¿Qué es una página web de phishing y cómo detectarla?

¿Qué es una página web de phishing?

Una web de phishing se hace pasar por una empresa de confianza para que entregues algo valioso: una contraseña, un número de tarjeta, un código de un solo uso o una llamada a un falso servicio técnico. Está en una dirección que la empresa real no posee, y llegas a ella por un enlace en un correo, un SMS o un anuncio.

La palabra viene del inglés «fishing», pescar: el mensaje es el cebo y la web es el anzuelo. INCIBE lo explica así: los ciberdelincuentes se hacen pasar por un banco, una red social o una tienda online, y el enlace lleva a una página de inicio de sesión con los logotipos y textos habituales de la original.^[21] El National Cyber Security Centre (NCSC) británico describe el objetivo: llevarte a una web que puede descargar un virus o robar tus datos bancarios y personales.^[11]

Casi todo el mundo piensa primero en el correo. Pero el correo solo puede pedir. El daño ocurre en la web, porque es donde escribes. Por eso esta guía habla de la página, no del mensaje.

Qué hacer: cada vez que un mensaje te pida iniciar sesión, pagar o llamar, trata la página que abre como desconocida hasta comprobar su dirección.

Tres tipos de página de phishing

Casi todas las páginas de phishing son de uno de tres tipos: una página de acceso falsa que quiere tu contraseña, una página de pago falsa que quiere tu tarjeta o una página de aviso falsa que quiere que llames a un número. Cada una tiene su camino de entrada y su señal. La tabla las compara.

Las páginas de acceso falsas copian bancos, servicios de correo, redes sociales y plataformas de streaming. La Anti-Phishing Working Group (APWG), que reúne avisos de empresas de seguridad, observó que en el último trimestre de 2025 las redes sociales y el correo web fueron los sectores más atacados, con un 20,3 % de los ataques de phishing cada uno, por delante de las operadoras de telecomunicaciones con un 18,7 %.^[1] Las páginas bancarias falsas se explican en detalle en Cómo detectar una página falsa de acceso a tu banco.

Las páginas de pago falsas piden una cantidad pequeña, a menudo una tasa de envío o de aduana, para que escribas los datos de tu tarjeta. La cantidad pequeña no es lo que buscan; la tarjeta sí. Más en Páginas de pago falsas: así roban los datos de tu tarjeta y en las falsas tasas de paquetes.

Las páginas de aviso falsas llenan la pantalla con una alerta de virus y un teléfono. Tienen su propia sección más abajo.

Por qué el diseño no demuestra nada

Una página de phishing copia el diseño de la real, a menudo a la perfección, así que su aspecto dice muy poco. La agencia federal alemana de seguridad informática (BSI) señala que tanto el correo como la web a la que enlaza suelen estar imitados con cuidado, con el logotipo, los colores y las tipografías.^[14] Intentar descubrir una copia por su aspecto es una partida perdida.

El candado tampoco ayuda. Significa que la conexión está cifrada, no que la web sea de quien dice ser. El FBI advierte de que los delincuentes cuentan con la confianza del público en «https» y en el candado, y aconseja no fiarse de una web solo por tenerlo.^[3]

Las cifras muestran hasta qué punto funciona:

• Millones de webs. La APWG observó 3,8 millones de ataques de phishing en 2025, algo más que los 3,76 millones de 2024. Solo en el último trimestre contó 853.244.^[1]
• El fraude online más frecuente en España. INCIBE gestionó 25.133 casos de phishing en 2025, la cifra más alta entre los fraudes online.^[20]
• El delito más denunciado en Estados Unidos. El Internet Crime Complaint Center del FBI recibió 191.561 denuncias por phishing y suplantación en 2025, más que por cualquier otro delito.^[2]
• Los mayores, los más afectados. Las personas de 60 años o más presentaron allí 48.064 denuncias por phishing y suplantación, más que por cualquier otro fraude en ese grupo de edad.^[2]

Qué hacer: deja de juzgar una página por lo real que parece. Júzgala por su dirección y por cómo has llegado a ella.

Lee la dirección por el sitio correcto

La dirección es la única parte de una web de phishing que un estafador no puede copiar, porque el nombre es de la empresa real. Pero solo sirve si lees la parte correcta. Busca la primera barra simple después de https:// y lee las dos partes justo antes. Esa pareja es la dueña de la web. Todo lo que hay a la izquierda puede ser inventado. Con terminaciones de dos partes como .co.uk, lee tres: bancoejemplo.co.uk.

