Correos falsos de actualización de seguridad: cómo detectar una alerta falsa

MacWindowsiPhoneAndroidActualizado

INCIBE, el Instituto Nacional de Ciberseguridad de España, define el phishing como un correo en el que los ciberdelincuentes se hacen pasar por una entidad, como tu banco, una red social, un organismo público o un servicio que usas, para quedarse con tus datos, cobrarte algo o infectar tu dispositivo. Un correo que te pide instalar una actualización de seguridad urgente o iniciar sesión para arreglar un problema merece una segunda mirada. La comprobación segura es siempre la misma: no uses sus enlaces y ve tú a la empresa.

Respuesta rápida

Desconfía de cualquier correo inesperado sobre una actualización, alerta o problema de seguridad urgente. Las señales son la prisa, un remitente o un enlace que no coinciden con la empresa y la petición de contraseñas o códigos. No hagas clic. Compruébalo entrando tú en la web o la app de la empresa. Si tienes dudas, llama al 017 de INCIBE.

¿Cómo reconozco un correo falso de actualización de seguridad?

Fíjate en lo que te pide y en cuánto te presiona. INCIBE pone como ejemplo un correo titulado "Cuidado, actividad sospechosa en su cuenta", que advierte de inicios de sesión desde otro país y pide cambiar la contraseña cuanto antes a través de un enlace. El enlace llevaba a una web fraudulenta muy parecida a la original, y la contraseña acabó en manos de los atacantes.

Apple enumera señales concretas:

  1. La dirección del remitente no coincide con el nombre de la empresa que dice ser.
  2. Un enlace parece correcto, pero la URL no coincide con la web de la empresa. En el Mac puedes pasar el cursor por encima para ver la URL, y en el iPhone, mantenerlo pulsado.
  3. El mensaje es bastante distinto de otros que te ha enviado esa empresa.
  4. Pide información personal, como un número de tarjeta o una contraseña.
  5. No lo has pedido y trae un archivo adjunto.

Apple añade que los estafadores suelen transmitir una fuerte sensación de urgencia para no dejarte tiempo a pensar. Y el NCSC, el centro de ciberseguridad del Reino Unido, avisa de que los delincuentes aprovechan a menudo las noticias del momento, y de que las estafas son cada vez más elaboradas, hasta el punto de engañar a expertos. Un correo bien escrito no prueba nada.

¿Apple y Microsoft envían avisos de seguridad así?

No del tipo que te pide la contraseña. Apple dice que nunca te pedirá que inicies sesión en ningún sitio web ni que le des tu contraseña, el código de tu dispositivo o un código de autenticación de doble factor. También dice que nunca te pedirá que desactives una prestación de seguridad en un dispositivo o en tu cuenta, y que los estafadores a veces lo piden. Ante una petición inesperada de datos personales, lo más recomendable según Apple es suponer que es una estafa.

Microsoft dice que nunca se pone en contacto contigo por iniciativa propia para darte soporte técnico que no has pedido, y que sus mensajes de error auténticos nunca incluyen un número de teléfono. Sobre las actualizaciones en concreto, explica que los atacantes disfrazan malware de actualización del navegador. Si ves un aviso inusual de que tu navegador necesita actualizarse, ciérralo y ve a la página de Ayuda o "Acerca de" del propio navegador, que comprueba si hay actualizaciones legítimas.

¿Y las ventanas emergentes que dicen que tengo un virus?

Ciérralas. Apple dice que si una ventana emergente te advierte de un problema con tu dispositivo, no le des credibilidad: suelen ser anuncios fraudulentos pensados para que descargues software dañino o des información o dinero. No llames al número ni sigas los enlaces. Sal de la página o cierra la ventana o la pestaña. Nuestra guía sobre si entrar en una web hackeada es peligroso trata los avisos del navegador.

¿Hay correos de estafa sobre la vulnerabilidad de PHP?

A 23 de octubre de 2026, ni el aviso del proyecto PHP ni el aviso de INCIBE-CERT sobre PHP2Shell, los dos fallos críticos de PHP corregidos el 21 de octubre, hablan de correos fraudulentos que usen el tema. Eso puede cambiar, y la advertencia general sigue en pie: los delincuentes aprovechan las noticias.

