Recibes un correo que dice ser de tu banco, de una plataforma que usas o de un proveedor, y algo no encaja. ¿Es real o es phishing? Mirar solo el nombre del remitente no basta: precisamente ahí es donde los estafadores ponen su mayor esfuerzo. Esta guía te enseña a leer las señales que de verdad distinguen un correo fiable de uno fraudulento: el dominio, su antigüedad, la autenticación técnica y el rastro público de la dirección. Son las mismas señales que analiza un motor OSINT, explicadas para que las entiendas y las uses tú.
Por qué un correo «válido» no siempre es un correo «fiable»
Primer concepto, y el más importante: validez técnica no es lo mismo que confianza.
- Un correo puede ser técnicamente válido (la dirección existe, el servidor la acepta) y aun así proceder de un estafador que se ha creado esa cuenta hace cinco minutos.
- Y al revés: una dirección legítima puede tener alguna señal técnica floja sin ser un fraude.
Verificar un correo, por tanto, no es preguntar «¿existe esta dirección?», sino «¿puedo confiar en quien hay detrás de este mensaje?». Y esa pregunta se responde con varias señales combinadas, no con una sola.
Señales que delatan un correo fraudulento
INCIBE, el Instituto Nacional de Ciberseguridad, tiene una página con consejos para reconocer el phishing, y si dudas de un correo puedes consultarlo gratis en su Línea de Ayuda en Ciberseguridad, el 017.
Dominio recién creado o typosquatting
La parte que va después de la @ es el dominio, y es donde se esconde la mayoría de los fraudes:
- Typosquatting: dominios que imitan a uno legítimo con un cambio mínimo que se cuela a simple vista:
micr0soft.net(con cero),banco-seguridad.com,amazon-envios.info. A primera vista parecen el real; leídos con atención, no lo son. - Dominio recién registrado: un correo «oficial» que llega desde un dominio creado hace días es una señal muy fuerte de fraude. Lo veremos en detalle más abajo.
Dominio desechable o temporal
Existen servicios de correo de usar y tirar que generan direcciones que se autodestruyen en minutos. Son legítimos para ciertos usos, pero un supuesto contacto serio (un proveedor, un cliente, un banco) nunca te escribirá desde uno. Si el dominio del remitente es uno de estos servicios temporales, la confianza cae a cero.
Falta de SPF, DKIM o DMARC
Son los mecanismos que permiten comprobar que un correo viene de verdad de quien dice venir (los explico en la siguiente sección). Un dominio que no tiene estas protecciones configuradas es más fácil de suplantar, y un correo que falla estas comprobaciones es sospechoso.
Dirección de rol que finge ser personal
Direcciones como no-reply@, admin@, info@ o security@ son de rol (una función, no una persona). No son fraude por sí mismas, pero cuando un correo firmado por «Juan, tu gestor personal» llega desde un no-reply@ genérico, hay una incoherencia que conviene mirar con lupa.
Cómo comprobar la autenticación de un correo
Aquí está el corazón técnico, explicado en simple. Tres siglas protegen (o delatan) un correo: SPF, DKIM y DMARC. No necesitas configurarlas; necesitas entender qué te dicen como receptor.
| Mecanismo | Qué comprueba | Qué significa para ti |
|---|---|---|
| SPF (Sender Policy Framework) | Que el servidor que envió el correo está autorizado por el dominio | Si falla, el correo pudo enviarse desde un servidor no autorizado: posible suplantación |
| DKIM (DomainKeys Identified Mail) | Una firma digital que garantiza que el contenido no se alteró y viene del dominio | Si falla, el mensaje pudo ser manipulado o falsificado |
| DMARC | La política que une SPF y DKIM y dice qué hacer si fallan | Un dominio con DMARC estricto es mucho más difícil de suplantar |
En resumen: un correo de una entidad seria suele pasar SPF, DKIM y DMARC. Un correo que las falla, o que viene de un dominio que ni siquiera las tiene configuradas, merece desconfianza. Comprobar esto a mano es engorroso; por eso conviene analizarlo con una herramienta que te lo lea de golpe: puedes analizar un correo con contexto técnico y lectura antifraude.
Antigüedad y reputación del dominio
Una de las mejores señales antifraude que existen —y una de las menos conocidas— es la fecha de registro del dominio. Se consulta mediante RDAP (el sistema público que sustituyó al WHOIS) y responde a una pregunta demoledora: ¿desde cuándo existe el dominio que me escribe?
- Un dominio con años de antigüedad, con SPF/DKIM/DMARC bien configurados y buena reputación, encaja con una organización real.
- Un dominio de días o semanas que te escribe como si fuera tu banco de toda la vida es, casi con seguridad, parte de una campaña de fraude montada para la ocasión.
Esta comprobación de antigüedad es tan potente que la usamos también para detectar tiendas falsas: si quieres el método aplicado a compras, mira cómo detectar una tienda online falsa. Y para analizar el dominio por su cuenta —antigüedad, titularidad pública, infraestructura y reputación— tienes el análisis de dominios.
Rastro público de una dirección de correo
Una dirección de correo deja un rastro público legítimo y agregado: en qué plataformas se ha usado para registrarse, si aparece asociada a servicios conocidos. Esta comprobación se hace de forma agregada y respetuosa, sin exponer datos personales sensibles: no se trata de husmear en la vida de nadie, sino de ver si el perfil de uso de una dirección encaja con lo que el correo dice ser.
Por ejemplo, un correo que afirma ser el departamento financiero de una empresa consolidada pero cuya dirección no tiene ningún rastro coherente con esa actividad es, cuando menos, incoherente. Es OSINT antifraude aplicado al correo; el marco general lo tienes en qué es la inteligencia OSINT.
