¿Qué es el phishing? Cómo reconocerlo, qué hacer si has picado y dónde denunciarlo

El INCIBE define el phishing como una técnica que usan los ciberdelincuentes para obtener información confidencial –contraseñas, números de tarjeta u otros datos personales– y también para instalar programas maliciosos en los dispositivos. El fraude online es uno de los incidentes más frecuentes: según el balance 2025 del INCIBE, supuso 45.445 de los 122.223 incidentes gestionados, 4 de cada 10, y el phishing sumó 25.133. En la línea 017, el 28 % de las 142.767 consultas del año tuvo que ver con phishing, vishing o smishing.

Las señales que deben ponerte en alerta

• Un remitente desconocido, que no está asociado con la empresa o entidad que dice representar.
• Faltas de ortografía o una redacción extraña.
• Te piden datos que una empresa legítima no solicitaría por esa vía: contraseñas, PIN, clave de firma o DNI.
• Enlaces o archivos adjuntos sospechosos.
• Amenazas o urgencia para que actúes rápido y sin pensar: un supuesto problema de seguridad o el cierre de tu cuenta.

Ante la duda, contacta tú con la empresa a través de su web oficial o de su teléfono de siempre, nunca respondiendo al mensaje, aconseja el INCIBE.

Si has pinchado o has dado tus datos

1. Si has dado datos de tu tarjeta o de tu banca online, avisa a tu banco de inmediato y bloquea la tarjeta desde la app, la web o el teléfono del banco.
2. Cambia las contraseñas afectadas, y en cualquier otro servicio donde usaras la misma.
3. Si pulsaste un enlace o descargaste un archivo, analiza el dispositivo con un antivirus actualizado.
4. Guarda las pruebas: el mensaje, capturas de pantalla, la dirección de la web falsa.
5. Denúncialo ante la Policía Nacional, la Guardia Civil o el juzgado, y reclama al banco los cargos que no hayas autorizado.
6. Si descubres tus datos ofrecidos en internet sin tu consentimiento, ejerce tus derechos ante la Agencia Española de Protección de Datos.

Dónde pedir ayuda y denunciar

• 017, Tu Ayuda en Ciberseguridad (INCIBE): gratuito y confidencial, de 8:00 a 23:00 todos los días del año. También por WhatsApp en el 900 116 117 (guárdalo antes en tu agenda), por Telegram (@INCIBE017) o con un formulario web. Asesora, pero no es un canal de denuncia.
• Reporte de fraude del INCIBE: puedes reenviar el correo, enviar una captura o la URL maliciosa para que se analice.
• Policía Nacional: la Oficina Virtual de Denuncias te da un número de referencia, pero tienes que firmar la denuncia en una comisaría en un plazo máximo de 72 horas; sin firma no tiene validez jurídica.
• Guardia Civil: la denuncia electrónica requiere firma electrónica, no hay que ratificarla después en persona y cubre las estafas y cargos fraudulentos cometidos por medios informáticos.

¿Te devuelve el banco el dinero?

La ley protege las operaciones que tú no has autorizado (Real Decreto-ley 19/2018). Avisa al banco sin demora: el plazo máximo es de 13 meses desde el adeudo, pero el Banco de España recomienda hacerlo cuanto antes.

• El banco debe devolverte el importe de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente, salvo que tenga motivos razonables para sospechar fraude y los comunique por escrito al Banco de España.
• De las operaciones anteriores a tu aviso respondes, como máximo, de 50 euros; de las posteriores, de nada. Si actuaste de forma fraudulenta o con negligencia grave, soportas todas las pérdidas, y es el banco quien tiene que probarlo.
• Ojo: cuando la víctima ha facilitado ella misma sus claves o códigos, el Banco de España advierte de que es frecuente que las entidades consideren los cargos formalmente autorizados.
• Si no estás de acuerdo con la respuesta, reclama primero al servicio de atención al cliente del banco, que tiene 15 días hábiles para contestar en los servicios de pago, y después al Banco de España.

Para no caer

No abras adjuntos inesperados, mantén un antivirus actualizado y activa la verificación en dos pasos siempre que un servicio lo permita, recomienda el INCIBE. Los navegadores y las suites de seguridad bloquean muchas webs de phishing ya conocidas, pero ninguna lista incluye las que se crearon hace una hora.

El enlace más seguro de un mensaje inesperado es el que no pulsas. Entra tú en la web o llama al teléfono de siempre.