Cómo saber si un enlace es seguro antes de abrirlo

Ningún truco mágico te garantiza al 100% que un enlace sea seguro, pero hay señales claras que delatan un fraude antes de hacer clic. Desconfía de la urgencia, los premios y los dominios raros; previsualiza el destino real manteniendo pulsado el enlace, y analízalo en VirusTotal o Google Safe Browsing. Nunca introduzcas tus datos sin comprobarlo primero.

Por qué un enlace puede ser peligroso

Un enlace no es solo texto: es la puerta de entrada al phishing, a webs que roban contraseñas y a páginas que descargan malware sin que te des cuenta. El atacante no necesita «hackearte»; le basta con que tú hagas clic y escribas tus datos en una copia falsa de tu banco, de PayPal o de una red social.

Por eso el reflejo correcto no es «¿este enlace funciona?», sino «¿quién está al otro lado y qué quiere de mí?». A continuación tienes las señales de alarma y, después, cómo comprobar un enlace antes de abrirlo.

Señales de alarma de un enlace peligroso

Estas son las trampas más habituales. Las desmonto una a una para que las reconozcas a simple vista.

• Dominios falsos y typosquatting. Cambian una letra de una marca conocida: paypa1.com, arnazon.es, bancosantand3r.com. A primera vista parecen legítimos; léelos despacio.
• Subdominios engañosos. Lo que manda es la parte final antes del primer /. En paypal.seguro-login.com, el dominio real es seguro-login.com, no PayPal. La marca colocada delante es solo decoración para confiarte.
• Acortadores que ocultan el destino. Un bit.ly/xxxx o un acortado.es no te dice adónde vas. No son malos en sí, pero esconden la dirección real, así que en un mensaje sospechoso son una bandera roja.
• Urgencia, premios y amenazas. «Tu cuenta será bloqueada en 24 h», «has ganado un iPhone», «paquete retenido, paga la aduana». El objetivo es que actúes con miedo o prisa, sin pensar.
• El candado (https) no garantiza nada. Hoy casi cualquier web, incluidas las fraudulentas, tiene el candado y https. Significa que la conexión va cifrada, no que la página sea legítima. No bajes la guardia por ver un candado.

Si un mensaje combina varias de estas señales, trátalo como una estafa hasta que demuestres lo contrario.

Tabla rápida: señal, qué significa y qué hacer

Cómo comprobar un enlace antes de abrirlo

Esta es la parte importante: cómo verificarlo sin llegar a entrar en la página.

1. Ver el destino real (previsualizar)

• En Android: mantén pulsado el enlace (sin soltar) hasta que aparezca un menú con la URL completa o la opción «Copiar enlace». Léela entera y fíjate en el dominio real.
• En iPhone: mantén pulsado el enlace y espera a que se abra la vista previa con la dirección arriba. Suelta sin tocar «Abrir». Si solo quieres el texto, elige «Copiar».
• En un ordenador, pasa el ratón por encima del enlace (sin clicar) y mira la URL que aparece abajo a la izquierda del navegador.

2. Expandir un acortador

Si el enlace es un acortador, no lo abras directamente. Cópialo y pégalo en un expansor o, mejor, en un analizador oficial como VirusTotal, que ya te muestra el destino final y su reputación sin que tú visites la web.

3. Analizarlo en una herramienta oficial

Copia el enlace (mantén pulsado y «Copiar», como en el paso 1) y pégalo en uno de estos analizadores gratuitos:

• VirusTotal: pestaña «URL». Lo revisa con más de 90 motores antivirus y de reputación y te dice si está reportado por phishing o malware. INCIBE lo recomienda en su web.
• Google Safe Browsing Site Status: pega la dirección y Google te indica si actualmente considera ese sitio peligroso.
• URLVoid: comprueba el dominio contra más de 30 listas de bloqueo y servicios de reputación.

4. Comprobar el dominio

Si todo lo demás te convence, da el último paso: en vez de abrir el enlace, escribe tú mismo la dirección oficial de la entidad (tu banco, la tienda, la red social) en el navegador o entra desde su app. Así llegas al sitio real aunque el enlace fuera una copia.

Con la Administración el criterio es idéntico. Si te llega un mensaje sobre una ayuda, una beca o un impuesto, no entres por el enlace: busca la sede oficial del organismo. En nuestras guías del Ingreso Mínimo Vital, de la beca del Ministerio de Educación, del modelo 303 del IVA y de la tarjeta sanitaria europea tienes la dirección real de cada trámite para escribirla tú misma en el navegador.