10 señales para saber si un correo es falso (sin conocimientos técnicos)
La mayoría de los correos falsos se delatan solos si sabes dónde mirar. Antes de pinchar nada, repasa estas diez señales:
- El remitente no cuadra. El nombre dice «Banco Santander» o «Correos», pero la dirección de después de la @ es otra cosa o una cuenta de Gmail.
- Te mete prisa. «Tu cuenta se bloqueará en 24 horas», «último aviso», «paquete retenido»: la urgencia busca que no pienses.
- Te pide datos o claves. Ningún banco, administración o empresa seria te pide la contraseña, el PIN o el código SMS por correo.
- El enlace lleva a otro sitio. Pasa el ratón por encima (o mantén pulsado en el móvil) sin abrirlo: si la dirección que aparece no es la web oficial, es una trampa.
- Adjuntos inesperados. Facturas, multas o «documentos escaneados» en ZIP, HTML o Word con macros que no esperabas.
- Saludo genérico. «Estimado cliente» en lugar de tu nombre, cuando la empresa sí lo conoce.
- Faltas y traducciones raras. Frases que suenan a traductor automático o con errores que una gran empresa no cometería.
- Premios y reembolsos que no esperabas. Devoluciones de Hacienda, sorteos o herencias que llegan de la nada.
- Pagos por métodos irreversibles. Transferencias urgentes, tarjetas regalo o criptomonedas.
- Un cambio de cuenta bancaria. «Hemos cambiado de IBAN, paga la próxima factura aquí» es la estafa del falso proveedor (fraude del CEO).
Checklist rápido antes de confiar en un email
Antes de pulsar un enlace, descargar un adjunto o responder con datos, repasa esto:
- ¿El dominio (después de la @) es exactamente el oficial? Cuidado con letras cambiadas o palabras añadidas.
- ¿Desde cuándo existe ese dominio? Un dominio nuevo que se presenta como veterano es alarma roja.
- ¿Pasa las comprobaciones de autenticación (SPF/DKIM/DMARC)?
- ¿La dirección es coherente con quien dice ser (no un desechable, no un rol genérico firmando como persona)?
- ¿El mensaje mete prisa o pide datos/credenciales? La urgencia y la petición de claves son la firma del phishing.
- En caso de duda, no uses el enlace del correo. Entra tú a la web oficial escribiendo la dirección.
Cómo ver quién envía de verdad un correo en Gmail y Outlook
El nombre que ves en la bandeja se puede falsificar; la cabecera del mensaje, mucho menos. Así se consulta:
- Gmail (web): abre el correo, pulsa los tres puntos junto a «Responder» y elige Mostrar original. Arriba verás la dirección real del remitente y si el mensaje pasa SPF, DKIM y DMARC (PASS o FAIL).
- Outlook.com: abre el mensaje, pulsa los tres puntos, Ver y Ver origen del mensaje. Busca las líneas «From», «Return-Path» y «Authentication-Results».
- En el móvil: toca el nombre del remitente para que aparezca la dirección completa; si dudas, revísalo después en el ordenador.
Si la dirección real no es del dominio oficial o la autenticación aparece como FAIL, trátalo como falso aunque el diseño sea idéntico al original.
Qué hacer si ya has pinchado el enlace o respondido
- Cambia la contraseña de la cuenta afectada (y de cualquier otra donde uses la misma) y activa la verificación en dos pasos.
- Si diste datos bancarios o de tarjeta, llama a tu banco de inmediato para bloquear la tarjeta y vigilar movimientos.
- Si descargaste un adjunto, pasa un antivirus actualizado y no introduzcas contraseñas en ese equipo hasta revisarlo.
- Pide ayuda gratuita al 017, la Línea de Ayuda en Ciberseguridad de INCIBE, y denuncia ante la Policía o la Guardia Civil si has perdido dinero.
- Avisa a la empresa suplantada reenviándole el correo, para que pueda alertar a otros clientes.
Análisis con contexto técnico y lectura antifraude
Hacer todas estas comprobaciones a mano lleva tiempo y conocimiento. Una plataforma OSINT las reúne en una sola lectura: valida el correo, revisa el dominio y su antigüedad, comprueba la autenticación, evalúa la reputación y el rastro público, puntúa el riesgo y te lo explica en lenguaje claro. Puedes analizar un correo con contexto técnico y lectura antifraude y obtener un informe exportable con evidencia fechada por sello de tiempo RFC3161, útil si necesitas conservar la prueba de un intento de fraude.
Preguntas frecuentes sobre correos fraudulentos
Mira el dominio (no solo el nombre): si está imitado con un cambio mínimo, es reciente, falla la autenticación o el mensaje pide credenciales con urgencia, desconfía. Ninguna señal sola decide; el conjunto sí.
Son mecanismos que permiten al receptor comprobar que un correo viene realmente del dominio que dice. Si un correo los falla, es más probable que sea una suplantación.
Poco. El nombre visible se falsifica con facilidad. Lo fiable es el dominio que va después de la @ y sus señales técnicas.
Sí. Que una dirección exista y funcione no significa que quien la usa sea de fiar. Validez técnica y confianza son cosas distintas.
Cambia cuanto antes la contraseña de la cuenta afectada, activa la verificación en dos pasos y, si diste datos de tarjeta, llama a tu banco para bloquearla. Puedes pedir ayuda gratuita en el 017 de INCIBE y denunciar si has perdido dinero.
Abre el correo, pulsa los tres puntos junto a Responder y elige Mostrar original. Verás la dirección real del remitente y si el mensaje supera las comprobaciones SPF, DKIM y DMARC.