Así se ve con un banco inventado, Bancoejemplo, cuya dirección real es bancoejemplo.es:

La tercera línea es el truco más habitual: el nombre real aparece al principio, pero la dueña es la parte del final. La quinta cambia la «m» por «rn». La última pone el nombre real después de la barra, donde cualquiera puede escribir lo que quiera. El FBI menciona las erratas y las terminaciones equivocadas, como «.com» donde debería ir «.gov», entre las señales a vigilar.^[3]

Cómo detectar phishing por la dirección

• Busca la primera barra simple después de https://
• Lee las dos partes justo antes. ¿Es el nombre de la empresa, bien escrito?
• Ignora todo lo que está más a la izquierda. «bancoejemplo» ahí no demuestra nada.
• Fíjate en letras cambiadas, palabras añadidas como «seguro» o «verifica» y terminaciones raras.
• ¿Dudas? Cierra la pestaña y escribe tú la dirección de la empresa.

Algunos enlaces esconden la dirección hasta que los abres. El BSI advierte de que los estafadores usan acortadores de enlaces para que el destino real no se vea a primera vista.^[14] Los códigos QR hacen lo mismo en papel y en pantalla; la APWG los sigue como una vía de entrada propia al phishing.^[1] En ambos casos solo queda mirar la barra de direcciones cuando la página ya está abierta. Nuestra guía Cómo comprobar un enlace de un correo antes de hacer clic muestra cómo ver adónde lleva un enlace antes de abrirlo, y la de dominios parecidos reúne más trucos con nombres.

Qué hacer: en el móvil, toca la barra de direcciones para ver la dirección completa antes de escribir nada. En el ordenador, mira la parte de arriba de la ventana, no el logotipo de la página.

Otras señales de una página de acceso falsa

Además de la dirección, tres cosas delatan una página de acceso falsa: cómo llegaste, la prisa que te mete y lo que pide. Un acceso real casi nunca empieza con un mensaje de que algo va mal. Uno falso, casi siempre. Y hay una señal discreta que no cuesta nada: tu gestor de contraseñas no rellena nada.

• Llegaste desde un mensaje. La FTC, la autoridad de consumo de Estados Unidos, recuerda que las empresas de verdad no te mandan un enlace por correo o SMS para actualizar tus datos de pago.^[4] Si un mensaje te llevó a una página de acceso, eso ya es motivo para parar.
• Tiene prisa. «Tu cuenta se cerrará en 24 horas», «inicio de sesión inusual», «confirma ahora». La prisa está ahí para que no compruebes.
• Lo quiere todo. La contraseña, luego el número de tarjeta, luego la fecha de nacimiento, luego un código del móvil. INCIBE describe que, tras introducir los datos, la víctima ve otra ventana muy similar a la anterior, aunque con algunas diferencias.^[21] Una página que lo pide todo de golpe está recolectando.
• Tu gestor de contraseñas no rellena nada. El NCSC explica que un gestor de contraseñas del navegador no debería ofrecer la contraseña en una web equivocada.^[7] Si tu navegador suele rellenar la contraseña del banco y de repente no ofrece nada, la dirección no es la de tu banco. No la escribas a mano.

Qué hacer: si una página de acceso viene de un enlace en un mensaje, ciérrala, abre la app o escribe tú la dirección y entra ahí. Si el aviso era real, también lo verás. La FTC da el mismo consejo: contacta con la empresa por un teléfono o una web que sepas que son auténticos.^[4]

Los falsos avisos de virus también son páginas de phishing

Un falso aviso de virus es una página de phishing que quiere una llamada en vez de una contraseña. Llena el navegador de alarmas, una cuenta atrás y un número de «soporte». Quien contesta pide acceso remoto al ordenador y después dinero. Los avisos reales de Windows, de Apple o de tu antivirus nunca muestran un teléfono al que llamar.

La FTC lo dice claro: los avisos de seguridad reales nunca te piden que llames a un número de teléfono.^[5] Microsoft dice lo mismo de sus mensajes de error y de los de otras grandes tecnológicas.^[6] Estas páginas suelen dar la impresión de que el ordenador está bloqueado; Microsoft describe ventanas que parecen impedir el acceso al equipo para que no puedas cerrarlas.^[6] Casi siempre, lo único atascado es la ventana del navegador.

