Cómo verificar si un correo electrónico es una estafa

01El nombre mostrado no es el remitente

Cada cliente de correo muestra un nombre amigable en letra grande y la dirección real en letra pequeña, o no la muestra en absoluto. El nombre amigable es un texto libre elegido por quien envió el mensaje. Puede decir tu banco, tu empleador o tu propio nombre, y nada de eso requirió más que escribirlo.

Así que el primer paso es siempre el mismo: expande el remitente y lee la dirección en sí. Lo que importa es el dominio, la parte a la derecha del @, y específicamente sus dos últimas etiquetas, por la razón exacta expuesta en nuestra guía para verificar un sitio web.

• Una marca real con una palabra extra: soporte-tubanco.example en lugar de tubanco.example.
• La marca como un subdominio de otra cosa, donde yourbank.example.mail-secure.example pertenece a mail-secure.example.
• Un proveedor de correo gratuito para algo que nunca usaría uno. Ningún banco, autoridad fiscal o departamento de nómina envía desde una dirección de correo web de consumidor.
• Un error casi imperceptible en la ortografía, que es el mismo truco de intercambio de caracteres utilizado en dominios.

02Verificar a dónde iría una respuesta

Un mensaje puede ser enviado desde una dirección y configurado silenciosamente para responder a otra. Es una característica normal, utilizada por listas de correo y sistemas de tickets, y también es cómo funciona un fraude de factura convincente: el correo parece venir de un proveedor que conoces, y tu respuesta va a otro lugar completamente diferente.

La mayoría de los clientes mostrarán la dirección de respuesta si comienzas una respuesta y miras el campo Para antes de escribir. Si no coincide con el remitente, vale la pena entenderlo antes de responder, especialmente en cualquier cosa relacionada con detalles de pago.

03No actúes sobre el enlace

El enlace es todo el mecanismo de entrega, e inspeccionarlo es un juego que no necesitas jugar. Al pasar el cursor se muestra un destino, pero el texto visible, el destino y donde finalmente aterriza después de un redireccionamiento pueden ser diferentes, y un enlace acortado no te muestra nada en absoluto.

El hábito que elimina la duda: accede a cualquier cosa importante de la manera que ya conoces. Escribe la dirección, usa tu propio marcador o abre la aplicación de la organización. Si el mensaje es genuino, lo que quiera que veas estará esperándote cuando llegues por tus propios medios.

• Una página de inicio de sesión a la que se accede desde un correo electrónico es la forma más común de robar credenciales.
• Un código QR en un correo electrónico es un enlace que no puedes leer en absoluto, y se utiliza precisamente por eso.
• Un enlace para darse de baja en un mensaje al que nunca te suscribiste confirma que tu dirección está activa. Márcalo como spam en su lugar.

04Pregunta qué está tratando de tomar

Los mensajes de phishing varían enormemente en su historia y casi nada en lo que quieren. Nombrar el objetivo suele ser más rápido que evaluar la historia.

• Una credencial: una página de inicio de sesión para correo, banca, una cuenta de entrega o un sistema de trabajo.
• Un código de un solo uso, solicitado por una llamada o mensaje de seguimiento. El código autoriza algo que está sucediendo en ese momento; leerlo en voz alta es la autorización.
• Un pago: una factura, una tarifa, una multa, o detalles bancarios cambiados en una transferencia esperada.
• Una instalación: un archivo adjunto, un documento que te pide habilitar contenido, o una herramienta de soporte que otorga acceso remoto.
• Una respuesta, por sí sola. Algunas campañas solo quieren establecer que una persona lee la dirección antes de que un humano tome el control.

05Archivos adjuntos, y cualquier cosa que pida permiso

Un archivo adjunto inesperado merece más sospecha que un enlace inesperado, porque el fallo es más silencioso. Los documentos que te piden habilitar la edición, habilitar contenido o permitir macros están pidiendo permiso para ejecutar algo, y la solicitud es la carga útil en lugar de un paso hacia ella.

Lo mismo se aplica a cualquier mensaje que termine con la instalación de software, otorgar acceso a un dispositivo o conectar una cuenta a una aplicación de terceros que no conoces.

06Verifica los identificadores contra las denuncias de la comunidad

Un correo electrónico te ofrece más para verificar que la mayoría de los enfoques: la dirección del remitente, la dirección de respuesta, el dominio de cualquier enlace y, a menudo, un identificador de pago o una cantidad. Todos esos son identificadores, y vale la pena verificarlos individualmente en lugar de como una sola impresión.

Las direcciones de envío son baratas y se queman rápidamente, por lo que una dirección sin denuncias es casi insignificante como garantía. El dominio al que apunta el enlace y la cuenta a la que eventualmente te pide que pagues son las partes duraderas y las que probablemente ya estén registradas.