Phishing: la psicología detrás de 50 pretextos que funcionan
La época de los correos plagados de faltas de ortografía y de historias de príncipes generosos ha terminado. Hoy, la ciberdelincuencia es, ante todo, una cuestión de psicología. Los hábitos, los miedos, los automatismos y la falta de tiempo de cada persona se estudian para construir las trampas más eficaces de la vida digital cotidiana. Los ataques más peligrosos ya no buscan romper sistemas complejos: rompen la confianza.
Esta guía recopila un catálogo de 50 pretextos clasificados por familia, la mecánica psicológica que explotan y un ejemplo concreto del mensaje que puede aparecer en pantalla.
Seis resortes, un solo objetivo: el reflejo antes que la reflexión
Detrás de la diversidad de pretextos, casi siempre se encuentra uno de estos seis motores:
- Miedo y urgencia: una cuenta bloqueada, una multa, una transferencia sospechosa. La presión temporal busca hacer actuar antes de pensar.
- Autoridad: el mensaje parece venir de una administración, un banco o un superior jerárquico. Rara vez se discute una orden que parece legítima.
- Codicia: un reembolso, un premio, una prima. El anzuelo de la ganancia baja la guardia.
- Curiosidad: un paquete misterioso, un supuesto vídeo comprometedor, un mensaje «prioritario». Es difícil resistirse a las ganas de saber.
- Hábito: entrar en el correo, hacer clic en «darse de baja», aceptar condiciones… gestos hechos de forma automática, cien veces al mes.
- Imagen y ego: el miedo a perder una insignia, una reputación, un estatus social empuja a reaccionar rápido para conservarlo.
Un mismo mensaje suele combinar varios resortes a la vez: una falsa alerta bancaria, por ejemplo, suma el miedo (cuenta amenazada), la autoridad (supuestamente viene del banco) y la urgencia (24 horas para actuar).
Seguridad y control de acceso: jugando con el miedo
La familia más amplia: todo lo que amenaza directamente una cuenta o una identidad digital.
| Pretexto | Ejemplo de mensaje recibido |
|---|---|
| Robo de credenciales | «Su sesión de Microsoft 365 ha caducado. Vuelva a iniciar sesión para seguir recibiendo sus correos.» |
| Contraseña supuestamente comprometida | «Alerta de seguridad: su contraseña se expuso en una filtración de datos pública. Haga clic aquí para restablecerla.» |
| Elusión de la doble autenticación | «Verificación requerida: introduzca ahora mismo en esta página el código recibido por SMS para confirmar su identidad.» |
| Falso inicio de sesión sospechoso | «Se detectó un inicio de sesión inusual desde el extranjero (IP 192.x.x.x). Si no ha sido usted, bloquee el acceso aquí.» |
| Amenaza de cierre en 24 h | «Urgente: su cuenta quedará suspendida definitivamente en 24 horas si no actúa.» |
| Verificación de identidad forzada | «Cumplimiento: su cuenta está restringida. Aporte un justificante de identidad en un plazo de 48 h.» |
| Falsa filtración de datos | «Sus credenciales circulan por la dark web. Haga clic para comprobar si su correo se vio afectado.» |
| Falsa actualización de seguridad | «Se requiere una actualización crítica de su antivirus. Descargue el parche aquí.» (el enlace instala software espía) |
Dinero y banca: jugando con el estrés financiero
Nada hace reaccionar más rápido que un movimiento de dinero, real o inventado.
| Pretexto | Ejemplo de mensaje recibido |
|---|---|
| Falsa transferencia saliente | «Se ha iniciado una transferencia de 850,00 € a un tercero. Haga clic aquí para cancelarla si no ha sido usted.» |
| Falso reembolso | «¡Buenas noticias! Le espera un exceso de pago de 142,50 €. Confirme sus datos bancarios para recibir la transferencia.» |
| Tarjeta bancaria supuestamente caducada | «Su tarjeta guardada está a punto de caducar. Actualice sus datos para evitar la interrupción del servicio.» |
| Falso préstamo concedido | «Su solicitud de préstamo personal de 15.000 € ha sido preaprobada. Complete su expediente en línea.» |
| Falsa factura impagada | «Recordatorio: la factura n.º 84920 está pendiente de pago. Abónela de inmediato para evitar recargos por demora.» |
| Robo de la frase de recuperación cripto | «Migración de red: sincronice su monedero de inmediato con su frase de recuperación de 12 palabras.» |
| Falso rechazo de domiciliación | «Su último cargo domiciliado fue rechazado. Actualice su medio de pago para evitar cualquier litigio.» |
| Falso cambio de datos bancarios | «Cambio de datos bancarios: confirme sus nuevos datos para seguir recibiendo el ingreso de sus prestaciones.» |
Un pretexto se repite a menudo: una cantidad precisa, ni redonda ni enorme (142,50 €, 850,00 €). Una cifra realista resulta más creíble que un número redondo e incita más a hacer clic para comprobarlo.
