Antes de empezar: regla de oro para verificación

Cuando recibas un correo de verificación, no asumas que es real solo porque “se ve oficial”. La regla de oro es: la verificación debe coincidir con una acción que tú iniciaste (te registraste, pediste reset, intentaste iniciar sesión). Si no hiciste nada, el correo se trata como sospechoso hasta demostrar lo contrario.

Y algo más: un correo de verificación legítimo casi siempre te permite resolverlo también desde la app o el sitio, entrando manualmente por tu cuenta (sin tocar el enlace del correo). Ese hábito te salva en el 90% de los casos.

Checklist rápido (60 segundos): lo mínimo que debes revisar

1) ¿Estabas esperando este correo?

• Sí: sigue el checklist completo igual (los estafadores se sincronizan con tus acciones).
• No: trátalo como intento de acceso o fraude. No des clic; valida desde la app o ignóralo.

2) Remitente real (no el nombre bonito)

En el correo, el “nombre” puede decir “Soporte Oficial”, “Seguridad” o “Equipo de Verificación”. Lo importante es el correo real detrás.

• Revisa el dominio completo: @empresa.com vs @empresa-seguridad.com o @empresa.support.
• Ojo con letras parecidas: rn por m, l por i, guiones raros, puntos extra.
• Si viene de Gmail/Hotmail genérico para “verificar”, mala señal (salvo casos muy específicos de servicios pequeños).

3) Enlace principal: ¿a dónde va en realidad?

El botón puede decir “Verificar” o “Confirmar”, pero tú necesitas ver la URL real. En escritorio puedes pasar el mouse; en celular, mantén presionado para previsualizar.

• El dominio debe ser exactamente el oficial: empresa.com y no variaciones.
• Evita enlaces acortados desconocidos si el correo es de verificación.
• Si el enlace te manda a un dominio que no coincide, se considera phishing hasta comprobar lo contrario.

4) Urgencia excesiva o amenazas

• “Tu cuenta se cerrará en 10 minutos”, “último aviso”, “actividad sospechosa, confirma ya”.
• Los legítimos pueden avisar de seguridad, pero rara vez te presionan con amenazas dramáticas.

5) ¿Te piden contraseña o datos bancarios “para verificar”?

Un correo de verificación legítimo normalmente te pide confirmar con un link o código, no “capturar tu contraseña otra vez” en una página rara. Si te piden tarjeta, NIP, token bancario o datos personales innecesarios, es fraude.

Checklist completo (para cuando sí importa)

A) Señales técnicas y de contenido que delatan phishing

• Saludos genéricos: “Estimado usuario” en servicios que normalmente usan tu nombre.
• Errores de redacción: traducciones raras, faltas, frases poco naturales para la marca.
• Diseño casi perfecto, pero con detalles raros: logos borrosos, iconos desalineados, colores “casi” iguales.
• Botones múltiples: “Verificar” y “Cancelar” pero ambos llevan al mismo dominio extraño.
• Pie de página inconsistente: dirección, políticas o links que no existen o se ven genéricos.

B) El dominio correcto: qué revisar exactamente

Los estafadores juegan con dominios que “se parecen”. Una revisión rápida:

• Dominio base: lo que va antes del primer “/”. Debe ser oficial.
• Subdominios: seguridad.empresa.com puede ser válido; empresa.seguridad.com no es lo mismo.
• Extensiones: .com vs .net vs .xyz. Muchas campañas usan extensiones raras.
• Guiones y palabras extra: “empresa-verify.com”, “empresa-support.com” suelen ser trampas.

C) Verificación por “código” (OTP): cómo se abusa

Muchos fraudes combinan correo + SMS + página clonada. El atacante te manda un “correo de verificación” que te lleva a un login falso. Metes usuario/contraseña y luego te piden el OTP “para confirmar”. Con eso, el atacante entra a tu cuenta real.

• Si te piden OTP en una página a la que llegaste desde un correo dudoso, para.
• Un servicio legítimo te pide OTP dentro de su app o en su dominio oficial.
• Recuerda: el OTP no es “para verificar el correo”; es para autorizar acceso. No lo compartas.

D) Adjuntos en correos de “verificación”

Por lo general, una verificación real no llega con adjuntos. Si trae PDF, ZIP, Word o “facturas” cuando tú solo estabas creando una cuenta, es una bandera roja.

• No abras ZIP/RAR ni habilites macros en documentos.
• Si es “factura” y no compraste nada, es típico señuelo.
• Los PDF pueden contener enlaces; no confíes por ser “solo PDF”.