Ayuda saber para quién es la corrección. El aviso de INCIBE-CERT trata de instalaciones de PHP que procesan solicitudes web y pide actualizar PHP a la versión corregida de cada rama. El NCSC dirige su alerta a las organizaciones. Ninguno pide al público que descargue nada ni que inicie sesión en ningún sitio. Nuestra guía sobre PHP2Shell y tus datos personales explica qué significa y qué no para ti.

¿Cómo compruebo si un correo de seguridad es real?

Ponte en contacto con la empresa sin usar nada del mensaje. Microsoft sugiere abrir una pestaña nueva e ir a la web de la organización desde tu propio marcador, desde una búsqueda o escribiendo tú la dirección. Apple aconseja contactar directamente con la empresa si hace falta.

  1. No hagas clic en los enlaces, no abras los adjuntos y no llames a los números del correo.
  2. Abre la app de la empresa o escribe tú su dirección web.
  3. Si sigues con dudas, contacta con la empresa por los canales de su web oficial.

Ya he hecho clic. ¿Qué hago?

INCIBE dice que, ante un correo fraudulento, lo primero es ignorarlo y eliminarlo, sin hacer clic en ningún enlace ni descargar ningún adjunto. Si crees que has caído en uno, sus pasos son:

  1. Analiza tu dispositivo con un antivirus actualizado.
  2. Elimina cualquier archivo que hayas descargado del correo.
  3. Cambia las contraseñas de las cuentas implicadas.
  4. Activa la verificación en dos pasos en las cuentas que lo permitan.
  5. Contacta con tu banco para cancelar cualquier pago no autorizado, o la tarjeta si hace falta.
  6. Reúne todas las pruebas que puedas y denúncialo ante las Fuerzas y Cuerpos de Seguridad del Estado.

Tu Ayuda en Ciberseguridad de INCIBE, el 017, es un servicio gratuito, confidencial y personalizado, todos los días de 8:00 a 23:00. También atiende por WhatsApp en el 900116117 y por Telegram en @INCIBE017.

¿Cómo aviso de un correo falso?

Depende de a quién suplante.

  • Correos que parecen de Apple: reenvíalos a reportphishing@apple.com.
  • Estafas de soporte técnico de Microsoft: Microsoft recoge los avisos en microsoft.com/reportascam.
  • Si estás en el Reino Unido: el NCSC pide reenviar los correos sospechosos a report@phishing.gov.uk.

En España, si has sido víctima, INCIBE indica reunir las pruebas y denunciarlo ante las Fuerzas y Cuerpos de Seguridad del Estado, como en los pasos anteriores.

Más preguntas

He escrito mi contraseña en un enlace de uno de estos correos. ¿Y ahora?

Cámbiala enseguida, desde la web o la app reales, y en cualquier otro sitio donde la usaras. Para una cuenta de Apple, Apple dice que cambies la contraseña inmediatamente y te asegures de que la autenticación de doble factor está activada. Si puedes haber perdido dinero, contacta con tu banco.

¿Mi banco me enviará un correo para confirmar mis datos?

Desconfía si lo hace. Apple aconseja suponer que una petición inesperada de datos personales es una estafa, e INCIBE pone a tu banco como ejemplo de las entidades que suplanta el phishing. Contacta con el banco por el número de tu tarjeta o por su web oficial, no por el mensaje.

¿Un correo sin faltas de ortografía puede ser falso?

Sí. El NCSC británico dice que las faltas y un diseño raro solían delatar las estafas, pero que ahora son más elaboradas y algunas engañan incluso a expertos. Fíjate en el remitente, la URL real y lo que te piden.

¿El 017 me puede ayudar si no estoy seguro?

Sí. INCIBE presenta el 017 como un servicio para ayudar con problemas de seguridad digital, dirigido a ciudadanos, empresas y menores, con asesoramiento técnico, psicosocial y legal. Es gratuito y confidencial.

Fuentes