Los fraudes digitales suelen llegar con apariencia de trámite urgente: un supuesto bloqueo, una transferencia pendiente o una promoción bancaria que exige respuesta inmediata. La CONDUSEF identifica el phishing como una suplantación de instituciones financieras para robar contraseñas y datos, mientras que el quishing usa códigos QR falsos. El objetivo suele estar escondido detrás de un clic.

El correo puede imitar logotipos, colores y avisos de un banco, pero la apariencia no prueba el origen. El mensaje puede pedir confirmar una cuenta, descargar un archivo o entrar a una página. La primera regla es no usar el enlace recibido; conviene abrir la aplicación oficial o escribir manualmente la dirección conocida, como quien llega a una sucursal por la puerta principal.

El QR agrega una capa de engaño porque parece inofensivo. Puede estar pegado sobre otro código en un cartel, una mesa o un recibo, y dirigir a un sitio que solicita información. Antes de escanear, hay que preguntarse quién colocó el código, qué trámite se espera y si existe un canal alternativo. ¿Por qué entregar datos financieros a una dirección que ni siquiera se revisó?

La presión es una señal frecuente. Frases como “último aviso”, “evita el cierre hoy” o “confirma en cinco minutos” buscan reducir la pausa necesaria para pensar. Las instituciones pueden enviar notificaciones, pero la urgencia por sí sola no verifica el mensaje. Un banco nunca necesita que el usuario le entregue su NIP mediante un correo, una llamada sospechosa o un formulario desconocido.

La dirección del remitente merece revisión. Una letra cambiada, un dominio extraño o un nombre que no coincide con la institución deben detener la interacción. También conviene revisar el destino de un enlace sin abrirlo y desconfiar de archivos adjuntos inesperados. El candado del navegador indica una conexión cifrada, no que el sitio sea legítimo.

Las contraseñas deben ser distintas para servicios importantes y contar con autenticación de dos factores cuando esté disponible. Guardarlas en un administrador confiable reduce la repetición y facilita cambiar una clave comprometida. No se trata de memorizar una muralla de códigos, sino de evitar que una sola llave abra toda la casa digital.

Si una persona ya ingresó datos, debe contactar al banco por el número oficial, bloquear tarjetas si corresponde y cambiar contraseñas desde un dispositivo seguro. También debe conservar capturas, fechas, teléfonos y comprobantes. Actuar rápido ayuda a documentar el caso, aunque ningún paso garantiza recuperar el dinero si la transferencia ya fue autorizada.

Las redes sociales y aplicaciones de mensajería amplían el alcance de estas trampas. Un contacto conocido puede tener su cuenta comprometida y reenviar una promoción falsa. Confirmar por otra vía antes de pagar o compartir información evita convertir la confianza en una puerta abierta. El mensaje puede venir de un primo, pero la solicitud también debe verificarse.

La prevención incluye actualizar sistema, navegador y aplicaciones, además de activar alertas de movimientos bancarios. Revisar estados de cuenta permite detectar cargos desconocidos y reportarlos. La tecnología no elimina todos los riesgos, pero sí puede avisar cuando una operación no coincide con la rutina.

Phishing y quishing funcionan mejor cuando el usuario actúa con prisa. La defensa más sencilla es detenerse, cerrar el mensaje y entrar por un canal que ya se conoce. Antes de responder, vale la pena hacer una pregunta incómoda: ¿el banco realmente me pidió esto o alguien solo quiere que deje de pensar?