El 60% de los ciberataques en España comienzan por email de phishing. Para identificar emails falsos, verifica: remitente completo (no solo nombre), dominio real de la empresa, lenguaje urgente sospechoso, errores ortográficos, enlaces al pasar el ratón sin clic, y saludos genéricos. Nunca compartas contraseñas, códigos o datos bancarios por email. En caso de duda, contacta directamente a la empresa por teléfono oficial. El phishing móvil afectó al 77% de empresas españolas en 2025.
Por qué necesitas identificar emails falsos ahora más que nunca
En el primer trimestre de 2025, los casos de phishing en España aumentaron un 40% respecto al año anterior. Según el informe de ESET, España se posicionó como el segundo país con más ciberamenazas detectadas a nivel global en el primer semestre de 2025, con el phishing representando el 20% de todas las alertas registradas.
Las cifras son alarmantes: el 77% de las empresas experimentaron ataques de phishing móvil en los últimos seis meses, y cada organización española sufrió una media de 1.950 ataques semanales durante el segundo trimestre de 2025, un 36% más que el año anterior.
El coste económico también es devastador. Las estafas online sustrajeron más de 200 millones de euros estimados en España durante 2025. Y lo más preocupante: el 45% de los consumidores todavía cree que puede detectar phishing por errores gramaticales, cuando la inteligencia artificial generativa permite crear mensajes prácticamente perfectos.
La buena noticia es que el 91% de los ciberataques comienzan con un email de phishing, lo que significa que aprender a identificar emails falsos es tu primera y más efectiva línea de defensa.
Las 12 señales para identificar emails falsos en 2026
Los ciberdelincuentes han perfeccionado sus técnicas, pero siguen dejando pistas detectables. Estas son las señales más fiables para identificar un email falso, ordenadas de más a menos obvias.
1. Remitente sospechoso (señal más importante)
Qué verificar: No solo el nombre que aparece, sino la dirección de email completa. Los atacantes muestran nombres legítimos («Banco Santander») pero la dirección real es «banco-santanderr@secure-mail.com».
Cómo comprobarlo:
- En escritorio: Haz clic en el nombre del remitente para ver la dirección completa
- En móvil: Mantén presionado el nombre para ver detalles
- Verifica el dominio después de @ – debe coincidir exactamente con el oficial
Ejemplos de dominios falsos comunes:
- Real: info@correos.es
- Falso: info@correos-es.com / notificaciones@correos.net / soporte@correosespana.info
Táctica nueva 2026: Dominios casi idénticos con caracteres internacionales que parecen letras normales. «banc0santander.com» (cero en vez de o), «correοs.es» (o griega en vez de o latina).
2. Urgencia artificial y amenazas
Frases de alerta inmediata:
- «Su cuenta será bloqueada en 24 horas»
- «Acción requerida INMEDIATAMENTE»
- «Último aviso – Haga clic AHORA»
- «Ha ganado un premio – reclámelo antes de [fecha cercana]»
- «Actividad sospechosa detectada – Verifique YA»
Por qué funciona: El phishing explota la presión temporal para que actúes antes de pensar. Las empresas legítimas te dan tiempo razonable y múltiples vías de contacto.
Contraste real: Un banco auténtico enviará carta física certificada para asuntos graves. Hacienda notifica por correo postal oficial. Correos no avisa envíos por email sin que tú lo solicites primero.
3. Saludo genérico sin personalización
Emails falsos dicen: «Estimado cliente», «Querido usuario», «Hola», «Titular de la cuenta».
Emails reales dicen: «Hola María», «Estimado Sr. García», tu nombre completo o el nombre que diste al registrarte.
Excepción importante: Newsletters legítimas de marketing masivo pueden usar saludos genéricos, pero nunca pedirán información personal ni contendrán amenazas de cierre de cuenta.