Servicios públicos y administración: jugando con la autoridad
Poca gente discute un mensaje que parece venir de una administración.
| Pretexto | Ejemplo de mensaje recibido |
|---|---|
| Falso reembolso de impuestos | «Hacienda: tras recalcular sus impuestos, tiene derecho a un reembolso de 312,00 €. Haga clic aquí.» |
| Falsa renovación de la tarjeta sanitaria | «Seguridad Social: su nueva tarjeta sanitaria está lista. Pague 2,90 € de gastos de envío para recibirla.» |
| Falsa multa impagada | «Tráfico: tiene una multa de aparcamiento impagada de 35,00 €. Abónela antes del recargo a través de este enlace.» |
| Falsa anomalía en el carnet o los papeles del vehículo | «Seguridad vial: su expediente presenta una anomalía administrativa. Regularice su situación aquí.» |
| Falsa citación judicial | «Citación: se le convoca a comparecer por una infracción digital. Consulte el documento adjunto.» |
| Falsa ayuda o subvención estatal | «Bono energético: es usted beneficiario de una ayuda extraordinaria de 200 €. Solicite su ingreso.» |
Esto explica en parte el éxito de las plataformas oficiales de denuncia, como PHAROS en Francia: la autoridad inspira confianza en ambos sentidos, tanto al estafador que la suplanta como al organismo que realmente la ejerce.
Entregas y comercio electrónico: jugando con la rutina
Casi todo el mundo espera un paquete en algún momento: el terreno siempre es favorable.
| Pretexto | Ejemplo de mensaje recibido |
|---|---|
| Falsos gastos de aduana | «Su paquete está retenido en aduanas. Pague 1,99 € de gastos de franqueo para liberar el envío.» |
| Falsa dirección de entrega por corregir | «Dirección incompleta. No se puede entregar su paquete. Actualice sus datos.» |
| Falso intento fallido de entrega en mano | «Aviso de paso: nuestro repartidor no pudo localizarle. Reprograme una entrega en su domicilio.» |
| Falso pedido costoso | «Confirmación de su pedido de un smartphone (1.299,00 €). Si no ha realizado este pedido, cancélelo aquí.» |
| Falso paquete misterioso | «Un paquete sin reclamar a su nombre le espera en el depósito. Reclámelo antes de su destrucción.» |
| Falso seguimiento de paquete | «Su pedido está en camino. Haga clic en el enlace para seguir al repartidor en tiempo real.» |
Empresa y recursos humanos: jugando con la jerarquía
En el trabajo, un mensaje que parece venir de RR. HH. o de la dirección goza de confianza inmediata, además de generar ganas de responder rápido para no molestar.
| Pretexto | Ejemplo de mensaje recibido |
|---|---|
| Falsa nómina | «RR. HH.: su nómina del mes ya está disponible en línea. Inicie sesión en su portal de empleado.» |
| Falso arbitraje de vacaciones | «Solicitud de vacaciones: es necesario un arbitraje sobre los días solicitados. Confirme su solicitud.» |
| Falsa encuesta interna | «Dirección: responda a nuestra encuesta de satisfacción anónima y participe por un vale de compra.» |
| Falsa firma urgente (DocuSign) | «Un documento confidencial "Contrato_2026.pdf" necesita su firma electrónica urgente.» |
| Falso archivo compartido en la nube | «Un compañero ha compartido un archivo seguro con usted. Haga clic para acceder al documento.» (el enlace vuelve a pedir la contraseña del correo) |
| Falsa instrucción de la dirección | «MUY URGENTE – CONFIDENCIAL: necesito que hagas una comprobación en este enlace ahora mismo.» |
| Falsa migración de una herramienta de trabajo | «Departamento de TI: pasamos a la nueva versión de Teams. Active su cuenta en un plazo de 24 h.» |
Redes sociales y mensajería: jugando con la imagen y el ego
La cuenta social no es solo una herramienta: es una imagen pública, y su pérdida asusta casi tanto como perder dinero.
