad de detener o revertir cargos fraudulentos. No esperes a la mañana.
6. Denuncia el intento de phishing
Denunciar lleva dos minutos y de verdad ayuda a proteger a otros. Aquí es dónde denunciar:
- Tu proveedor de correo: usa el botón «Denunciar phishing» en Gmail, Outlook o Apple Mail. Esto entrena sus filtros para atrapar el mismo ataque dirigido a otros.
- Tu equipo de TI o seguridad (si era una cuenta de trabajo): necesitan saberlo para poder investigar si hubo otras personas de tu organización que fueron objetivo.
- La empresa suplantada: si el correo de phishing fingía ser de tu banco, Netflix, PayPal o cualquier otra marca, reenvíalo al equipo de abuso o seguridad de esa empresa (la mayoría publica una dirección para denunciar phishing, p. ej. phishing@paypal.com). Pueden actuar para que retiren el sitio.
- Agencias nacionales de ciberdelincuencia: en EE. UU., denuncia al Anti-Phishing Working Group en reportphishing@apwg.org y reenvía el correo a phishing-report@us-cert.gov. En el Reino Unido, usa la herramienta de denuncia del National Cyber Security Centre.
Una nota si hiciste clic en tu iPhone o Android
Mucha gente busca «hice clic en un enlace de phishing en iPhone» o «hice clic en un enlace de phishing en Android» presa del pánico. Esta es la respuesta honesta: los sistemas operativos móviles modernos tienen un fuerte aislamiento (sandboxing). Un toque en un enlace — incluso uno malicioso — muy rara vez resulta en la ejecución automática de código o en una infección.
El riesgo real en el móvil es idéntico al del escritorio: es lo que escribiste. Las pantallas móviles son más pequeñas, las URL son más difíciles de inspeccionar y los atacantes lo saben — las páginas de phishing están cada vez más diseñadas para verse perfectas en un teléfono. Si introdujiste credenciales o datos de pago en un sitio móvil, sigue los pasos 2 y 5 de arriba sin importar qué dispositivo usaste.
Restablecer de fábrica tu teléfono tras hacer clic en un enlace (sin descargar ni instalar nada) casi nunca es necesario. Reserva el restablecimiento de fábrica para los casos en los que instalaste una app sospechosa y no consigues eliminarla.
Prevención: comprueba el enlace antes de hacer clic la próxima vez
La mejor forma de evitar esta situación es verificar un enlace antes de abrirlo en tu dispositivo real.
Dos opciones lo ponen fácil:
Aprende a leer el enlace primero. Nuestra guía del comprobador de enlaces seguros explica por qué los escáneres de URL estáticos se pierden los dominios de phishing recién creados — y cómo inspeccionar un enlace sospechoso de forma segura en su lugar. Lleva minutos y no cuesta nada.
Ábrelo en un navegador que no existirá dentro de unos minutos. El analizador de Tempbrowser abre el enlace dentro de un entorno aislado temporal en la nube, transmitido a tu pantalla. La página se ejecuta en un entorno aislado — no en tu dispositivo. Cuando tu sesión termina, todo el entorno aislado se borra: sin historial, sin cookies, sin rastro. Si la página intenta algo, ocurre en un lugar completamente distinto. El plan Free no requiere registro ni tarjeta de crédito — obtienes tres lanzamientos al día, cada uno de hasta 3 minutos. Es más que suficiente para inspeccionar un enlace sospechoso antes de decidir si confiar en él.
Para más información sobre cómo evaluar enlaces sospechosos, consulta nuestra guía: ¿Es seguro este enlace? Cómo comprobarlo antes de hacer clic.
FAQ
¿Puede hackear mi teléfono solo con hacer clic en un enlace?
En casi todos los casos del mundo real, no. Hacer clic en un enlace y cargar una página no instala por sí solo malware ni compromete tus cuentas. Existen exploits sofisticados de tipo «zero-click», pero son raros, dirigidos y se parchean rápido. La inmensa mayoría de los ataques de phishing requieren que introduzcas algo — una contraseña, un número de tarjeta o un código de autenticación. Si hiciste clic pero no escribiste nada, tu riesgo es muy bajo.
¿Y si hice clic pero no introduje nada?
Lo más probable es que estés bien. Cierra la pestaña, ejecuta un análisis rápido de malware si descargaste algún archivo y vigila tus cuentas en busca de actividad inusual durante el par de días siguientes. No hace falta cambiar contraseñas a menos que realmente escribieras tus credenciales.
¿Debería restablecer de fábrica tras hacer clic en un enlace de phishing?
Casi con toda seguridad, no — sobre todo si lo único que hiciste fue hacer clic y cerrar. El restablecimiento de fábrica es un último recurso para situaciones en las que hay una app maliciosa instalada que no se puede eliminar. Para un clic de phishing en el que no descargaste ni instalaste nada, un restablecimiento de fábrica sería una exageración enorme y te haría perder datos innecesariamente.
¿Cómo compruebo un enlace sospechoso sin hacer clic en él?
Dos enfoques funcionan bien. Primero, pasa el cursor sobre el enlace (en el escritorio) para ver la URL real en la barra de estado de tu navegador — busca errores ortográficos en marcas conocidas o extensiones de dominio inusuales. Segundo, ábrelo en algún lugar desechable: pega la URL en el analizador de Tempbrowser, donde cualquier contenido malicioso se ejecuta en un entorno aislado en la nube que nunca toca tu dispositivo. Nuestra guía del comprobador de enlaces seguros explica por qué los escáneres estáticos por sí solos no bastan.
¿Cuál es el resultado más común tras hacer clic en un enlace de phishing?
El robo de credenciales es, con diferencia, el resultado más común. Los atacantes construyen páginas de inicio de sesión falsas convincentes de bancos, proveedores de correo y apps populares, recopilan tu usuario y contraseña y luego usan esas credenciales de inmediato — a menudo en cuestión de minutos. Por eso cambiar rápido una contraseña expuesta es tan crítico.
Si estás leyendo esto después de que ya haya pasado, ahora tienes una lista de acciones clara. Recórrela en orden y habrás hecho todo lo que una persona razonable puede hacer. De cara al futuro, una comprobación de dos segundos antes de hacer clic es todo lo que hace falta para que los ataques de phishing sean drásticamente menos peligrosos.
Abre tu próximo enlace sospechoso de forma segura — sin registro: analizador de Tempbrowser