4. Faltas ortográficas y gramática extraña
Atención en 2026: La IA ha mejorado mucho la gramática del phishing. Ya no es señal 100% fiable, pero sigue apareciendo. Busca:
- Tildes incorrectas: «verificacion» en vez de «verificación»
- Espacios raros: «Haga c lic aquí»
- Frases que suenan traducidas: «Por favor para verificar su cuenta»
- Mezcla de idiomas: «Confirme your identity»
- Mayúsculas aleatorias: «SU Cuenta HA Sido bloqueada»
Contexto real: Grandes empresas tienen equipos de comunicación profesionales. Un email de tu banco no tendrá errores básicos de ortografía. Si los ves, es phishing.
5. Enlaces sospechosos (NUNCA hagas clic directo)
Cómo verificar enlaces SIN hacer clic:
En ordenador: Pasa el ratón por encima del enlace (sin hacer clic). La dirección real aparece abajo del navegador o en tooltip. Compara lo que dice el texto del enlace vs. la URL real.
Ejemplo phishing típico:
Texto visible: «Acceda a www.bankinter.com»
URL real al pasar ratón: http://bankinter-seguridad.tk/login.php
→ PHISHING (dominio .tk, «bankinter» pero no es .com real)
En móvil: Mantén presionado el enlace. Aparecerá menú con opción «Copiar enlace». Pégalo en bloc de notas para ver URL completa ANTES de visitarla.
Señales de URL peligrosa:
- HTTP sin S (no segura) – Bancos y sitios legítimos SIEMPRE usan HTTPS
- Dominios raros: .tk, .ga, .ml, .cf (gratis y usados por phishing)
- Subdominios sospechosos: seguridad-bancosantander.com (el dominio real es «bancosantander.com» al final)
- Cadenas largas de caracteres aleatorios: secure-login-a8f92kd0.com
- Acortadores de URL: bit.ly, tinyurl.com (ocultan destino real)
6. Archivos adjuntos inesperados
Tipos de archivo peligrosos:
- .exe, .bat, .cmd, .scr (ejecutables – NUNCA en emails legítimos)
- .zip, .rar protegidos con contraseña (ocultan malware)
- .js, .vbs (scripts que ejecutan código)
- .docm, .xlsm (Office con macros activadas)
Táctica común 2026: Facturas PDF falsas. «Factura_pendiente.pdf.exe» (parece PDF pero es ejecutable). Windows oculta extensiones por defecto, así que «Factura.pdf» puede ser realmente «Factura.pdf.exe».
Regla de oro: Si no esperabas un archivo adjunto de esa persona/empresa, NO lo abras. Llama por teléfono para confirmar que lo enviaron.
7. Solicitudes de información personal o contraseñas
Regla absoluta: NINGUNA empresa legítima pedirá por email:
- Contraseñas completas
- Números de tarjeta de crédito completos
- PIN de tarjeta o códigos de verificación SMS
- Número de Seguro Social / DNI completo
- Preguntas de seguridad y sus respuestas
Caso real España 2025: Falso email de Hacienda pidiendo «verificar datos fiscales» con formulario para DNI, IBAN y contraseña de Cl@ve. Hacienda NUNCA solicita esta información por email. Solo notifica por correo postal certificado o a través de la sede electrónica tras login seguro.
8. Ofertas demasiado buenas para ser verdad
Ejemplos típicos phishing:
- «Has ganado 5.000€ en sorteo que no recuerdas haber participado»
- «Herencia de familiar lejano desconocido»
- «iPhone 15 por 99€ – oferta exclusiva 24h»
- «Trabajo desde casa – gana 3.000€/mes sin experiencia»
- «Amazon te devuelve 500€ por ser cliente VIP»
Realidad: Si suena demasiado bien para ser cierto, es porque no es cierto. Las empresas no regalan dinero ni productos caros por email aleatorio.
