Píldora · Abierta y gratuita
Phishing: cómo reconocerlo y qué hacer
Un correo, un SMS o una llamada pueden costar una factura, una contraseña o un día sin trabajar. En 45 minutos aprenderás a detectar el engaño, a comprobarlo sin riesgo y a reaccionar si ya has pinchado. Gratis y a tu ritmo.
45 min5 módulos · 14 lecciones (+4 prácticas opcionales)
Para toda la plantilla y profesionales
Primera lección: «¿Lo detectarías?» · 1 min · sin registro
Se abre sin pedir acceso. El avance se recuerda en este navegador.
Lo que aprenderás
Al terminar, sabrás
Una simulación con 12 mensajes, dos descargas y bloques opcionales «Para saber más» con prácticas, casos y detalles técnicos para quien quiera profundizar.
- reconocer las señales de un engaño por correo, SMS, llamada, QR y mensajería
- leer una dirección web y saber a dónde lleva de verdad
- saber cuándo no seguir un mensaje
- verificar un pago o un cambio de cuenta sin caer en la trampa
- actuar en los primeros minutos si has picado
- saber a quién pedir ayuda en España
A quién va
Pensado para
Cualquier persona
Cualquier persona que use el correo o el móvil, sobre todo en el trabajo; los consejos sirven también para el correo y el móvil personales.
Los puestos más buscados
El curso insiste en los puestos más buscados por los atacantes: administración y pagos, compras, personas y nóminas, atención al cliente, asistentes de dirección y la propia dirección.
Sin conocimientos previos
No hace falta saber de informática.
Temario
El recorrido, de un vistazo
Módulo 1 de 5 · 4 min
El anzuelo: qué es y por qué funciona
Un reto de entrada, cuándo no seguir un mensaje y las caras del phishing.
- ¿Lo detectarías?
- Por qué picamos: cuándo parar
- Las caras del phishing
- Práctica del módulo 1 (opcional)
Al terminar el módulo, la insignia Pide y no cuadra: Si te piden algo y no cuadra, no lo haces y compruebas por tu canal.
Lección de muestra · pública, sin correo
Anatomía de un correo fraudulento
Vamos a diseccionar un correo. Pulsa cada número para ver qué esconde.
Antes, un truco: el nombre que ves como remitente lo escribe quien envía el correo. Para ver la dirección real, pulsa sobre el nombre. En el ordenador suele bastar con pasar el ratón por encima; en el móvil, toca el nombre del remitente.
Qué hacer: pulsa cada número del correo para ver qué esconde; hay uno que es una trampa. Por ejemplo: el 1 está sobre el remitente.
0 de 7 puntos explorados
Leer el correo y los siete puntos en texto
De: Personas · Talavanta <nominas@talavanta-personas.test>
Responder a: gestion.nominas@buzon-rapido.test
Para: destinatarios no revelados
Asunto: URGENTE: error en tu nómina de noviembre – revísala antes de las 14:00
[Logo de Talavanta, correcto] Estimado/a empleado/a: Hemos detectado un error en la retención de IRPF de tu nómina de noviembre que podría suponerte un descuento adicional. Para corregirlo, valida tus datos en el portal del empleado antes de las 14:00 de hoy. Si no lo haces, el ajuste se aplicará en la nómina de diciembre y no podrá revertirse. [Botón: Revisar mi nómina, cuyo destino real es https://talavanta.example.portal-empleado.test/acceso] Un saludo, Departamento de Personas.
- El nombre engaña. «Personas · Talavanta» suena a algo interno, pero la dirección es talavanta-personas.test, no talavanta.example. El nombre visible es lo más fácil de falsificar.
- Tu respuesta se iría fuera. La dirección de respuesta es un buzón externo. Si contestas, escribes al atacante.
- Enviado en masa y sin tu nombre. «Destinatarios no revelados» y «Estimado/a empleado/a». Son señales débiles, porque hay avisos legítimos así, pero suman.
- Prisa y miedo. «URGENTE», una hora límite y tu dinero: te piden algo y hay prisa.
- La acción y la amenaza. «Validar tus datos» es escribir tu usuario y tu contraseña. La amenaza irreversible te empuja a hacerlo sin consultar.
- El enlace dice una cosa y lleva a otra. Se ve intranet.talavanta.example, pero el destino real es talavanta.example.portal-empleado.test. Manda portal-empleado.test. Lo verás en L2.2.
- Trampa: el logo no prueba nada. Está copiado de la web de la empresa. Copiarlo cuesta un segundo.
No cuenta para la duración del curso y no entra en la evaluación final.
| Fácil de falsificar | Difícil, pero posible | Casi imposible de falsificar |
|---|---|---|
| El nombre visible del remitente | La dirección exacta del remitente, si el dominio no está bien protegido o si alguien ha robado esa cuenta | Tu llamada a un número que ya tenías |
| El logo, los colores, la firma y el aviso legal | Un hilo de correo real, si ha robado la cuenta de tu contacto | El procedimiento de tu empresa, como la doble firma de los pagos |
| Una ortografía perfecta, en cualquier idioma | Una voz parecida a la de alguien que conoces | La confirmación en persona o por el chat interno con un contacto que ya tenías |
| El número que aparece en la pantalla del móvil | Una palabra clave acordada para operaciones sensibles (INCIBE lo recomienda) | |
| Datos sobre ti sacados de internet |
Confía en lo que el atacante no puede tocar.
En resumen
- Mira la dirección, no el nombre.
- Mira a dónde lleva el enlace, no lo que dice.
- Lo que te piden y la prisa pesan más que el aspecto.
¿Te ha gustado? La lección completa sigue en el reproductor, con índice y progreso.
Abrir en el reproductorPreguntas frecuentes
Antes de empezar
Sí. El avance se recuerda en este navegador. No hay diploma.
No. Está pensado para cualquier puesto.
Unos 45 minutos. Los bloques «Para saber más» son opcionales y no cuentan. Puedes dejarlo y seguir otro día donde lo dejaste.
No. Al terminar ves el resultado en la pantalla. No es un título oficial ni se bonifica por FUNDAE.
No. La simulación te pone en el papel de una persona de una empresa ficticia, pero lo que aprendes sirve igual para tu correo y tu móvil personales.
Cada persona se inscribe con su correo. Si quieres formar a tu plantilla con seguimiento e informe del grupo, escríbenos desde la página de contacto.