E) Códigos QR en correos

Está de moda el “QR phishing”: te ponen un QR para “verificar” y al escanearlo te manda a un login clon. Si el correo te pide escanear un QR para iniciar sesión, sospecha y verifica desde la app oficial.

Qué hacer para verificar sin caer (método seguro paso a paso)

1. No uses el botón del correo de inmediato. Abre el navegador y entra manualmente al sitio o app oficial.
2. Revisa notificaciones dentro de la cuenta: muchos servicios muestran “pendiente de verificación” o “aprobar inicio de sesión”.
3. Si necesitas el código, copia únicamente el OTP del correo (sin tocar links) y pégalo dentro de la app oficial.
4. Si el correo dice “restablecer contraseña” y tú no lo pediste, ignóralo y cambia tu contraseña desde el sitio oficial si sospechas que alguien conoce tu usuario.
5. Si tienes dudas, busca en el sitio oficial la sección de soporte o seguridad y valida el mensaje desde ahí.

Este método funciona especialmente bien en celular, donde es más difícil ver URLs completas. Entrar manualmente reduce muchísimo el riesgo de caer en enlaces clonados.

Checklist para Gmail/Outlook en celular (tips prácticos)

• Previsualiza el enlace: mantén presionado el botón o link para ver la URL antes de abrir.
• Revisa “De:” completo: toca el nombre del remitente para desplegar la dirección real.
• Desconfía de “Responder”: algunos correos manipulan el “reply-to” para que contestes a otra cuenta.
• Busca incoherencias: si el correo dice una marca, pero el dominio es de otra cosa, mala señal.
• No te aceleres: el phishing vive de tu prisa; 20 segundos de revisión te ahorran horas de desastre.

Si ya diste clic: plan de acción sin pánico

A veces uno cae por impulso, sobre todo cuando el correo llega justo después de registrarte. Si ya diste clic, el objetivo es reducir daño rápido.

1. Cierra la página si notas algo raro (dominio extraño, login raro, diseño sospechoso).
2. Si metiste contraseña, cámbiala de inmediato desde el sitio oficial. Si usas la misma contraseña en otros sitios, cámbiala también (sí, da flojera, pero es urgente).
3. Activa 2FA (app autenticadora) si el servicio lo permite.
4. Revisa sesiones activas y cierra las que no reconozcas (muchos servicios tienen “Dispositivos” o “Actividad de inicio de sesión”).
5. Revisa reglas de correo (filtros/reenviados): algunos atacantes crean reglas para ocultar alertas o reenviar correos a otra cuenta.
6. Monitorea movimientos si era una cuenta con pagos; cambia tarjetas o contraseñas relacionadas si hace falta.

Ejemplos comunes de phishing en correos de verificación (para reconocer el patrón)

1) “Verifica tu cuenta para evitar suspensión”

Te meten presión, te dan un botón y el dominio no coincide. El objetivo es robar credenciales.

2) “Intento de acceso detectado: confirma que eres tú”

Si no iniciaste sesión, no confirmes por el correo. Entra manualmente al servicio y revisa actividad. Muchos ataques buscan que “apruebes” algo que ellos iniciaron.

3) “Tu código expira, introdúcelo aquí”

Si el “aquí” es una página externa, es trampa. El OTP se usa dentro del flujo oficial de la app o dominio oficial.

4) “Soporte: necesitamos validar tu información”

Un soporte real no te pide datos sensibles por correo. Si te piden contraseña, token o datos bancarios, es fraude.

Buenas prácticas para reducir estos correos (y el riesgo)

• Usa contraseñas únicas y un administrador de contraseñas si te es posible.
• Activa 2FA en cuentas importantes, especialmente correo principal y redes.
• Separa correos: uno para cuentas críticas y otro para registros “ligeros”.
• Para registros de una sola vez (descargas, pruebas, cupones), considera un correo temporal de recepción para evitar spam en tu inbox principal.
• No confíes en la “marca” visual: confía en el dominio y en el método seguro (entrar manualmente).

En la práctica, la combinación ganadora es: cero prisa + revisar dominio + entrar manualmente. Con eso te vuelves un objetivo muy difícil para campañas masivas.

Mini checklist imprimible (para copiar y pegar)

• ¿Yo inicié esta acción (registro/reset/login)?
• ¿El remitente real y el dominio coinciden con el servicio?
• ¿El enlace apunta al dominio oficial (sin variaciones raras)?
• ¿Hay urgencia/amenaza exagerada?
• ¿Piden contraseña/OTP en un sitio que no es el oficial?
• ¿Trae adjuntos o QR sin razón?
• Si hay duda: entrar manualmente al sitio/app y verificar desde ahí.