9. Logos y diseño casi perfectos (pero no del todo)
Qué revisar en 2026:
- Logo en baja calidad / pixelado (empresas reales usan alta resolución)
- Colores corporativos ligeramente diferentes
- Tipografía que no coincide con la marca
- Formato del email diferente a comunicaciones anteriores legítimas
Táctica sofisticada: Copian el diseño exacto de emails reales pero cambian solo el enlace del botón. Por eso SIEMPRE debes verificar URLs al pasar ratón, no confiar en la apariencia.
10. Campo «Para» con múltiples destinatarios visibles
Señal de phishing masivo: Ves tu email junto con decenas de otros en el campo «Para» o «CC». Bancos y empresas serias envían emails individuales o usan CCO (copia oculta) para proteger privacidad.
Excepción legítima: Emails internos de empresa pequeña donde todos se conocen. Pero nunca de bancos, administraciones o grandes empresas.
11. Direcciones IP o números en la URL
Ejemplo sospechoso: http://192.168.1.45/banco/login.php
Empresas legítimas usan dominios con nombre: https://www.bancosantander.es – NUNCA direcciones IP numéricas directas en emails.
12. Email no solicitado con premio o recompensa
Lógica simple: ¿Participaste conscientemente en ese sorteo? ¿Tienes cuenta en esa plataforma? Si la respuesta es NO, es phishing garantizado.
Caso real: «Has ganado en el sorteo de El Corte Inglés» cuando nunca has comprado allí o dado tu email. Si fuera real, lo comprobarías entrando tú a tu cuenta (no haciendo clic en su email).
Tipos de phishing más comunes en España 2026
Fraude del CEO (Business Email Compromise)
Cómo funciona: Email que parece ser del director/CEO pidiendo transferencia urgente. El 58% de empresas españolas experimentaron incidentes por esta modalidad en 2025.
Ejemplo real: «Soy Carlos [apellido CEO real]. Estoy en reunión importante. Necesito que hagas transferencia urgente 15.000€ a este proveedor nuevo. Adjunto datos. Confirma cuando esté hecho. No llamar, móvil en silencio.»
Cómo protegerse: Política empresarial de verificación SIEMPRE por segundo canal. Llamada de voz al número conocido del CEO, no al que aparezca en el email. Nunca transferir sin confirmar por teléfono.
Phishing de entidades bancarias
Señas de identidad: «Detectamos actividad sospechosa», «Su cuenta será bloqueada», «Confirme sus datos inmediatamente».
Bancos más suplantados en España: Santander, BBVA, CaixaBank, Bankinter, ING.
Protección: Tu banco NUNCA pide contraseña completa ni códigos SMS por email. Ante cualquier alerta de seguridad, entra directamente a la app oficial (no desde enlaces del email) o llama al teléfono del dorso de tu tarjeta.
Phishing de Correos y mensajería
Mensaje típico: «Su paquete no pudo ser entregado. Haga clic para reprogramar entrega. Pague tasa pendiente 2,99€.»
Realidad: Correos deja aviso físico en buzón. Las empresas de mensajería envían SMS con código de seguimiento oficial que puedes verificar en su web. No cobran tasas aleatorias por email.
Phishing de Hacienda y Seguridad Social
Gancho: «Devolución de impuestos pendiente», «Deuda con Hacienda – embargos inminentes».
Verdad oficial: Hacienda notifica por correo postal certificado y su sede electrónica (tras identificación Cl@ve/certificado). NUNCA por email no solicitado con enlaces a formularios externos.
Smishing (phishing por SMS)
Variante móvil en auge 2026: SMS con enlaces acortados. «Tu paquete: bit.ly/abc123», «Multa DGT pendiente: tiny.url/xyz789».
Cifra España: El smishing creció significativamente en 2025, siendo el segundo vector de ataque más común después del phishing tradicional.
Protección: Nunca hagas clic en enlaces de SMS inesperados. Ve directamente a la app o web oficial de la empresa que supuestamente envió el mensaje.
