Para saber si un correo es falso, mira cinco cosas y en este orden: la dirección completa del remitente (no el nombre que enseña), lo que dice tu propio programa de correo sobre si el mensaje está autenticado, a dónde llevan de verdad los enlaces, qué hay en el adjunto y qué te pide. Si te pide dinero, una contraseña o cambiar el número de cuenta de alguien, la comprobación que vale no está en el correo: es una llamada al teléfono que ya tenías de esa persona.
Ese último punto es el que separa a una pyme que pierde una factura de una que no. El correo falso que llega a una empresa no suele ser el del príncipe con herencia. Es el proveedor de siempre que «ha cambiado de banco», el jefe que pide una transferencia urgente desde una reunión o una factura pendiente con un botón para verla. INCIBE, el instituto público de ciberseguridad, gestionó 122.223 incidentes en 2025: 45.445 (el 37 %) fueron fraude por internet, y dentro del fraude el phishing fue el más frecuente, con 25.133 casos[1]. Aquí va cómo se miran esos correos, con qué herramientas gratuitas, y qué hacer si ya has pulsado.
Los tres correos falsos que le llegan a una empresa
Los tres siguen el mismo guion: alguien conocido, una gestión normal y una razón para hacerla ya.
| El correo | Qué busca | Lo que suele delatarlo |
|---|---|---|
| «Hemos cambiado de cuenta bancaria» (el proveedor) | Que la próxima transferencia vaya a una cuenta que controlan ellos | Un dominio con una letra cambiada, un PDF con los «datos nuevos» y un cambio que nadie ha comentado por teléfono[3][5] |
| «Necesito que hagas esta transferencia antes de las 14:00» (el jefe) | Una transferencia o una compra de tarjetas regalo que nadie revise | Urgencia, confidencialidad, el jefe «en una reunión» o de viaje y un número de WhatsApp nuevo[2] |
| «Factura pendiente: ver documento» (una empresa cualquiera) | Que descargues un fichero o escribas tu contraseña en una web copiada | «Estimado cliente», un número de factura al azar y un botón que descarga un .zip[7] |
Los dos primeros comparten nombre técnico, BEC (correo corporativo comprometido, por sus siglas en inglés), y son el fraude por correo que más dinero mueve: la oficina de denuncias por internet del FBI contabilizó en 2025 pérdidas de 3.046 millones de dólares por BEC, solo por detrás de las estafas de inversión en los 20.877 millones que sumaron todas las denuncias de ese año[18]. En España, INCIBE tiene el fraude del CEO entre las diez consultas más repetidas de las empresas en su servicio de ayuda, y va a más[2]. No hace falta ser grande: el caso que cuenta el propio INCIBE es el de un contable de un pequeño comercio familiar que pagó una factura a facturacion@proovedor.com, con dos «o» donde el proveedor real tiene dos «e»[3].
Cómo saber si un correo es falso: las cinco comprobaciones, en orden
1. El remitente de verdad, no el nombre
El nombre que ves en la bandeja lo escribe quien envía. Abre la dirección completa (en el móvil, pulsa sobre el nombre[13]) y lee el dominio entero, lo que va después de la arroba, letra a letra. Los fraudes que funcionan no usan una cuenta de Gmail. Usan proovedor.com por proveedor.com[3], o un dominio registrado para la ocasión con un nombre oficial delante: licitacionessectorpublicogob.org, en una campaña de 2024 que citaba números de expediente reales de la Plataforma de Contratación del Sector Público[6]. Una dirección correcta tampoco cierra el tema: si el buzón del proveedor está en manos de otro, el correo sale de la dirección legítima[4]; para eso está la comprobación cinco.
2. Lo que dice tu programa de correo sobre él
Los servidores comprueban solos si un mensaje viene de donde dice venir, con dos mecanismos llamados SPF y DKIM (qué son está en correo corporativo con tu dominio). Gmail te lo enseña sin tocar la cabecera: abre el mensaje y, si junto al nombre del remitente hay un signo de interrogación, el mensaje no se ha autenticado y Gmail no puede asegurar que venga de ese remitente[8]. Pulsa la flecha bajo el nombre: en un correo autenticado verás «enviado por» y «firmado por» con el dominio. En Outlook, Apple Mail o cualquier otro, abre la cabecera completa y busca la línea Authentication-Results: si pone spf=pass o dkim=pass, el mensaje pasó la prueba[8]. La cabecera está en «Mostrar original» en Gmail, en Archivo y Propiedades en el Outlook clásico y en Ver y «detalles del mensaje» en el nuevo[9][10]. Un mensaje sin autenticar no es siempre falso (las listas de distribución fallan a veces[8]), pero un banco, Hacienda o tu proveedor tienen que pasarla. Si no la pasan, es motivo suficiente para no seguir.