| Pretexto | Ejemplo de mensaje recibido |
|---|---|
| Amenaza sobre la insignia verificada | «Su insignia de verificación va a ser retirada. Confirme sus datos para conservarla.» |
| Falsa infracción de derechos de autor | «Su cuenta ha infringido derechos de autor en una publicación. Recúrralo o será eliminada.» |
| Curiosidad voyerista | «¿Has visto lo que dijeron de ti en este vídeo? ¡Haz clic ya para verlo!» |
| Falsa denuncia masiva | «Varios usuarios han denunciado su perfil. Verifique su cuenta para evitar el baneo.» |
| Falso mensaje prioritario | «Ha recibido un mensaje prioritario de un reclutador. Inicie sesión para leerlo.» |
| Falso amigo hackeado | «¡Hola, soy Alex! Me han bloqueado la cuenta, ¿puedes hacer clic y darme el código que te llega?» |
Suscripciones cotidianas: jugando con la desatención
Son los gestos más automáticos los que esconden las trampas más retorcidas.
| Pretexto | Ejemplo de mensaje recibido |
|---|---|
| Falso fallo de renovación | «Su pago ha sido rechazado. Su suscripción quedará suspendida esta noche si no la actualiza.» |
| Falso almacenamiento lleno | «Su espacio de almacenamiento está al 99 %. Sus fotos dejarán de guardarse. Aumente su cuota.» |
| Falsa oferta de descubrimiento | «Disfrute de 3 meses gratis del plan Premium. Active su prueba sin compromiso.» (se pide la tarjeta bancaria desde el registro) |
| Falsa actualización de condiciones | «Condiciones generales: acepte las nuevas condiciones de uso para seguir utilizando el servicio.» |
| El falso botón «Darse de baja» | «¿Ya no quiere recibir nuestras ofertas? Haga clic en «Darse de baja» para salir de la lista.» |
| El falso botón «Marcar como spam» | «¿Este correo le parece sospechoso? Haga clic en el botón «Marcar como spam» de abajo para notificárnoslo.» |
Los dos últimos pretextos son especialmente perversos. El gesto que se supone que limpia la bandeja de entrada o denuncia un abuso es en sí mismo la trampa: el clic confirma al estafador que una persona real lee esa dirección, o desencadena directamente un script malicioso. Ante un mensaje dudoso, es mejor denunciarlo desde el propio cliente de correo (el botón «no deseado» de la aplicación) que desde un botón proporcionado por el propio correo.
Premios, oportunidades y cripto: jugando con la codicia
La versión moderna de las estafas de ganancias extraordinarias, más sobria pero igual de eficaz.
| Pretexto | Ejemplo de mensaje recibido |
|---|---|
| Falso empleo remoto sobrepagado | «Contratación: oferta de teletrabajo a 500 € al día. Sin experiencia requerida, postúlese aquí.» |
| Falsa herencia o premio | «Notaría: ha sido designado beneficiario de una herencia sin reclamar. Póngase en contacto a través del enlace.» |
| Falso airdrop de criptomonedas | «500 tokens gratis repartidos entre los primeros 1.000. Conecte su monedero para reclamarlos.» (el monedero se vacía automáticamente) |
El reflejo que funciona siempre
Ante el miedo, la urgencia o el hábito, un solo gesto suele bastar: antes de hacer clic, pase el cursor sobre el enlace (o manténgalo pulsado en el móvil) para mostrar la dirección real de destino, sin llegar a hacer clic en ella. El nombre que se muestra no demuestra nada; la dirección que aparece al pasar el cursor, sí.
Un mensaje legítimo nunca le obliga a elegir entre actuar en el minuto o perder su cuenta, su dinero o su paquete. Ese chantaje temporal es, por sí solo, una señal de alarma suficiente para detenerse y comprobarlo por otro canal (el sitio oficial tecleado directamente, o una llamada al número habitual).
- Casi todos los pretextos se reducen a seis resortes: miedo, autoridad, codicia, curiosidad, hábito, imagen.
- Un mismo mensaje suele combinar varios resortes para maximizar sus posibilidades.
- El nombre de remitente mostrado no demuestra nada: lo escribe el propio remitente.
- Los botones «darse de baja» y «marcar como spam» de un correo dudoso pueden ser la propia trampa.
- Pasar el cursor sobre un enlace antes de hacer clic revela su dirección real: el reflejo más sencillo, y el más eficaz.
Reconocer el pretexto es un primer paso. Entender cómo el mensaje logra superar los filtros (vea la guía Phishing: cómo los estafadores hacen pasar sus correos) y saber actuar una vez confirmada la sospecha son otros dos. Ahí es donde entra Baitback: se pega el correo sospechoso, la herramienta localiza su servidor de envío, su alojador y su dirección de denuncia, y luego prepara los mensajes listos para enviar. Para ir más allá, Baitback está disponible directamente en la página de inicio de la herramienta, y la guía Denunciar un ataque de phishing: del informe al cierre detalla los siguientes pasos tras una denuncia.