Qué hacer si recibes un email sospechoso
Checklist de actuación (2 minutos):
- NO hacer clic en nada: Ni enlaces, ni botones, ni archivos adjuntos
- Verificar remitente completo: Clic en nombre para ver dirección real
- Pasar ratón sobre enlaces: Sin hacer clic, ver URL real destino
- Buscar señales de la lista 12: ¿Urgencia artificial? ¿Errores? ¿Saludo genérico?
- Cuando hay duda, contactar directamente: Llama al teléfono oficial de la empresa (buscar en Google, no usar teléfono del email)
- Reportar y eliminar: Marca como phishing en tu correo y borra
Si ya hiciste clic o compartiste información:
- Inmediato (5 minutos): Cambia contraseñas de todas las cuentas importantes desde otro dispositivo
- 15 minutos: Activa autenticación de dos factores (2FA) en email, banco, redes sociales
- 30 minutos: Llama a tu banco para alertar posible fraude. Revisa movimientos recientes
- 1 hora: Presenta denuncia en Policía Nacional (brigada delitos tecnológicos) o Guardia Civil
- 24 horas: Monitoriza cuentas bancarias y notificaciones de accesos sospechosos
Errores comunes que facilitan el phishing
Error 1: «Yo nunca caería en phishing»
El 96% de líderes empresariales confía en que sus empleados detectan phishing, pero el 58% tuvo incidentes con empleados víctimas. El exceso de confianza es el mejor aliado del ciberdelincuente.
Error 2: Usar la misma contraseña en múltiples sitios
Si un sitio menor es hackeado y usaste la misma contraseña que en tu banco, los atacantes probarán esa contraseña en todos los servicios importantes. Una contraseña filtrada = todas tus cuentas comprometidas.
Error 3: No verificar HTTPS y certificado
Asumir que cualquier web con candado es segura. Los phishers también obtienen certificados SSL básicos. Debes hacer clic en el candado y verificar que el dominio coincide exactamente con la empresa oficial.
Error 4: Confiar en emails «reenviados por compañero»
El email falso llega a un colega que lo reenvía pensando que es real. Tú confías porque viene de compañero interno. Siempre verifica el origen ORIGINAL, no solo quién te lo reenvió.
Error 5: Hacer clic en móvil sin precaución
En móvil es más difícil verificar URLs (no puedes pasar ratón). El 77% de empresas sufrió phishing móvil. Solución: ante email sospechoso en móvil, espera a revisarlo en ordenador o no hagas clic.
Error 6: No formar al equipo regularmente
Formación de ciberseguridad una vez al año no basta. Los ataques evolucionan mensualmente. Se necesitan simulacros trimestrales y recordatorios frecuentes.
Herramientas de protección contra phishing
| Herramienta | Qué hace | Para quién |
|---|---|---|
| Filtros antiphishing email | Detiene emails sospechosos antes de llegar a bandeja de entrada | Todas las empresas – incluido en Microsoft 365, Google Workspace |
| Autenticación de dos factores (2FA) | Requiere código adicional tras contraseña. Protege cuenta aunque roben contraseña | OBLIGATORIO para email, banco, sistemas empresariales críticos |
| Gestores de contraseñas | Genera y guarda contraseñas únicas. No rellena automáticamente en webs falsas | Empleados y empresas – LastPass, 1Password, Bitwarden |
| Navegadores con protección antiphishing | Google Chrome, Firefox, Edge alertan al visitar sitio reportado como phishing | Todos – activado por defecto, mantener actualizado |
| Simuladores de phishing | Envían emails falsos a empleados para entrenar detección. Miden tasa de clics | Empresas +10 empleados – KnowBe4, Cofense |
| Firmas digitales de email | Verifican que remitente es quien dice ser mediante certificado criptográfico | Empresas con comunicaciones sensibles – S/MIME |
Estrategia empresarial completa de Cotec contra phishing
En Cotec Soluciones implementamos protección integral contra phishing con enfoque en prevención y respuesta.
Nuestro servicio de protección incluye
1. Configuración de filtros avanzados: Activamos y ajustamos filtros antiphishing en Microsoft 365 / Google Workspace de tu empresa. Configuramos SPF, DKIM y DMARC para autenticación de correo.
