Phishing con tu nombre: por qué ya no basta con mirar el remitente

El correo llega un martes por la mañana. El asunto dice: "Hola, Carlos, tu pago de Hacienda está pendiente de verificación". Dentro encuentras tu nombre completo, los últimos cuatro dígitos de tu número de identificación y el logotipo oficial de la Agencia Tributaria. El enlace apunta a algo como agencia-tributaria-verificacion.net/carlos. Todo parece correcto. Nada lo es.

El phishing personalizado es un fraude por correo electrónico —o SMS o llamada— en el que el atacante usa datos reales sobre ti (nombre, empresa, banco, últimas compras) para que el mensaje parezca legítimo. A diferencia del phishing masivo genérico, este tipo usa información concreta para bajar tus defensas. Resultado: tasas de engaño mucho más altas y víctimas que jamás sospecharon nada.

¿Cómo funciona el phishing personalizado por dentro?

El proceso empieza antes de que recibas nada. Alguien recopila datos sobre ti: tu nombre aparece en LinkedIn, tu banco lo mencionaste en un grupo de Facebook, tu correo estaba en una filtración de datos de hace tres años. Con esos fragmentos se construye un perfil mínimo pero suficiente.

Después llega la fabricación del mensaje. Se clona el diseño visual del banco, de Hacienda o de Correos. Se personaliza el saludo, se añade un detalle real (los cuatro últimos dígitos de tu tarjeta, el nombre de tu empresa, tu ciudad), y se crea una urgencia: "tienes 48 horas", "tu cuenta quedará bloqueada", "hay un movimiento sospechoso".

El objetivo es uno solo: que hagas clic antes de pensar. El enlace lleva a una página copiada del original donde introduces tus credenciales, tu número de tarjeta o un código de verificación. Esos datos viajan al instante a quien montó la trampa. Tú vuelves a la pantalla normal sin notar nada raro.

Lo que hace peligroso al phishing personalizado no es la tecnología. Es que explota la confianza que genera el reconocimiento. Ver tu propio nombre desactiva el instinto de duda. Y eso es exactamente lo que busca.

¿De dónde sacan tu nombre y tus datos?

Esta es la pregunta que más sorprende a las víctimas. La respuesta es, casi siempre, una combinación de fuentes públicas y filtraciones previas.

Las filtraciones de datos son la materia prima más valiosa. Cada vez que una empresa sufre un brecha y expone correos, contraseñas o datos personales, esa información acaba circulando. Puedes comprobar si tu correo ha aparecido en alguna filtración conocida en Have I Been Pwned, un servicio independiente y gratuito.

Las redes sociales completan el cuadro. LinkedIn dice dónde trabajas. Instagram puede revelar tu ciudad o tu banco. Un comentario en un foro menciona que "acabo de abrir cuenta en tal entidad". Nada de esto es secreto, pero combinado resulta suficiente para fabricar un mensaje creíble.

Por último están los formularios fraudulentos previos. Si en el pasado caíste en un timo más básico e introdujiste tus datos, esa información se reutiliza o se vende. Un engaño alimenta el siguiente.

¿Cuáles son las señales que delatan un phishing personalizado?

Que el mensaje use tu nombre no significa que sea legítimo. Estas son las señales que indican que algo no cuadra, aunque la superficie parezca impecable.

• El dominio no es el oficial. Hacienda escribe desde agenciatributaria.gob.es. Tu banco tiene un dominio conocido y verificable. Cualquier variación —guiones, subdominios raros, extensiones distintas a las habituales— es una señal inmediata de fraude. Mira la barra de direcciones, no el texto del enlace.
• La urgencia está fabricada. Los mensajes legítimos de organismos públicos o bancos no te amenazan con bloqueos en 24 horas ni te piden que actúes "antes de que sea demasiado tarde". La prisa es una herramienta de presión, no un procedimiento administrativo.
• Te piden credenciales o códigos por escrito. Ningún banco, ninguna administración y ningún servicio serio te va a pedir tu contraseña, tu PIN o el código que acaba de llegarte al móvil a través de un enlace en un correo.
• El remitente no resiste una mirada cercana. El nombre que aparece puede poner "Banco Santander" o "AEAT", pero la dirección real del remitente es otra cosa: notificaciones@banco-seguro-alertas.net. Despliega el campo "De" completo antes de fiarte.
• Los datos personales son los mínimos necesarios para sonar creíble. Saben tu nombre y poco más. Por eso añaden detalles vagos ("hemos detectado actividad inusual en tu cuenta") en lugar de información específica que solo la empresa real tendría.
• El enlace y el texto no coinciden. Pasa el cursor por encima del botón o el hipervínculo sin hacer clic. En la barra inferior del navegador o cliente de correo verás la dirección real de destino. Si el texto dice "Accede a tu banco" pero la URL apunta a acceso-seguro-clientes.net/login, ahí tienes tu respuesta.

¿Qué aspecto tiene un mensaje de este tipo?

