Qué es el phishing
El phishing es un engaño que suplanta a una empresa o persona de confianza (tu banco, tu hosting, un proveedor) para hacerte entregar contraseñas o datos sensibles, normalmente a través de un email o una página falsa muy parecida a la original. También lo verás escrito como «suplantación de identidad».
Es como si alguien se disfrazara con el uniforme de una empresa de mensajería conocida para que le abras la puerta sin dudar, cuando en realidad viene a llevarse algo de dentro. En el phishing, el atacante crea un email, un mensaje o una página web que imita con mucho detalle a una marca real (tu hosting, una pasarela de pago, Google), pidiéndote que inicies sesión, confirmes un dato o hagas clic en un enlace; si caes en el engaño, le estás entregando directamente tus credenciales o tus datos sin que haya hecho falta ningún «ataque técnico» a tu web.
Cómo funciona
- El atacante crea un email o una página que imita visualmente a una empresa o servicio de confianza.
- Ese mensaje se envía de forma masiva o dirigida, con una excusa creíble (una factura pendiente, un aviso de seguridad, una actualización de datos).
- Incluye un enlace hacia una página falsa, casi idéntica a la real, donde se pide introducir usuario y contraseña, o datos de pago.
- Si la víctima introduce sus datos ahí, esos datos quedan directamente en manos del atacante, sin que haya hecho falta vulnerar ningún sistema técnico.
- Con esas credenciales, el atacante puede acceder a cuentas reales (tu panel de WordPress, tu hosting, tu correo) como si fuera tú.
Ejemplo
Una gestoría con web propia en Don Benito recibió un email que parecía venir de su proveedor de hosting, avisando de un problema de facturación y pidiendo iniciar sesión desde un enlace para evitar la suspensión del servicio. La página de acceso era una copia casi perfecta de la real. Por suerte, alguien del equipo detectó que la dirección del remitente no coincidía exactamente con la oficial y avisó antes de que nadie introdujera sus credenciales, evitando que el panel de hosting cayera en manos ajenas.
Señales de que te afecta
- Recibes emails urgentes pidiendo iniciar sesión o confirmar datos, con cierto tono de amenaza o prisa.
- La dirección del remitente se parece a la oficial, pero no es exactamente igual.
- El enlace del mensaje lleva a una página de acceso que visualmente parece legítima, pero con una URL distinta a la habitual.
- Alguien de tu equipo ha introducido credenciales en un enlace recibido por email sin comprobar antes su origen.
Cómo lo resolvemos
Si sospechas que un acceso de tu web se ha visto comprometido por un intento de phishing, revisamos qué cuentas pueden haberse visto afectadas, cambiamos las credenciales necesarias y comprobamos que no haya quedado ningún acceso no autorizado. Si quieres que revisemos la seguridad de tu web tras un incidente así, en nuestro servicio de seguridad WordPress nos encargamos de ello. El phishing es una de las formas más habituales de que acabe instalándose malware en una web, o de que esta termine marcada en una lista negra tras usarse para enviar más phishing a otras personas.
Preguntas frecuentes
¿Cómo distingo un email de phishing de uno real?
Revisando con calma la dirección exacta del remitente (no solo el nombre mostrado), pasando el ratón sobre los enlaces antes de hacer clic para ver a dónde llevan realmente, y desconfiando de cualquier mensaje que meta prisa o amenace con una consecuencia inmediata.
¿El phishing afecta solo a mi correo o también a mi web?
Puede afectar directamente a tu web si las credenciales robadas son las de tu panel de WordPress o de tu hosting, dándole al atacante acceso completo sin necesidad de aprovechar ninguna vulnerabilidad técnica.
¿Qué hago si he introducido mis datos en una página de phishing?
Cambia esa contraseña de inmediato, en esa cuenta y en cualquier otra donde la hayas reutilizado, y revisa si ha habido actividad sospechosa desde que ocurrió, para poder reaccionar lo antes posible.