Pinchar en un enlace de phishing es algo muy habitual. Es uno de los fraudes más habituales en internet. Incluso estando atentos, puede ocurrir: un mensaje creíble, un momento de prisa o una notificación aparentemente legítima pueden hacer que bajemos la guardia.
Si has pinchado en un enlace de phishing, lo más importante es mantener la calma y actuar con orden. En la mayoría de los casos, se puede reducir el impacto si se actúa a tiempo.
Qué es el phishing y cómo actúa
El phishing es un intento de engaño para que una persona realice una acción que no debería, como:
- introducir contraseñas o códigos
- facilitar datos personales o bancarios
- acceder a una web falsa
- descargar un archivo malicioso
Estos mensajes suelen simular ser de una entidad legítima y utilizan urgencia, presión o supuestos problemas de seguridad para provocar una reacción rápida.
Si pinchas en un enlace de phising esto es lo que tienes que saber.
Qué consecuencias puede tener
El impacto depende de lo que haya ocurrido tras hacer clic:
- Si llegas a una web falsa y escribes tus credenciales o datos, pueden usarse para acceder a tus cuentas.
- Si descargas un archivo o sigues instrucciones, existe riesgo de infección del dispositivo con malware.
- Si has compartido datos bancarios, tu cuenta podría verse expuesta y hay que actuar rápido para protegerla.
Y, sobre todo: no te culpes por pinchar o por caer. Es un error humano, y estos mensajes están diseñados precisamente para que ocurra.
Tres escenarios para decidir qué hacer
Después de pinchar, lo relevante no es el clic en sí, sino hasta dónde llegó la acción:
Caso 1: abriste el enlace, pero no hiciste nada más
Entraste en la página y te pareció extraña, o no coincidía con lo que esperabas. Si no introdujiste datos ni descargaste nada, el riesgo suele ser menor, pero conviene cerrar bien el episodio. Después de pinchar, lo relevante no es el clic en sí, sino hasta dónde llegó la acción:
Qué hacer:
- No vuelvas a entrar desde el mensaje y no completes formularios.
- Si el mensaje decía venir de una entidad y te pedía “actuar ya”, verifica por un canal oficial: entra tú mismo en la web o aplicación de siempre, sin usar el enlace.
- Guarda el mensaje (si necesitas reportarlo) y continúa con el apartado de “reportar” más abajo.
Caso 2: introdujiste datos (contraseña, datos personales o bancarios)
Aquí la prioridad es recuperar el control de la cuenta y evitar accesos no autorizados.
Qué hacer (por orden):
- Cambia la contraseña de la cuenta afectada lo antes posible.
- Si usabas esa contraseña en más sitios, cámbiala también en esas cuentas.
- Si facilitaste datos bancarios o de pago (tarjeta, claves, firma), contacta con tu banco o entidad para que te indiquen medidas de protección.
Caso 3: descargaste un archivo o seguiste instrucciones técnicas
En este caso, el foco pasa al dispositivo.
Qué hacer:
- Ejecuta un análisis completo con tu antivirus.
- Sigue las indicaciones para eliminar o aislar cualquier amenaza detectada.
Acciones que ayudan en la mayoría de los casos
Estas medidas son útiles en muchos escenarios, especialmente si hay dudas de si se han compartido datos o se ha descargado algo.
- Revisa la actividad de tus cuentas: accesos, cambios de configuración o mensajes no reconocidos.
- Refuerza el acceso: INCIBE recomienda activar autenticación de dos factores siempre que el servicio lo permita. En este otro artículo te contamos qué es y cómo activarlo.
- Controla tu información: revisa si hay datos personales expuestos o usos no autorizados. INCIBE recomienda revisar regularmente qué información circula y practicar egosurfing para detectar uso no consentido.
También es recomendable reportar el intento de fraude, aportando información como el mensaje recibido, capturas o la URL.
No te culpes por pinchar o caer
Pinchar en un enlace de phishing puede ocurrir. Es un error humano, y estos mensajes están diseñados precisamente para que suceda.
La diferencia está en reaccionar con calma y con orden: cambiar contraseñas, contactar con tu banco si compartiste datos financieros, analizar el dispositivo si hubo descarga, y reportar el fraude con evidencias para recibir ayuda y cortar la campaña.
Aprender a detectar y prevenir
La mejor defensa es combinar reacción y prevención: aprender a identificar señales, entender cómo funcionan estos fraudes y aplicar medidas de protección en el día a día.
En el Centro Demostrador de Ciberseguridad, estos escenarios se trabajan de forma práctica, con ejemplos reales y orientados a la vida cotidiana. Ahora ya sabes qué tienes que hacer si pinchas en un enlace de phishing.