3. A dónde lleva el enlace, no lo que pone
Pasa el ratón por encima sin pulsar y mira la dirección que aparece abajo; en el móvil, mantén el dedo sobre el enlace. Lo que cuenta es el dominio que va justo antes de la primera barra: «tubanco.es.verificar-cuenta.com» no es tu banco, es verificar-cuenta.com. Si dudas, no pulses: escribe tú la dirección en el navegador, o pega el enlace en el comprobador de Navegación segura de Google, que dice si esa web está marcada como peligrosa[19]. Y una regla de Google que vale para todo: si has pulsado un enlace y te pide la contraseña, no la escribas; entra por la web de siempre[11].
4. El adjunto
Una factura llega en PDF, y aun así un PDF puede llevar un enlace dentro. Lo que no llega por las buenas en una factura es un .zip, un .exe, un .html o un documento de Word que te pide «habilitar contenido» para verse. En la campaña que INCIBE avisó en enero de 2024, el botón «ver factura» descargaba un programa malicioso[7]. Un fichero que no esperabas se comprueba antes de abrirlo: VirusTotal lo analiza con varios antivirus a la vez, gratis y sin instalar nada[20]; ojo, lo que subes deja de ser privado, así que una factura real con datos de clientes la mira quien lleve la informática, no VirusTotal. Si ya lo has abierto, más abajo hay un paso concreto para eso.
5. Lo que te pide, y por dónde lo confirmas
Esta es la que vale cuando las otras cuatro salen bien. Un cambio de número de cuenta, una transferencia urgente, una compra de tarjetas regalo o un dato de acceso se confirman por otro canal. Una llamada al número que ya tenías guardado de esa persona (nunca al que viene en el correo) o un hilo de correo nuevo a la dirección que ya usabas[5][13]. Las frases delatan: «confío en tu discreción», «estoy en una reunión y no puedo hablar», «este pago es confidencial, no informes a nadie», «contáctame por WhatsApp, este es mi número»[2]. El fraude se prepara durante semanas leyendo el correo de la víctima y se lanza cuando el responsable está de vacaciones o se espera una factura grande[2]. La prisa es el método, no una casualidad.
Una dirección correcta y un spf=pass te dicen que el correo salió de ese buzón. No te dicen quién estaba sentado delante.
Lo que ninguna comprobación te da
INCIBE describe los dos casos de este fraude. En uno, el delincuente entra en tu buzón, crea una regla que reenvía y esconde los correos del proveedor, y te manda la factura retocada desde un dominio parecido. En el otro, entra en el buzón del proveedor: los correos con la cuenta cambiada salen de su dirección real y a sus clientes les llegan limpios[4]. En el segundo caso, el remitente es correcto, la firma es la de siempre, el texto no tiene una falta[5] y la autenticación pasa. Lo único que no cuadra es el IBAN, y eso solo se descubre llamando.
Sin humo: aprender a mirar un correo reduce mucho el riesgo, pero no lo elimina. Lo que lo deja en casi nada es una norma de empresa que no dependa de un ojo: todo cambio de cuenta bancaria se confirma por teléfono antes de pagar, y por encima de una cantidad firman dos personas[13]. Es de lo que más nos preguntan cuando montamos el correo de una empresa.
Si ya has pulsado: qué hacer según lo que hayas hecho
Tres situaciones, y en las tres el orden importa.
- Escribiste una contraseña en una web que llegó por el correo
- Cámbiala ya, y en cualquier otro sitio donde usaras la misma[16]. Activa la verificación en dos pasos. Y mira las reglas de tu buzón (en los ajustes de Outlook o Gmail, «reglas» o «filtros»). El intruso del caso que cuenta INCIBE había creado una que reenviaba los correos del proveedor a un buzón externo y los quitaba de la bandeja de entrada[3]. Si en esa cuenta hay datos de clientes, hay una brecha que notificar a la Agencia Española de Protección de Datos[3].
- Abriste un adjunto o descargaste algo
- Desconecta el equipo de la red de la empresa, avisa a quien lleve la informática y pasa un antivirus actualizado; si no queda limpio, se restaura el sistema a un punto anterior[7]. No sigas trabajando «a ver si pasa algo».