De: Atención al Cliente BBVA <seguridad.clientes@bbva-verificacion-segura.net>
Asunto: Carlos García, hemos bloqueado temporalmente tu acceso por seguridad

Estimado Carlos García,

Hemos detectado un acceso no autorizado a tu cuenta desde una ubicación desconocida (Madrid, 14:32h). Por tu seguridad, hemos bloqueado el acceso temporalmente.

Para restaurarlo en las próximas 24 horas, verifica tu identidad haciendo clic en el enlace de abajo. Si no actúas antes del plazo, tu cuenta quedará suspendida de forma indefinida.

Verificar mi identidad ahora → bbva-acceso-seguro.net/verificar/carlos

Este mensaje ha sido generado automáticamente. Por favor, no respondas a este correo.

Atención al Cliente BBVA

Fíjate en la combinación: nombre real, urgencia explícita, detalle de localización que suena a monitorización real, dominio fraudulento camuflado bajo una marca conocida. Es el patrón estándar.

¿Qué haces ahora mismo si recibes uno?

Primero, para. No hagas clic en ningún enlace, no descargues ningún adjunto y no respondas al mensaje. La acción más eficaz en los primeros segundos es la inacción.

Segundo, verifica por otro canal. Si el mensaje dice ser de tu banco, llama al número que figura en tu tarjeta o en la web oficial que escribes tú directamente en el navegador. No uses ningún dato de contacto que aparezca en el correo sospechoso.

Tercero, comprueba el remitente real. Abre el mensaje sin hacer clic en nada, despliega los datos completos del remitente y lee la dirección de correo completa. Si no es el dominio oficial de la entidad, ya tienes el veredicto.

Cuarto, reporta. En España puedes notificar este tipo de mensajes al INCIBE a través de su servicio de atención en incibe.es o llamando al 017. La Oficina de Seguridad del Internauta (OSI) también recibe reportes. Reportar sirve: ayuda a que otros no caigan.

Quinto, si ya hiciste clic o introdujste datos, actúa rápido. Cambia las contraseñas afectadas desde un dispositivo que no hayas usado para acceder al enlace. Avisa a tu banco si diste datos bancarios. Activa la verificación en dos pasos en todas las cuentas que puedas. Y guarda el mensaje original como prueba por si necesitas presentar una denuncia ante la Policía Nacional o la Guardia Civil.

Preguntas frecuentes

¿Es peligroso abrir el correo sin hacer clic en nada?

En la mayoría de los casos, abrir el correo sin interactuar con ningún elemento no causa daño. El riesgo real llega cuando haces clic en un enlace o descargas un adjunto. Aun así, si usas un cliente de correo antiguo o con configuraciones permisivas, es mejor prestar atención a las imágenes externas que se cargan automáticamente.

¿Cómo han conseguido mi nombre y mis datos?

La fuente más habitual es una filtración de datos previa: una empresa donde tenías cuenta sufrió una brecha y tu información quedó expuesta. También pueden haber combinado datos de redes sociales, directorios públicos o formularios fraudulentos anteriores. El servicio Have I Been Pwned te indica si tu correo apareció en filtraciones conocidas.

¿El phishing personalizado es lo mismo que el spear phishing?

Son términos que describen lo mismo con distinto nivel de detalle. El phishing personalizado es el término general en español para correos que usan datos concretos de la víctima. El spear phishing suele referirse a ataques dirigidos a personas específicas, con aún más información y esfuerzo. Para el resultado práctico, la distinción no cambia lo que debes hacer.

¿Puedo denunciarlo aunque no haya perdido dinero?

Sí, y es recomendable hacerlo. Puedes presentar denuncia ante la Policía Nacional o la Guardia Civil aunque no hayas sufrido pérdida económica. El intento de fraude ya es un hecho denunciable, y el reporte ayuda a rastrear campañas activas y proteger a otras personas.

Diez reglas para no caer en el phishing personalizado

1. Que te llamen por tu nombre no garantiza nada. Ese dato es el más fácil de conseguir. No lo uses como criterio de confianza.
2. Lee la dirección del remitente completa, no solo el nombre. Despliega el campo "De" hasta ver el dominio real.
3. Antes de hacer clic en un enlace, mira a dónde apunta. Coloca el cursor encima y lee la URL real en la barra inferior.
4. La urgencia es una señal de alarma, no una razón para actuar rápido. Si te presionan con plazos, para y verifica.
5. Verifica siempre por otro canal. Llama al número oficial, entra a la web escribiéndola tú, consulta la app. Nunca uses los contactos del mensaje sospechoso.
6. Ninguna entidad legítima te pide tu contraseña o PIN por correo. Jamás. En ningún caso. Si lo piden, es fraude.
7. Comprueba si tu correo ha aparecido en filtraciones en Have I Been Pwned. Si ha aparecido, cambia las contraseñas afectadas.
8. Activa la verificación en dos pasos en todas las cuentas que puedas. Es la barrera más eficaz si tus credenciales caen en malas manos.
9. Reporta los mensajes sospechosos. Al INCIBE (017), a la OSI o directamente a la entidad suplantada. Dos minutos de tu tiempo pueden proteger a otra persona.
10. Si ya hiciste clic, actúa sin esperar. Cambia contraseñas, avisa al banco si corresponde y guarda el mensaje como prueba. El tiempo importa.