Las pérdidas son enormes. El FBI registró 47.794 denuncias por falso soporte técnico en 2025 y 2.134.675.818 dólares en pérdidas.^[2] Las personas de 60 años o más perdieron 1.040.730.043 dólares de esa cifra.^[2]

• No llames al número de la pantalla.
• Cierra el navegador. En Windows, pulsa ALT+F4.
• Si no se cierra, reinicia el ordenador.
• Vuelve a abrir el navegador sin restaurar la sesión anterior.
• Si ya llamaste y dejaste entrar a alguien, apaga el ordenador y sigue leyendo.

Los pasos de ALT+F4 y reiniciar vienen de Microsoft.^[6] Qué hacer después, también si alguien ya tuvo acceso remoto, está en Falso aviso de virus en la pantalla: qué hacer y La estafa del falso soporte de Microsoft explicada. Si los avisos vuelven aunque el navegador esté cerrado, puede que una web tenga permiso para enviar notificaciones: Cómo parar las notificaciones fraudulentas en Chrome, Edge y Firefox explica cómo quitarlas.

Qué pasa si haces clic en un enlace de phishing

Abrir una web de phishing no suele ser el daño. Escribir en ella, sí. Según el NCSC, cuando alguien hace clic en un enlace malicioso suele pasar una de dos cosas: le convencen de escribir sus datos de acceso en una página falsa o descarga un archivo malicioso.^[7] Los ataques a través del propio navegador son menos frecuentes y se dan sobre todo en ataques muy sofisticados.^[7]

Así que hazte tres preguntas, en este orden:

1. ¿Escribiste algo? Una contraseña, un número de tarjeta, un código, tu dirección. Si no, la página no tiene nada tuyo.
2. ¿Descargaste o abriste un archivo? Un «documento», una «factura», una app o una actualización que ofrecía la página.
3. ¿Llamaste a un número o dejaste a alguien entrar en el ordenador?

Si la respuesta es tres veces no, cierra la pestaña, borra el mensaje y sigue con tu día. Un navegador y un sistema al día hacen raro el tercer tipo de ataque, así que deja que se actualicen solos; la FTC aconseja lo mismo para el software de seguridad.^[4]

Si descargaste algo, analiza el dispositivo con un antivirus actualizado y elimina los archivos descargados, como aconseja INCIBE.^[21] Si escribiste algo, la siguiente sección es para ti.

Si le pasó a tu padre o a tu madre, mantén la calma. El NCSC señala que la vergüenza de haber hecho clic puede frenar a la gente a la hora de contarlo, y eso retrasa la respuesta.^[7] Un simple «gracias por decírmelo» te da los datos que necesitas mientras aún hay tiempo. Más en Mi padre o mi madre hizo clic en un enlace de estafa: qué hacer.

¿Escribiste algo? Haz esto ahora

Actúa en la primera hora, empezando por lo que puede costar dinero. Si escribiste datos de tarjeta o bancarios, llama primero al banco: a veces aún se puede parar un pago. Después cambia la contraseña que escribiste, en todas partes donde la uses, y cierra las demás sesiones. Luego denuncia la página para que la bloqueen para otros.

• Tarjeta o datos bancarios: llama a tu banco al número de tu tarjeta. Pide que la bloqueen y vigilen los pagos.
• Contraseña: cámbiala ya en la web real y en cualquier otra donde uses la misma.
• Código de un solo uso: da por hecho que el estafador entró. Cambia la contraseña y cierra la sesión en todos los dispositivos desde los ajustes de la cuenta.
• Activa la verificación en dos pasos, o una llave de acceso, en esa cuenta si aún no la tienes.
• Guarda el mensaje, la dirección de la página y capturas de pantalla.
• Denuncia la página (mira «Dónde denunciar una web de phishing» más abajo).
• Vigila la cuenta y tus extractos durante unas semanas.

INCIBE da los mismos pasos: cambiar las contraseñas de las cuentas afectadas, activar la verificación en dos pasos, contactar con el banco para cancelar pagos no autorizados o la tarjeta, reunir pruebas y denunciar ante las Fuerzas y Cuerpos de Seguridad del Estado.^[21] Y si dudas, llama al 017.^[19]

La guía completa, también para cuentas de correo robadas, está en ¿Escribiste tu contraseña en una web de phishing? Haz esto ahora.