- Hiciste una transferencia
- Llama al banco en ese momento. Una transferencia es un mandato de pago irrevocable y el banco no puede devolverla sin el consentimiento de quien la ha cobrado, pero se le exige que haga esfuerzos razonables por recuperarla contactando con el banco receptor[12]. Cuanto antes, más posibilidades: en el caso del comercio familiar, llegaron a tiempo y la revirtieron[3]. Después, guarda el correo con sus cabeceras, haz capturas de todo y denuncia en la Policía Nacional o la Guardia Civil[5][6].
En los tres casos, llama al 017. Es la línea de ayuda de INCIBE: gratuita, confidencial, de 8 de la mañana a 11 de la noche todos los días del año, por teléfono, por WhatsApp (900 116 117) o por Telegram (@INCIBE017)[17]. En 2025 atendió 142.767 consultas, y en un 28 % de ellas la persona había recibido un intento de phishing, una llamada o un SMS fraudulento[1]. Te dicen qué mirar, a dónde enviar el correo para que lo investiguen y cómo sacar las pruebas para la denuncia[3].
¿Me devuelve el banco el dinero?
Depende de quién ordenó el pago. Si alguien usó tus claves para una operación que tú no autorizaste, la ley de servicios de pago obliga al banco a devolverte el importe «de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente» a que se lo notifiques[14]. La excepción que prevé ese artículo es que tenga motivos razonables para sospechar fraude y lo comunique por escrito al Banco de España[14]. Tú respondes como mucho de 50 €, salvo que hayas actuado con negligencia grave[14]; ahí es donde el banco puede discutir, y el Banco de España recuerda que el reembolso va primero y la investigación después[15]. Si la transferencia la ordenaste tú, aunque fuera al IBAN equivocado, es una operación autorizada: no hay devolución automática, solo el intento de recuperación[12]. Y un detalle para empresas: el tope de 50 € y la regla de quién tiene que probar qué se pueden dejar fuera por contrato cuando el cliente no es consumidor ni microempresa[14]. Conviene leer qué firmaste.
Seis normas para que no dependa de un ojo
- ✓Todo cambio de IBAN de un proveedor o de un empleado se confirma por teléfono, al número ya guardado, antes de pagar[13].
- ✓Por encima de un importe, la transferencia la aprueban dos personas[13].
- ✓Verificación en dos pasos en todos los buzones, y una contraseña que no se use en ningún otro sitio: la del contable del caso de INCIBE estaba en una filtración y era la misma de sus redes sociales[3].
- ✓Alguien mira de vez en cuando las reglas de reenvío de cada buzón[4]; nosotros diríamos cada trimestre.
- ✓SPF, DKIM y DMARC en tu dominio, para que a tus clientes les sea más difícil recibir correos que se hagan pasar por ti. Cómo se ponen está en correo corporativo; si el correo lo montamos nosotros en diseño web, van puestos desde el primer día.
- ✓El 017 guardado en el móvil de quien paga las facturas[17].
Nada de esto necesita comprar un programa. Necesita una tarde para escribirlo, y que el jefe no se moleste cuando le llamen para confirmar su propia transferencia.
Dudas rápidas
¿Cómo verificar la autenticidad de un correo?
Lee la dirección completa del remitente, el dominio letra a letra. Mira si tu programa de correo lo da por autenticado: en Gmail, sin signo de interrogación junto al nombre y con «enviado por» y «firmado por» al desplegar; en cualquier otro, la línea Authentication-Results de la cabecera con spf=pass o dkim=pass[8]. Y si el correo pide dinero, una contraseña o un cambio de cuenta, confírmalo por teléfono al número que ya tenías, no al del correo.
¿Cuáles son tres señales de phishing?
Una petición de dinero, contraseñas o cambio de cuenta; prisa y confidencialidad para que no consultes a nadie[2]; y un remitente o un enlace cuyo dominio no es exactamente el de siempre. Las faltas de ortografía ya no sirven de pista: los correos de estos fraudes llegan bien escritos y con la firma copiada del original[5].
¿Cómo saber si un correo es falso en Gmail?
Abre el mensaje y mira junto al nombre del remitente: un signo de interrogación significa que no está autenticado[8]. Pulsa la flecha bajo el nombre para ver «enviado por» y «firmado por». Para el detalle completo, en el menú de los tres puntos elige «Mostrar original» y busca Authentication-Results[9]. En ese mismo menú está «Denunciar phishing», que lo manda a Google[11].
¿Cómo puedo comprobar si un correo electrónico es malicioso sin abrirlo?
