Respuesta rápida
Lee la dirección completa y localiza el dominio real. No confíes solo en el candado, el logo, el primer resultado del buscador o un teléfono con prefijo español. Entra desde la aplicación oficial o escribe la dirección conocida antes de pagar o iniciar sesión.
Qué necesitas
- La dirección completa de la página
- Otra vía oficial para comparar: app, factura, tarjeta o documentación
- No haber confirmado todavía un pago ni una descarga
Antes de empezar
Si el navegador muestra una advertencia roja o indica sitio engañoso, no continúes para «ver qué pasa».
1. Averigua cuál es el dominio real
En esta dirección:
https://seguridad.banco-ejemplo.com/avisosel dominio es banco-ejemplo.com.
En esta otra:
https://banco-ejemplo.com.seguridad-urgente.net/avisosel dominio real es seguridad-urgente.net. Las palabras colocadas delante intentan distraerte.
Comprueba:
- letras cambiadas:
rnen lugar dem, números por letras; - guiones y palabras añadidas;
- terminaciones distintas;
- dominios que no corresponden a la empresa;
- enlaces acortados que ocultan el destino.
2. No uses el candado como certificado de honestidad
https:// y el candado indican que la comunicación está cifrada. Evitan que otra persona lea fácilmente lo enviado durante el camino, pero no impiden que el dueño del sitio sea un estafador.
La pregunta no es solo «¿está cifrado?», sino «¿estoy hablando con la organización correcta?».
3. Comprueba cómo llegaste
Aumenta la precaución si llegaste desde:
- un correo o SMS inesperado;
- un QR pegado en un lugar público o folleto;
- un anuncio patrocinado;
- un número de teléfono encontrado en un resultado sin verificar;
- una red social o chat;
- una ventana que afirma que tu dispositivo tiene virus.
La forma más segura es iniciar tú el recorrido desde una app ya instalada o una dirección oficial conocida.
4. Mira qué te pide y cómo te cobra
Desconfía de páginas que:
- piden más datos de los necesarios;
- solicitan PIN, códigos de verificación o claves de firma;
- obligan a instalar acceso remoto;
- cambian el importe con una excusa técnica;
- solo aceptan transferencia, criptomonedas o tarjetas regalo;
- esconden suscripción, renovación o condiciones;
- ofrecen precios imposibles y cuentan con urgencia artificial.
5. Busca identidad fuera de la propia página
No uses como prueba lo que el sitio dice sobre sí mismo. Comprueba:
- dominio oficial en documentos o perfiles verificados;
- razón social, dirección y contacto coherentes;
- políticas y condiciones que no sean copias incoherentes;
- reputación fuera de la página;
- historial y antigüedad cuando una compra sea importante.
Un teléfono con prefijo nacional o una dirección escrita no demuestran que exista una empresa real detrás.
6. Respeta las advertencias del navegador
Si Chrome u otro navegador muestra «Sitio peligroso», «Sitio engañoso» o una advertencia equivalente:
- no continúes;
- cierra la pestaña;
- accede por otra ruta oficial;
- reporta la página si el servicio lo permite.
Forzar la entrada desactiva justamente la barrera que intentaba protegerte.
Antes de pagar
Haz una pausa final:
- ¿la dirección es exactamente la esperada?;
- ¿el importe y la moneda coinciden?;
- ¿entiendes si es compra o suscripción?;
- ¿puedes contactar con la empresa desde otra fuente?;
- ¿el banco muestra el comercio correcto?;
- ¿te están presionando para terminar ahora?
Si una respuesta no encaja, no confirmes. Una oferta puede repetirse; recuperar un pago fraudulento no siempre.
Qué debería ocurrir
Podrás decidir si el sitio coincide con el servicio oficial, necesita más comprobación o debe cerrarse y reportarse.
Si no ves lo mismo
En el móvil la barra de direcciones puede ocultarse o acortar la URL. Tócala para mostrar la dirección completa antes de copiar o revisar.
Si sigue sin funcionar
La dirección es muy larga
Busca el dominio que aparece justo antes de la primera barra después de https://.
Compáralo letra por letra con el dominio oficial, sin dejarte distraer por palabras añadidas delante o detrás.
Llegué desde un anuncio o buscador
Comprueba si el resultado indica Anuncio o Patrocinado y revisa dominio y teléfono.
Vuelve atrás y entra desde la web o aplicación oficial.
