LO QUE NADIE TE EXPLICA
Lees el asunto, lees el remitente, lees las dos primeras líneas. Todo en menos de tres segundos, casi sin pensarlo, el mismo repaso rápido que haces cada vez que se abre una notificación nueva en el móvil.
Buscas lo de siempre: una falta de ortografía, un "Estimado cliente" demasiado genérico, un logo mal recortado. Cualquier señal que te permita decidir en un vistazo que esto es spam y seguir a lo tuyo.
Esta vez no la encuentras.
Está bien escrito. Tiene tu nombre. Menciona un pedido, una entrega o una gestión que de hecho tenías pendiente. Y durante un segundo, justo antes de pinchar, piensas que por fin ha llegado algo que sí es de verdad.
Ya no es tan sencillo.
QUÉ PASÓ
El 22 de septiembre de 2026, Microsoft y Coinbase confirmaron el desmantelamiento de EvilTokens, un servicio de phishing que se vendía por Telegram y que usaba inteligencia artificial en cada paso: leía y traducía bandejas de correo robadas en más de 20 idiomas, identificaba quién tenía acceso a pagos dentro de cada empresa y redactaba el mensaje de suplantación adaptado a esa persona en concreto. Antes de su cierre, llegó a comprometer más de 12.000 buzones de correo en 79 países.
Cuatro días después, el 26 de septiembre de 2026, Renfe y Adif confirmaron un ciberataque de varios días que robó unos 500 GB de datos de clientes: nombres, correos, teléfonos e historial de viajes. Ninguna de las dos noticias tiene que ver contigo de forma directa, pero juntas explican por qué el truco de siempre, buscar la falta de ortografía, ya no sirve: ahora hay inteligencia artificial que escribe el engaño sin un solo error, y cada vez circulan más datos reales (tu nombre, lo que compraste, adónde viajaste) para que ese engaño encaje con tu vida.
Mira quién envía de verdad, no el nombre que aparece en grande. En el móvil, mantén el dedo pulsado sobre el remitente; en el ordenador, pasa el cursor por encima. Ningún banco ni organismo público escribe desde una dirección genérica o con un dominio raro.
Desconfía de la prisa. Si el mensaje exige actuar en los próximos minutos o dice que pasará algo grave si no respondes ya, es la señal más antigua de todas y la que mejor sigue funcionando: nadie legítimo mete tanta presión.
Ninguna administración ni ningún banco te pedirá nunca la contraseña completa ni un código de verificación por teléfono o por correo. Si te lo piden, ya tienes la respuesta.
Que el mensaje tenga tu nombre, tu número de pedido o hasta el nombre de tu banco no es ninguna garantía. Esos datos pueden venir de cualquier filtración anterior, como la de Adif y Renfe esta misma semana.
POR QUÉ TE IMPORTA
Esto no es un caso aislado. INCIBE gestionó en 2025 más de 25.000 casos de phishing, y el sector donde más golpea (banca, transporte y energía, justo lo que usas cada semana) concentra uno de cada tres incidentes.
70
casos de phishing que gestionó INCIBE cada día durante 2025
34%
de los incidentes en banca, transporte y energía en España fueron de phishing
143.000
consultas a la línea gratuita 017 en 2025, un 45% más que el año anterior
No puedes controlar qué datos tuyos acaban filtrados en la próxima brecha. Pero sí puedes controlar en qué te fijas antes de pinchar.
QUÉ HACER HOY
La próxima vez que un correo o SMS te parezca perfecto, haz justo lo contrario de lo que pide tu instinto: en vez de fiarte porque no encuentras ningún fallo, párate a comprobar estas tres cosas.
No hagas esto
Hacer clic en links del Mundial que lleguen por mensajes o anuncios, aunque parezcan reales.
Haz esto
Escribe manualmente fifa.com o fwc2026.com en el navegador. Siempre. Sin excepciones.
PROTOCOLO EXPRÉS, 2 MINUTOS
Móvil: mantén pulsado sobre el nombre del remitente para ver la dirección de correo completa antes de leer nada más.
Ordenador: pasa el cursor sobre cualquier enlace, sin pinchar, y mira abajo a la izquierda del navegador si la web que aparece coincide con la oficial.
Si tienes dudas de verdad: cierra el mensaje y entra tú mismo escribiendo la dirección oficial, o llama al número de siempre.
Un mensaje bien escrito, con tu nombre y hasta un dato real, ya no es sinónimo de que sea legítimo. Es casi al revés: cuanto más te sorprenda lo perfecto que está, más merece la pena pararse a comprobarlo.
Más información en incibe.es. Para denunciar o pedir ayuda, la línea gratuita 017.
Si esto te ha sido útil, compártelo con alguien a quien también le vendría bien leerlo.
Gratis · Sin spam · Te vas cuando quieras