Los enlaces, pegándolos en el comprobador de Navegación segura de Google[19]; los adjuntos, subiéndolos a VirusTotal antes de abrirlos[20]; la cabecera, pegándola en la herramienta Messageheader de Google, que la analiza por ti[9]. Si no te fías, el 017 de INCIBE lo mira contigo[17].
¿Y si el correo falso se hace pasar por mi empresa?
Avisa a tus clientes por el canal habitual e informa del caso a INCIBE[6]. Comprueba si el correo salió de tu buzón real: si es así, hay una cuenta comprometida y toca cambiar la contraseña, activar la verificación en dos pasos y borrar las reglas de reenvío que no hayas creado tú[4]. Si salió de un dominio parecido al tuyo, lo que puedes hacer es tener SPF, DKIM y DMARC bien configurados para que los correos que sí son tuyos (los de tus envíos comerciales y transaccionales incluidos) se distingan de los que no.
Fuentes
[1] INCIBE. (2026, 9 de febrero). INCIBE detectó más de 122.000 incidentes de ciberseguridad en 2025, nota de prensa del balance de ciberseguridad 2025. enlace
[2] García Alarcón, B. (2025, 3 de julio). Fraude del CEO: el engaño que puede vaciar la cuenta de tu pyme, blog de Empresas de INCIBE. enlace
[3] Vivancos, E. (2022, 24 de mayo). Historia real: cómo pagué una factura a un ciberdelincuente que entró en mi cuenta de correo, blog de Empresas de INCIBE. enlace
[4] INCIBE. Fraude email comprometido, sección Te ayudamos, consultada el 22 de septiembre de 2026. enlace
[5] INCIBE. (2018, 28 de agosto). Historias reales: suplantaron a mi proveedor y a mi empresa estafaron, blog de Empresas. enlace
[6] INCIBE. (2024, 18 de septiembre; actualizado el 7 de noviembre de 2024). Campaña de phishing que suplanta a entidades públicas utilizando datos de la Plataforma de Contratación del Sector Público, aviso de seguridad para empresas. enlace
[7] INCIBE. (2024, 19 de enero). Phishing con facturas falsas que descargan malware, aviso de seguridad para empresas. enlace
[8] Google. Comprobar si un mensaje de Gmail se ha autenticado, Ayuda de Gmail, consultada el 22 de septiembre de 2026. enlace
[9] Google. Rastrear un correo mediante su cabecera completa, Ayuda de Gmail, consultada el 22 de septiembre de 2026. enlace
[10] Microsoft. Ver encabezados de mensajes de Internet en Outlook, soporte de Microsoft, consultado el 22 de septiembre de 2026. enlace
[11] Google. Evitar y denunciar los correos de phishing, Ayuda de Gmail, consultada el 22 de septiembre de 2026. enlace
[12] Banco de España, Portal del Cliente Bancario. (2022, 5 de julio). Cómo protegerte de la estafa del pago de las facturas. enlace
[13] Banco de España, Portal del Cliente Bancario. (2020, 23 de junio). Cuidado con la estafa del CEO: ¿sabes cómo funciona este fraude?. enlace
[14] Boletín Oficial del Estado. Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, texto consolidado, artículos 34.1, 44, 45.1 y 46.1, consultado por la API de datos abiertos del BOE el 22 de septiembre de 2026. enlace
[15] Banco de España, Portal del Cliente Bancario. Transferencias no autorizadas o ejecutadas incorrectamente, guía de servicios de pago, consultada el 22 de septiembre de 2026. enlace
[16] INCIBE. Qué hacer en caso de ser víctima de phishing, consultado el 22 de septiembre de 2026. enlace
[17] INCIBE. Tu Ayuda en Ciberseguridad, Línea de Ayuda 017, consultada el 22 de septiembre de 2026. enlace
[18] FBI, Internet Crime Complaint Center. (2026). 2025 Internet Crime Report, cifras de denuncias y pérdidas totales y del apartado Business Email Compromise (en inglés). enlace
[19] Google. Navegación segura: estado del sitio, Informe de transparencia, consultado el 22 de septiembre de 2026. enlace
[20] VirusTotal. Analizar un fichero o una URL, servicio gratuito de análisis con múltiples antivirus, consultado el 22 de septiembre de 2026. enlace
¿Tu correo de empresa pasa la prueba?
Miramos contigo si tu dominio lleva SPF, DKIM y DMARC, si los buzones tienen verificación en dos pasos y si hay reglas de reenvío que no sean tuyas. Sin compromiso.