2. Implementación de 2FA obligatorio: Forzamos autenticación de dos factores en todos los accesos empresariales: email, sistemas de gestión, accesos remotos. Sin excusas ni excepciones.
3. Formación trimestral con simulacros: Sesiones prácticas donde tus empleados aprenden a identificar emails falsos con ejemplos reales. Simulacros de phishing cada 3 meses. Medimos evolución de detección.
4. Política de verificación de transferencias: Implementamos protocolo interno: toda solicitud de transferencia por email requiere confirmación telefónica con número conocido. Neutraliza fraude del CEO.
5. Copias de seguridad inmutables: Si el phishing deriva en ransomware, tus datos están protegidos en backup que el malware no puede alcanzar. Recuperación en horas, no semanas.
6. Monitorización de incidentes: Alertas automáticas si detectamos patrones de phishing dirigido a tu empresa. Respuesta coordinada ante incidentes.
Caso real: Asesoría protegida por formación
Cliente: Asesoría fiscal Madrid con 6 empleados.
Situación: Reciben 30-40 emails diarios de clientes. Alta carga de trabajo. En 2024 sufrieron intento de fraude del CEO: email falso del director pidiendo transferencia urgente 8.000€. Empleada nueva casi lo hace.
Solución Cotec: Formación personalizada + simulacros mensuales adaptados al sector (facturas falsas, comunicaciones Hacienda fraudulentas). Implementamos política de doble verificación telefónica para transferencias.
Resultados 6 meses: 4 intentos de phishing detectados y reportados por el propio equipo. Cero incidentes con éxito. Tasa de detección en simulacros: del 45% inicial al 89%.
Preguntas frecuentes sobre emails falsos
¿Cómo puedo estar seguro de que un email es legítimo?
No hay certeza 100%, pero puedes acercarte mucho. Verifica remitente completo, pasa ratón sobre enlaces para ver URL real, desconfía de urgencias artificiales y ante cualquier duda contacta a la empresa por canal oficial (web/teléfono conocido), nunca usando contactos que aparezcan en el email sospechoso. Si el email pide información personal o contraseñas, es falso garantizado.
¿Los antivirus detectan todos los emails de phishing?
No. Los filtros antiphishing bloquean muchos, pero no todos. Los ataques de spear phishing (dirigidos y personalizados) pasan filtros porque parecen comunicaciones legítimas. Tu criterio humano sigue siendo la defensa más importante. Los filtros son capa adicional, no sustituto de formación.
¿Es seguro hacer clic si el email viene de contacto conocido?
NO automáticamente. Las cuentas de contactos pueden ser hackeadas y enviar phishing a toda su agenda. O el email puede ser suplantado (dirección falsa que parece real). Siempre verifica dirección completa del remitente, no solo el nombre mostrado. Si tu contacto nunca envía enlaces o archivos y de repente lo hace, llámale para confirmar.
¿Qué hago si mi empresa ya sufrió ataque de phishing exitoso?
Acción inmediata en primera hora: cambiar todas las contraseñas comprometidas, desconectar sistemas afectados de red, alertar al banco si hay datos financieros involucrados, activar protocolo de respuesta de incidentes, contactar a asesor de ciberseguridad para análisis forense y contención. No borrar evidencias hasta que experto las analice. Presentar denuncia policial. Notificar a AEPD si hay datos personales de terceros comprometidos (obligación RGPD).
¿Los emails con imágenes y logos perfectos son seguros?
No. Los phishers copian diseños completos de emails legítimos, incluidos logos de alta calidad. La apariencia profesional NO garantiza legitimidad. Debes verificar remitente, enlaces y contenido con las 12 señales de este artículo. El diseño perfecto es precisamente una táctica para generar falsa confianza.
¿El phishing solo llega por email?