Tiene candado y certificado
Comprueba para quién se emitió y si el dominio es el esperado.
Recuerda que HTTPS cifra la conexión, no certifica que la empresa sea honrada.
El sitio dice que mi conexión no es privada
Revisa fecha, red y dominio.
No introduzcas datos. Cierra y usa otro canal oficial.
Cuidado con esto
Nete te lo resume
La web puede vestirse de banco, aerolínea o administración en cinco minutos. El dominio es su DNI; el logo es solo el disfraz.
Casos reales y ejemplos resueltos
Historias resumidas para reconocer el problema, entender la causa y ver qué solución funcionó.
Un teléfono falso de una aerolínea apareció en el buscador y acabó en un pago de 510 euros
Una viajera buscó el teléfono de una aerolínea, llamó a un número que parecía español y siguió las instrucciones de un falso agente que le hizo instalar acceso remoto, enviar el DNI y autorizar un pago.
Cortó la comunicación, desinstaló la aplicación y pidió ayuda después de comprobar el cargo.
El número encontrado no pertenecía a la compañía aérea; los estafadores habían suplantado su atención al cliente.
Contactar con banco, analizar el dispositivo, conservar pruebas, denunciar, reclamar el cargo y vigilar posibles usos del DNI.
INCIBE detalló las medidas reactivas; la publicación no confirma si se recuperó el dinero.
El primer teléfono que aparece en un buscador no es necesariamente oficial. Los contactos deben obtenerse de la web o aplicación legítima.
Un código QR incluido con un reloj activó una suscripción no deseada
Una mujer escaneó un QR incluido en un folleto promocional, rellenó un formulario con datos identificativos y de tarjeta y descubrió días después que había contratado una suscripción.
Revisó la cuenta bancaria y contactó con INCIBE para saber cómo cancelar y protegerse.
El QR dirigía a una página fraudulenta que utilizaba el formulario como proceso de contratación engañoso.
Buscar la vía de baja y desistimiento, contactar con el banco, conservar pruebas, denunciar si existió perjuicio y vigilar el uso posterior de los datos personales.
INCIBE proporcionó un plan de actuación; el artículo no confirma el reembolso final.
Un QR es solo un enlace con otra forma. Hay que previsualizar el dominio y no entregar datos bancarios por una promoción inesperada.
Preguntas frecuentes
Respuestas directas y una solución concreta para las dudas que suelen aparecer después.
¿El candado y HTTPS significan que una página es legítima?
No. Significan que la conexión está cifrada, pero una web fraudulenta también puede obtener un certificado.
Lee el dominio completo, comprueba a qué empresa pertenece y entra desde la app o dirección oficial.
¿El primer resultado de un buscador siempre es la web oficial?
No. Puede ser un anuncio, un intermediario o una página que suplanta a la empresa.
Comprueba el dominio, evita teléfonos encontrados sin verificar y compara con documentos, aplicaciones o perfiles oficiales.
¿Cómo sé adónde lleva un enlace acortado?
El texto corto oculta el destino. No lo abras si no conoces la procedencia y la finalidad.
Usa una herramienta de expansión o análisis de URL, o pide al remitente que comparta la dirección oficial completa.
La página tiene el logo y el diseño exactos. ¿Puede ser falsa?
Sí. Copiar imágenes y estilos de una web legítima es fácil.
Comprueba dominio, contacto, contexto, métodos de pago y avisos del navegador. Verifica la gestión desde la aplicación oficial.
El navegador dice «Sitio peligroso». ¿Puedo continuar si conozco la página?
Lo prudente es no continuar. La advertencia indica que el sitio puede estar relacionado con phishing, malware o engaños.
Cierra la pestaña y accede por otra vía oficial. Si crees que es un error, compruébalo sin introducir datos ni descargar archivos.
¿Te ha funcionado?
No escribas contraseñas, códigos, teléfonos ni otros datos personales.
Fuentes y revisión
- INCIBE — Cómo comprobar si un enlace es malicioso — Lectura de la URL, límites de HTTPS, enlaces acortados, certificados y analizadores de enlaces.
- Google Chrome — Gestionar advertencias sobre sitios no seguros — Significado de las alertas de phishing o malware y recomendación de no continuar a sitios marcados como peligrosos.
- INCIBE — Phishing — Señales habituales de phishing y medidas posteriores si se facilitaron credenciales, datos bancarios o se descargó contenido.
Próxima revisión prevista: 2026-11-05