Páginas y aplicaciones falsas (phishing): cómo detectarlas
Una página falsa copia el diseño de tu banco o exchange para que escribas tu usuario, tu contraseña y tu código. Para no caer: entra siempre escribiendo tú la dirección o desde la aplicación oficial, guarda los sitios en favoritos, mira bien la dirección (una letra cambiada ya es otro sitio) y desconfía de los anuncios que aparecen primero en el buscador. El candado del navegador no garantiza que una página sea la real.
El phishing (se pronuncia "fishing", como "pescar" en inglés) consiste en "pescar" tus datos con un anzuelo: una página, un correo o una aplicación que parece la de una institución real. Si escribes tus datos ahí, se los entregas al estafador.
Cómo llegan las páginas falsas a tu pantalla
- Anuncios en buscadores: pagan para aparecer primero cuando buscas "Binance", "mi banco" o "billetera". El anuncio lleva a la copia.
- Enlaces en mensajes y correos: "Confirma tu cuenta aquí".
- Redes sociales: perfiles que imitan al soporte oficial y comparten enlaces.
- Códigos QR: en carteles, volantes o mensajes.
- Tiendas de aplicaciones: a veces se cuelan aplicaciones falsas con nombre y logo parecidos.
Cómo leer una dirección web (la habilidad más importante)
La dirección (URL) es lo único que el estafador no puede copiar exactamente. Veamos cómo leerla:
El dominio real es la parte que está justo antes de la primera barra "/", mirando de derecha a izquierda desde esa barra. Todo lo que está a la izquierda puede ser inventado.
Los trucos más usados en las direcciones
| Truco | Ejemplo falso (inventado) |
|---|---|
| Letra cambiada | binnance.com, b1nance.com |
| Letras parecidas | "rn" en lugar de "m": rnibanco.com |
| Palabra agregada | binance-soporte.com |
| Otra terminación | mibanco.co, mibanco.app |
| Dominio escondido | mibanco.com.verificar.xyz |
| Enlace acortado | bit.ly/abc123 (no sabes adónde lleva hasta abrirlo) |
En todos los ejemplos, las direcciones reales serían binance.com o mibanco.com. Cualquier diferencia, por pequeña que sea, es otro sitio.
El candado que aparece junto a la dirección solo significa que la conexión está cifrada. Las páginas falsas también pueden tenerlo. Lo que importa es que el dominio sea el correcto.
Otras señales de una página falsa
- Te pide la frase semilla de tu billetera (ninguna página legítima lo hace).
- Te pide todos los datos de la tarjeta y el código de seguridad para "verificar" la cuenta.
- Tiene errores de ortografía, imágenes de baja calidad o botones que no funcionan.
- Muestra una cuenta regresiva o un mensaje de urgencia.
- Te pide el código del doble factor varias veces seguidas (lo está usando en la página real mientras tú lo escribes).
Aplicaciones falsas
Algunas aplicaciones falsas imitan billeteras o exchanges conocidos. Para descargarlas de forma segura:
- Descarga solo desde la tienda oficial de tu teléfono, y mejor aún, siguiendo el enlace que figura en la página oficial de la plataforma.
- Revisa el nombre del desarrollador: debe ser la marca real.
- Mira la cantidad de descargas y las opiniones. Una "Binance" con pocas descargas es sospechosa.
- Nunca instales aplicaciones desde enlaces que te mandan por mensaje (archivos .apk en Android).
Cómo entrar siempre al sitio real
- Guarda en favoritos la dirección de tu banco y tus exchanges, y entra siempre desde ahí.
- Usa la aplicación oficial en lugar del navegador para operar con dinero.
- No entres desde anuncios ni desde enlaces de mensajes, aunque parezcan oficiales.
Un administrador de contraseñas también ayuda: solo completa automáticamente tu usuario y contraseña en el sitio real. Si en una página no se completa sola, es una señal de alerta.
Qué hacer si ingresaste tus datos en una página falsa
- Cambia la contraseña de inmediato, entrando desde la aplicación oficial.