No. También por SMS (smishing), llamadas de voz (vishing), redes sociales, mensajería WhatsApp/Telegram, y códigos QR falsos (quishing). El 77% de empresas españolas sufrió phishing móvil en 2025. Los principios de detección son similares: verificar remitente, desconfiar de urgencias, no hacer clic en enlaces inesperados, contactar por canales oficiales.
¿Cuánto cuesta implementar protección antiphishing en PYME?
Depende del tamaño. Para 5-10 empleados: filtros avanzados email (incluidos en Microsoft 365 Business desde 11€/usuario/mes), formación inicial 600-900€, simulacros trimestrales 200€ cada uno, gestores de contraseñas empresariales 3-5€/usuario/mes. Inversión anual aproximada 2.000-3.500€. Coste de UN incidente exitoso de phishing: 15.000-75.000€ según gravedad. ROI claro.
¿Reportar emails de phishing sirve de algo?
SÍ, y es importante hacerlo. Reportar a tu proveedor de email (Gmail, Outlook) mejora filtros para todos. Reportar a INCIBE (phishing@incibe.es) ayuda a identificar campañas masivas. Reportar a la empresa suplantada permite que tomen medidas legales. En entorno empresarial, reportar internamente permite al departamento IT detectar campañas dirigidas y alertar a otros empleados.
Conclusión: tu criterio es la mejor defensa
Con el phishing representando el 20% de todas las ciberamenazas en España y el 60% de ciberataques comenzando por email falso, aprender a identificar emails falsos no es opcional: es supervivencia digital.
La tecnología ayuda (filtros, 2FA, gestores de contraseñas), pero el factor humano sigue siendo decisivo. El 91% de ciberataques exitosos implican que alguien hizo clic donde no debía. Por eso la formación continua y los simulacros regulares marcan la diferencia entre empresas que resisten y empresas que cierran.
Recuerda las tres reglas de oro:
- Verificar siempre el remitente completo – no solo el nombre mostrado
- Nunca hacer clic en urgencias inesperadas – contacta directamente por canal oficial
- Cero información sensible por email – nunca contraseñas, códigos, ni datos bancarios
El phishing evoluciona constantemente. Los ataques de hoy son más sofisticados que los de ayer. Mantente informado, mantén a tu equipo formado, y mantén el escepticismo saludable ante cualquier email no solicitado.
¿Quieres proteger a tu empresa del phishing?
Solicita asesoramiento gratuito →
Evaluamos tu nivel actual de protección, formamos a tu equipo con simulacros reales adaptados a tu sector, y configuramos las defensas técnicas necesarias. Primera consulta sin compromiso. Respuesta en 24h.
Fuentes consultadas
- Abogado Penalista – Aumento del 40% en casos de phishing en España Q1 2025. Informe phishing España 2025
- ElDerecho.com – España segundo país con más ciberamenazas, phishing representa 20% de alertas. Informe ESET H1 2025
- IT Digital Security – 77% de empresas experimentó phishing móvil en últimos 6 meses. Estudio phishing móvil 2025
- Check Point – Ciberataques aumentan 36% en España Q2 2025, 1.950 ataques semanales por organización. CyberSecurity News España
- Mio.one – 60% de ciberataques en España se inician vía phishing, 45% de ataques avanzados usan IA. Deepfakes y Phishing 2025
- Geekflare – 91% de ciberataques comienzan con email de phishing, empresas pierden 20.500M USD/año. 25 estadísticas phishing 2025
- Microsoft Support – Protegerse del phishing, señales de remitente no verificado. Guía oficial Microsoft
- Kaspersky – Cómo reconocer y evitar correos electrónicos de phishing. Kaspersky Resource Center
- McAfee – Ejemplos de phishing, cómo detectar un correo de phishing. McAfee Blog Español
- GlobalSign – 11 consejos para detectar emails maliciosos. GlobalSign Security Blog
Artículo actualizado: Febrero 2026
Cotec Soluciones – Consultoría informática y ciberseguridad para empresas
Especialistas en formación antiphishing y protección empresarial