Cómo protegerte de las webs de phishing

Los hábitos que mejor funcionan no dependen de detectar copias. Entra tú en las webs importantes en vez de seguir enlaces, deja que un gestor de contraseñas o una llave de acceso rechace la dirección equivocada por ti y pon un segundo cerrojo a tus cuentas. Después añade una herramienta que avise antes de que la página aparezca.

• Entra tú en la web. Por la app, un marcador o escribiendo la dirección. Un enlace en un mensaje es el único camino que no controlas.
• Usa un gestor de contraseñas. Solo rellena contraseñas en la dirección a la que pertenecen, lo que lo convierte en una prueba de phishing silenciosa.^[7]
• Pásate a las llaves de acceso (passkeys) donde las ofrezcan. Una llave de acceso sustituye a la contraseña y está ligada a tu cuenta en la única web para la que se creó. La FIDO Alliance, que redacta el estándar, las define como resistentes al phishing y «secure by design».^[9] Si una cuenta ofrece llaves de acceso, las encontrarás en sus ajustes de seguridad.
• Activa la verificación en dos pasos, sabiendo su límite. Según la FTC, dificulta que los estafadores entren aunque tengan tu contraseña.^[4] Merece la pena. Pero un código también se puede robar: la agencia de ciberseguridad de Estados Unidos, CISA, describe páginas de acceso falsas que piden, además de la contraseña, el código de seis cifras de la app de autenticación.^[8] Nunca escribas un código en una página a la que llegaste por un enlace.
• Mantén activa la protección del navegador. Google Safe Browsing avisa antes de entrar en webs peligrosas conocidas y protege más de cinco mil millones de dispositivos al día, según Google.^[10] Edge tiene Microsoft Defender SmartScreen, que según Microsoft puede ayudar a bloquear webs de phishing conocidas.^[6] Estas listas solo conocen las webs denunciadas, así que una página de pocas horas puede colarse. ¿Basta con eso? Nuestra guía ¿Basta la protección del navegador contra las estafas? compara las opciones.

• Webs importantes guardadas en marcadores o abiertas desde su app
• Un gestor de contraseñas configurado en el navegador
• Llaves de acceso activadas donde el banco o el correo las ofrecen
• Verificación en dos pasos en el correo, el banco y las cuentas de compras
• Protección del navegador activada y actualizaciones automáticas

Si cuidas del ordenador de tus padres, configuradlo juntos en tu próxima visita. La guía Cómo proteger a tus padres mayores de las estafas online te lleva paso a paso.

Dónde denunciar una web de phishing

Denunciar una web de phishing hace que la bloqueen para la siguiente persona, y lleva un minuto. Solo el NCSC británico indica que, hasta septiembre de 2026, las denuncias habían permitido retirar 263.700 estafas en 466.300 direcciones web.^[11] Denuncia la página, reenvía el mensaje y, si has perdido dinero, pon una denuncia.

• España: llama al 017, la línea gratuita y confidencial de INCIBE, todos los días de 8:00 a 23:00. También atiende por WhatsApp en el 900 116 117 (guárdalo antes en tu agenda) y por Telegram en @INCIBE017.^[19] En 2025 atendió 142.767 consultas.^[20]
• Francia: las webs de phishing se denuncian en Phishing Initiative, de Orange Cyberdefense, que pasa las confirmadas a los navegadores para bloquearlas.^[16] Los SMS fraudulentos se reenvían al 33700,^[18] y las víctimas pueden pedir un diagnóstico gratuito en 17Cyber.^[17]
• Alemania: los correos de phishing se reenvían al Phishing-Radar de la Verbraucherzentrale, phishing@verbraucherzentrale.nrw.^[15]
• Estados Unidos y Reino Unido: en Estados Unidos, reenvía los correos a reportphishing@apwg.org y denuncia en ReportFraud.ftc.gov.^[4] En Reino Unido, reenvíalos a report@phishing.gov.uk^[13] y denuncia las webs con el formulario del NCSC.^[12]

También puedes reenviar el mensaje a la empresa suplantada; muchas tienen una dirección para ello en su sección de contacto.^[15]

Lo que aporta un bloqueador de estafas

Todas las comprobaciones anteriores necesitan que alguien las haga, justo en el momento en que un mensaje alarmante mete prisa. Es el momento en que casi todo el mundo se las salta. Un bloqueador de estafas hace la primera comprobación en cada página nueva, antes de que la persona escriba nada, e interviene cuando una página parece falsa.

