Qué es phishing: cómo reconocerlo y qué hacer si ya diste clic

Qué es phishing, en pocas palabras: un engaño en el que el remitente se hace pasar por un banco, una empresa u otra organización real, explica la Guardia Nacional (CERT-MX). El mensaje trae un enlace a un sitio preparado por los delincuentes que imita al legítimo y te invita a escribir tus datos. En México también se le llama suplantación de identidad, y tiene variantes: por SMS (smishing), por llamada (vishing) y con códigos QR falsos (quishing), según la CONDUSEF. Su peso es enorme: de acuerdo con la ENVIPE 2026 del INEGI, en 2025 hubo alrededor de 8.1 millones de fraudes en el país, y el 80.6 % se cometió por internet o medios electrónicos.

Cómo se ve el phishing en México

• Un paquete que "no se pudo entregar", una cuenta que debes "verificar" o un premio que "ganaste": son los ejemplos que da la CONDUSEF. El enlace suele llevar a un formulario donde te roban tus datos personales y bancarios.
• Un correo a nombre de la propia CONDUSEF que te avisa de una queja que alguien supuestamente presentó, con ligas a sitios que no son oficiales. En febrero de 2026 la Comisión alertó de esta campaña y aclaró que no inicia quejas por correo ni pide datos por enlaces externos.
• Una llamada de un "ejecutivo" que habla de un cargo raro o de una cuenta a punto de bloquearse. La Guardia Nacional describe números que imitan a los de un banco y grabaciones que piden teclear los 16 dígitos de la tarjeta, la fecha de vencimiento y hasta los dígitos clave.
• Un código QR falso que te lleva a una página que roba tus datos: es el quishing.

Las señales que sí sirven

• Te apuran o te asustan. Los delincuentes apelan a la preocupación, la presión o la incertidumbre con avisos falsos de cargos, reembolsos, sanciones o bloqueos de cuenta, advierte la CONDUSEF.
• Te piden lo que nadie legítimo pide así. Los bancos no solicitan contraseñas, NIP, tokens ni códigos de seguridad por teléfono, recuerda la CONDUSEF; Gmail tampoco te pedirá tu contraseña por correo.
• El remitente o el enlace no cuadran. Apple sugiere revisar que la dirección o el teléfono coincidan con los de la empresa y que la URL del enlace sea la del sitio real: en la computadora, pasa el mouse sobre el enlace; en el iPhone, mantenlo presionado. La Guardia Nacional advierte de copias de páginas populares con solo una o dos letras de diferencia.
• Saludo genérico ("Estimado usuario"), envío a muchos destinatarios a la vez, errores de redacción o archivos adjuntos que no pediste: están en la lista de la CONDUSEF para detectar un fraude digital.

Ojo con dos ideas que ya no bastan. Gmail advierte que un mensaje de phishing puede tener el aspecto exacto de uno de una organización de confianza, así que un logo conocido o una buena redacción no prueban nada. Y aunque las autoridades recomiendan revisar que la dirección empiece con https y muestre el candado, eso protege los datos en el camino, no dice quién está del otro lado: una página de phishing también puede tener candado. Lo que no falla es entrar tú, escribiendo la dirección o abriendo la app oficial.

Si ya diste clic o tus datos

1. Si escribiste datos de tu tarjeta o de tu banca en línea, llama de inmediato a tu banco al número que viene al reverso de la tarjeta o en su sitio oficial, nunca al del mensaje, y pide que bloqueen la tarjeta y las operaciones sospechosas.
2. Cambia la contraseña que escribiste, y la de cualquier cuenta donde usabas la misma, desde un dispositivo seguro; luego activa la verificación en dos pasos. Si es tu cuenta de Apple, Apple pide cambiarla de inmediato y confirmar que la autenticación de dos factores esté activa.
3. Si instalaste algo o abriste un archivo, desconecta el equipo de internet y analízalo con un antivirus actualizado, como recomiendan la CONDUSEF y la Asociación de Bancos de México.
4. Si te llamaron, cuelga. No hagas transferencias ni depósitos por instrucciones recibidas durante una llamada.
5. Guarda las evidencias (capturas de pantalla, mensajes, comprobantes) y no las difundas: servirán para tu denuncia, explica la Guardia Nacional.
6. Si aparecen cargos que no hiciste, reclámalos a tu banco como cargos no reconocidos: tienes plazos y derechos que explicamos en la guía sobre clonación de tarjeta.

Dónde reportarlo

• Al 088, la línea de atención ciudadana de la Guardia Nacional: es gratuita en todo el país, segura y confidencial, y te orientan para presentar tu denuncia. La CONDUSEF también remite al 088, al 089 o a la fiscalía que te corresponda.
• En la CONDUSEF: desde junio de 2026 su portal tiene una sección para consultar si un número ya fue reportado como sospechoso y para registrar los números desde los que intentaron engañarte (Comunicado 084). Para asesoría, su Centro de Contacto es el 55 53 400 999.
• A la empresa suplantada: en Gmail, abre el mensaje, haz clic en Más junto a Responder y elige Denunciar phishing; en Outlook.com, marca la casilla del mensaje, abre la flecha junto a Correo no deseado y elige Phishing; los correos falsos a nombre de Apple se reenvían a reportphishing@apple.com.

¿Un antivirus te protege del phishing?

Ayuda, pero no decide por ti. La CONDUSEF y la ABM recomiendan tener una herramienta antimalware o antivirus activa y actualizada, y Google avisa de mensajes y sitios peligrosos en Gmail y con la Navegación segura de Chrome, que conviene usar con Protección mejorada. Aun así, Apple lo resume bien: si recibes un mensaje, una llamada o una solicitud de datos que no esperabas, lo más seguro es suponer que se trata de una estafa y comunicarte tú con la empresa.

El enlace que no esperabas es el que no se abre. Entra tú a la app o al sitio oficial: si el problema es real, ahí lo vas a encontrar.