- Si escribiste un código de doble factor, revisa movimientos y sesiones abiertas y cierra las que no reconozcas.
- Si diste datos de tarjeta, llama al banco para bloquearla.
- Si escribiste tu frase semilla, crea una billetera nueva y mueve tus fondos ya: la anterior está comprometida.
- Reporta la página falsa al buscador y a la marca imitada.
Ejercicio: ¿cuál es la página real?
Supongamos que tu banco se llama "Banco Sol" y su sitio oficial es bancosol.com. ¿Cuáles de estas direcciones son del banco y cuáles son falsas?
- https://www.bancosol.com/clientes
- https://bancosol.com.acceso-clientes.net
- https://bancos0l.com
- https://clientes.bancosol.com
- https://bancosol-seguridad.com
- https://www.bancosol.com.ar.verificacion.info/login
Respuestas: solo la 1 y la 4 son reales. En la 1, el dominio es bancosol.com. En la 4, clientes es una sección (subdominio) dentro de bancosol.com, que sigue siendo el dominio real. La 2 pertenece a acceso-clientes.net; la 3 cambia la letra "o" por un cero; la 5 agrega una palabra y es otro dominio; la 6 pertenece a verificacion.info.
Busca la primera barra "/" después de "https://". Lo que está justo antes, sus dos últimas partes (por ejemplo bancosol.com), es el dueño real de la página.
Phishing en redes sociales
Las redes sociales son terreno fértil para el phishing porque cualquiera puede crear un perfil con el logo de una marca:
- Perfiles falsos de soporte que responden cuando te quejas de una marca en público.
- Sorteos falsos que piden "iniciar sesión para participar".
- Mensajes de "tu cuenta infringió las normas" que llevan a una página para "apelar" donde te piden la contraseña.
Para verificar un perfil, revisa que tenga la insignia de verificación oficial, una antigüedad razonable y muchos seguidores reales, y que el enlace de su biografía lleve al dominio correcto.
Extensiones y programas falsos
Además de páginas, existen extensiones del navegador y programas que imitan billeteras o herramientas cripto. Una vez instalados, pueden leer lo que escribes o cambiar las direcciones que copias.
- Instala extensiones solo desde la tienda oficial del navegador y desde el enlace de la página oficial.
- Desconfía de programas que prometen "minar cripto gratis", "duplicar saldo" o "desbloquear funciones".
- Revisa cada tanto las extensiones instaladas y elimina las que no uses.
Preguntas frecuentes
¿Cómo sé cuál es la dirección oficial de una plataforma?
Búscala en su aplicación oficial, en sus perfiles verificados de redes sociales o en fuentes confiables. Una vez que la tengas, guárdala en favoritos.
¿Los anuncios del buscador son peligrosos?
No todos, pero los estafadores pagan anuncios para aparecer primero. Para entrar a tu banco o exchange, es más seguro usar favoritos o la aplicación.
¿Escanear un código QR puede ser peligroso?
Sí. Un QR puede llevar a una página falsa o, en cripto, contener la dirección de la billetera de un estafador. Escanea solo QR de fuentes en las que confíes y revisa la dirección antes de confirmar.
¿El modo incógnito me protege del phishing?
No. El modo incógnito solo evita guardar el historial en tu dispositivo. No impide que entres a una página falsa.
¿Qué hago si me llega un enlace de un amigo?
Pregúntale por otro medio si realmente te lo envió. Muchas cuentas robadas se usan para enviar enlaces falsos a todos los contactos, aprovechando la confianza. Si el mensaje no suena a tu amigo o tiene urgencia, desconfía.
¿Cómo reporto una página falsa?
Los navegadores y buscadores tienen formularios para reportar sitios de phishing, y muchas plataformas tienen un correo para avisar de copias de su página. Reportar ayuda a que la bloqueen más rápido y protege a otras personas.
Este artículo es informativo y no es asesoramiento financiero, legal ni impositivo. Antes de tomar decisiones con tu dinero, infórmate en fuentes oficiales de tu país.