OkayTab es una extensión para Chrome, Edge y Firefox. Revisa cada web nueva que alguien abre, también páginas de acceso falsas, páginas de pago falsas y falsos avisos de virus. Cuando una página parece una estafa, OkayTab pone delante un aviso a pantalla completa con un botón para volver atrás. Cuando no puede decidir, muestra «No está claro.» y te deja elegir. Solo sale del navegador un breve resumen de la página, nunca lo que escribes. Ninguna herramienta detecta todas las páginas de phishing, así que entrar tú en las webs importantes sigue siendo lo más útil.

Las opciones gratuitas son un buen comienzo: Google Safe Browsing y Microsoft Defender SmartScreen ya avisan de las webs de phishing que están en sus listas.^[10][6] OkayTab es para quien quiere que se revise cada página nueva, también las que solo llevan unas horas en línea.

Preguntas sobre webs de phishing

¿Qué pasa si abro un enlace de phishing pero no escribo nada?

Normalmente, nada. Según el NCSC, el daño viene sobre todo de escribir tus datos de acceso en la página falsa o de descargar un archivo que ofrece. Cierra la pestaña, no descargues nada y mantén el navegador actualizado. Si escribiste algo, cambia la contraseña y llama a tu banco si eran datos de tarjeta.

¿Me protegen los códigos de verificación en dos pasos en una web de phishing?

En parte. La verificación en dos pasos frena a un estafador que solo tiene tu contraseña. Pero una página de acceso falsa también puede pedir el código y usarlo al instante, como describe CISA. Nunca escribas un código en una página a la que llegaste por un enlace. Las llaves de acceso son mejores, porque solo funcionan en la web para la que se crearon.

¿El candado significa que una web no es phishing?

No. El candado solo indica que la conexión está cifrada. Las webs de phishing también lo usan, y el FBI advierte de que no hay que fiarse de una web por eso. Lee la dirección.

¿Puede una web de phishing ser idéntica a la de mi banco?

Sí. Los estafadores copian logotipos, colores, tipografías y textos, y el BSI señala que las páginas de phishing suelen estar imitadas con cuidado. La dirección no la pueden copiar, porque el nombre es de tu banco. Entra en tu banco desde su app o un marcador.

¿Dónde denuncio una web de phishing?

En España, llama al 017 de INCIBE, gratuito y confidencial, todos los días de 8:00 a 23:00, para que te ayuden con el caso. Si has perdido dinero, llama antes a tu banco y denuncia ante la Policía Nacional o la Guardia Civil.

¿Puede OkayTab parar las webs de phishing?

OkayTab revisa cada página nueva que abres en Chrome, Edge o Firefox y muestra un aviso a pantalla completa cuando parece una estafa, también en páginas de acceso y de pago falsas, o «No está claro.» cuando no puede decidir. Ninguna herramienta detecta todas las páginas de phishing, así que entrar tú en las webs importantes sigue siendo clave.

Fuentes

1. Anti-Phishing Working Group: Phishing Activity Trends Report, 4th Quarter 2025 (18 de febrero de 2026)
2. FBI Internet Crime Complaint Center: 2025 Internet Crime Report
3. FBI Internet Crime Complaint Center: Cyber actors exploit "secure" websites in phishing campaigns
4. Federal Trade Commission: How to recognize and avoid phishing scams
5. Federal Trade Commission: How to spot, avoid, and report tech support scams
6. Microsoft: Protect yourself from tech support scams
7. National Cyber Security Centre: Telling users to 'avoid clicking bad links' still isn't working
8. CISA: Implementing phishing-resistant MFA (octubre de 2022)
9. FIDO Alliance: Passkeys
10. Google: Safe Browsing
11. National Cyber Security Centre: Phishing scams
12. National Cyber Security Centre: Report a scam website
13. National Cyber Security Centre: Report a scam email
14. BSI: Passwortdiebstahl durch Phishing
15. Verbraucherzentrale: Phishing-Radar: Aktuelle Warnungen
16. Phishing Initiative: Phishing Initiative
17. 17Cyber: Assistance en ligne pour les victimes de cybermalveillance
18. CNIL: Spam, hameçonnage, arnaques : signaler pour agir
19. INCIBE: 017, Tu Ayuda en Ciberseguridad
20. INCIBE: INCIBE detectó más de 122.000 incidentes de ciberseguridad en 2025 (9 de febrero de 2026)
21. INCIBE: ¿Qué es el phishing? (17 de noviembre de 2021)