Herramientas gratuitas de un vistazo

Qué hacer si ya hiciste clic o metiste tus datos

Si abriste el enlace pero no escribiste nada, normalmente basta con cerrar la pestaña y no tocar nada de la página. Si además introdujiste tus datos, actúa cuanto antes y por este orden:

1. Cambia la contraseña de la cuenta afectada y de cualquier otra donde uses la misma. Hazlo desde la web o app oficial, nunca desde el enlace del mensaje.
2. Activa la verificación en dos pasos (2FA) en esa cuenta y en tu correo. Aunque tengan tu clave, no podrán entrar sin el segundo código.
3. Avisa a tu banco si diste datos bancarios o de tarjeta. Pide que bloqueen la tarjeta o vigilen movimientos.
4. Denúncialo. En España puedes contactar con la línea 017 de INCIBE (gratuita y confidencial) y usar su formulario de Reporte de fraude en incibe.es. Si hubo pérdida económica, presenta denuncia ante la Policía o Guardia Civil.
5. Revisa tus dispositivos con un antivirus si sospechas que se descargó algo.

No te quedes en blanco por vergüenza: cuanto antes reacciones, menos daño.

Sigue protegiéndote

• Refuerza el móvil con un buen antivirus para Android que avise de webs y archivos maliciosos.
• Aprende a detectar otras amenazas en esta guía sobre cómo saber si te espían el móvil.
• Evita instalar software dudoso revisando aplicaciones peligrosas que conviene desinstalar.
• Mantente al día de los fraudes que circulan por mensajería con las novedades de WhatsApp.
• Corta de raíz buena parte de los anuncios y rastreadores que llevan a estas páginas instalando uBlock Origin en Android.
• Antes de pagar por un antivirus, mira si cumple lo que promete: aquí analizamos si Total AV vale la pena.
• Los pagos instantáneos son otro cebo habitual, así que repasa los límites y las estafas más frecuentes al pagar con Bizum.
• Si el enlace te llegó por Snapchat, conviene tener presentes los peligros de Snapchat y cómo protegerse.
• Cuando la duda no es un enlace sino una empresa, el método es el mismo. Lo aplicamos, por ejemplo, para explicar qué es Yaphone y si es fiable.
• Si el navegador te avisa de que no se ha podido establecer una conexión segura, no fuerces la entrada: repasa primero qué está fallando en el certificado.
• Ese segundo código depende de una app, así que conviene tener localizado cómo recuperar Google Authenticator si pierdes el móvil.
• Para los trámites con la Administración, entra siempre por la vía oficial y con tu identificación electrónica: te explicamos qué es Cl@ve PIN y cómo funciona.
• Si las señales apuntan a algo más que un enlace suelto, revisa cómo saber si tienes el móvil pinchado o intervenido.
• Blinda las apps más sensibles del teléfono con el bloqueo por huella dactilar en Android.
• Completa la defensa del dispositivo con una selección de apps de seguridad para Android.
• Y cuando un registro te pide el móvil sin necesidad real, valora dar un número de teléfono temporal en lugar del tuyo.

Comprobar el enlace es el primer paso. Estos son los demás hábitos que de verdad protegen la cuenta:

• borrar las cookies
• borrar el historial
• compartir la contraseña del WiFi sin enseñarla
• cambiar la contraseña de Spotify
• ver el código fuente de una página

Preguntas frecuentes

¿El candado (https) significa que un enlace es seguro?

No. El candado solo indica que la conexión está cifrada, no que la web sea legítima. Hoy muchas páginas de phishing también tienen https. Comprueba siempre el dominio y, si dudas, analízalo en VirusTotal antes de introducir tus datos.

¿Cómo veo adónde lleva un enlace sin abrirlo en el móvil?

Mantén pulsado el enlace sin soltar. En Android aparece un menú con la URL completa o «Copiar enlace»; en iPhone se abre una vista previa con la dirección. Lee el dominio real (la parte antes del primer /) y, si no te convence, no lo abras.

¿Es fiable VirusTotal para comprobar un enlace?

Sí, es una herramienta gratuita muy usada que analiza la URL con más de 90 motores antivirus y de reputación. La propia INCIBE la recomienda. Te dice si el enlace está reportado por phishing o malware, aunque ninguna herramienta detecta el 100% de las amenazas nuevas.

Hice clic en un enlace de phishing y metí mis datos, ¿qué hago?

Cambia de inmediato la contraseña afectada desde la web oficial, activa la verificación en dos pasos, avisa a tu banco si diste datos de pago y denúncialo en la línea 017 de INCIBE. Cuanto antes actúes, menos consecuencias tendrá.

¿Los enlaces acortados (bit.ly) son siempre peligrosos?

No siempre, pero ocultan el destino real, así que en mensajes que no esperabas son una señal de alarma. