Cómo saber si un enlace es seguro antes de abrirlo

Los mensajes de estafa funcionan cuando logran que hagas clic. Un enlace en un correo, un mensaje de texto, una publicación en redes sociales o un código QR puede llevarte a una página de inicio de sesión falsa, a una tienda falsa o a una descarga con malware. Saber cómo saber si un enlace es seguro antes de tocarlo toma unos diez segundos y detiene la mayoría de estos ataques. Esta guía explica las revisiones rápidas que cualquiera puede hacer, los trucos que usan los estafadores para disfrazar direcciones y qué hacer si ya hiciste clic.

Esta es una guía independiente. No estamos afiliados a ningún banco, tienda ni empresa de tecnología.

Paso 1: mira a dónde lleva realmente el enlace

El texto que ves en un mensaje no es necesariamente a donde lleva el enlace. “Rastrea tu paquete” o incluso una dirección que parece completa pueden apuntar a cualquier sitio.

• En la computadora: pasa el puntero del mouse sobre el enlace sin hacer clic. La dirección real aparece en la esquina inferior del navegador o en una pequeña ventana del programa de correo.
• En el celular: mantén presionado el enlace (no lo toques rápido). Aparece una vista previa o un menú con la dirección. Luego toca fuera para cerrarlo sin abrirlo.
• En un mensaje de texto: la dirección suele verse completa. Léela con calma antes de tocarla.

Paso 2: lee el dominio de la forma correcta

El dominio es la parte que dice quién es el verdadero dueño de la página. Encuéntralo así:

1. Empieza después de https://.
2. Lee hasta la primera barra sencilla /.
3. En esa parte, lo que está justo antes de la terminación (como .com, .org, .mx o .gov) es el dueño real.

Ejemplos:

Dirección	Quién es el dueño real
https://www.banco-ejemplo.com/acceso	banco-ejemplo.com
https://banco-ejemplo.com.verificar-cuenta.net/acceso	verificar-cuenta.net (no es el banco)
https://acceso.banco-ejemplo.ayuda-segura.co/	ayuda-segura.co (no es el banco)
https://www.banco-ejemplo.com.malicioso.example/	malicioso.example (no es el banco)

Los estafadores ponen el nombre de una empresa conocida al principio de la dirección y su propio dominio al final, con la esperanza de que dejes de leer antes.

Paso 3: detecta los trucos más comunes

• Ortografía parecida: una letra de más, una letra de menos, letras invertidas, rn que parece m, o un cero en lugar de la letra O.
• Palabras añadidas: nombres de empresas con “-soporte”, “-seguro”, “-verificar”, “-reembolso” o “-acceso”.
• Terminaciones raras: una marca conocida con una terminación que normalmente no usa.
• Enlaces acortados: ocultan el destino. Ten especial cuidado en mensajes inesperados.
• No coincide con el remitente: un mensaje “de tu banco” cuyo enlace lleva a un sitio que no tiene nada que ver.
• Presión: “Tu cuenta se cerrará hoy”, “Falló tu pago”, “Ganaste un premio”. La urgencia es una táctica, no un motivo para hacer clic.

La guía sobre cómo reconocer un correo de phishing (en inglés) explica las demás señales del mensaje, y la de estafas con código QR aplica las mismas revisiones a los códigos en carteles y parquímetros.

Paso 4: usa un verificador gratuito

Si todavía tienes dudas, copia el enlace (mantenlo presionado o haz clic derecho y elige Copiar enlace) y pégalo en un verificador confiable:

• Google Transparency Report, estado de sitios de Navegación segura: muestra si Google considera peligroso el sitio en este momento.
• La protección integrada de tu navegador: Chrome, Edge, Firefox y Safari avisan sobre sitios peligrosos conocidos. Mantén esas protecciones activadas.

Una advertencia significa alto. Un resultado limpio tranquiliza, pero no es garantía, porque las páginas de estafa recién creadas pueden no estar en las listas todavía.

Paso 5: el hábito más seguro, entra directamente

La forma más confiable de evitar un enlace malo es no usarlo. Si un mensaje dice que hay un problema con tu banco, tu paquete, tu suscripción o tus impuestos, abre la app de la empresa o escribe tú mismo su dirección en el navegador y revisa ahí. Los problemas reales aparecerán en tu cuenta.

Enlaces de personas que conoces

Que un mensaje venga de un amigo, un familiar o un compañero de trabajo no lo hace seguro. Su correo o su cuenta de redes sociales puede haber sido hackeada, y los estafadores envían enlaces a todos los contactos con frases como “¿Eres tú en este video?” o “Mira esto”. Si un enlace de alguien conocido no suena a esa persona, pregúntale por otro medio, como una llamada o un mensaje nuevo, antes de abrirlo. Enseñar este hábito a los familiares mayores evita muchos robos de cuentas.

El candado no es una insignia de seguridad

El candado en la barra de direcciones indica que la conexión está cifrada, de modo que nadie en la red puede leer lo que envías. No dice nada de quién administra el sitio. Muchas páginas de phishing y tiendas falsas tienen candado.

Si ya hiciste clic en el enlace

Hacer clic por sí solo rara vez infecta un dispositivo actualizado, pero actúa según lo que pasó después:

• Solo abriste la página: ciérrala y no vuelvas a entrar.
• Escribiste una contraseña: cámbiala de inmediato en el sitio real, empezando por tu correo, y activa la autenticación de dos factores. Cámbiala también donde la hayas repetido.
• Diste datos de tarjeta o del banco: comunícate con tu banco de inmediato, usando el número de tu tarjeta o la app del banco.
• Se descargó un archivo: no lo abras. Bórralo y haz un análisis con tu antivirus.
• Aceptaste notificaciones o instalaste algo: quítalo; la guía para eliminar ventanas emergentes y redirecciones explica cómo.

Si alguien te llamó o te pidió acceso remoto a tu computadora después del clic, sigue qué hacer tras una estafa de soporte técnico. Denuncia el phishing a la organización suplantada y, en Estados Unidos, a la FTC en ReporteFraude.ftc.gov; en Canadá, al Centro Antifraude de Canadá.