// Disección de un phishing

Este correo quiere engañarte. Encuentra las 7 señales.

Un correo de phishing real deja pistas por todas partes. Haz clic en lo que te chirríe — cada acierto te explica por qué es una bandera roja. Aprende a leerlos como un analista.

Bandeja de entrada · 1 mensaje nuevo
🔒
De:PayPal Soporte <>
Responder a:
Para:tú

,

Hemos detectado actividad inusual en su cuenta. Por su seguridad, la hemos limitado temporalmente. Si no verifica su identidad en las próximas 24 horas, su cuenta será eliminada permanentemente.

Adjuntamos su última factura para revisión:

📎 · 84 KB

© 2024 PayPal. Mensaje automático; no responda (iría directo al atacante).

Banderas rojas

0 / 7
1Urgencia y amenazaPor descubrir…
«24 horas», «suspendida», «eliminada»: el miedo y el reloj te empujan a actuar sin pensar. La comunicación legítima no te amenaza con un plazo.
2Dominio parecido (typosquatting)Por descubrir…
El nombre visible dice «PayPal», pero el dominio real es paypa1-alerts.com — con un 1 en vez de la «l» y sin ser paypal.com. El display name miente; el dominio no.
3Reply-To distintoPor descubrir…
El «Responder a» apunta a mail-seguro-ru.info, otro dominio (y otro país). Tus respuestas irían directas al buzón del atacante.
4Saludo genéricoPor descubrir…
«Estimado cliente»: una empresa que te conoce usa tu nombre. Un saludo genérico delata un envío masivo a miles de direcciones.
5El enlace no va donde dicePor descubrir…
El botón dice «Verificar», pero el enlace real es http://paypa1-alerts.com.verify-login[.]ru/secure — el dominio de verdad es verify-login.ru, lo de delante es humo. Pasa el ratón por encima antes de hacer clic, siempre.
6Adjunto con doble extensiónPor descubrir…
Factura_2024.pdf.exe: parece un PDF, pero es un ejecutable. Windows oculta la extensión real por defecto, así que ves «.pdf» y ejecutas malware.
7Errores y marca mal escritaPor descubrir…
«Att3ntamente», «PayePal»: faltas y la marca mal escrita. La comunicación legítima se revisa; el phishing masivo, casi nunca.
✅ ¡Las 7! Ya lees un phishing como un analista. La versión automática de esto es el Triage de Email (.eml): súbele un correo y te saca ruta real, SPF/DKIM/DMARC e IOCs.

Correo de ejemplo, inofensivo. Ningún enlace es real.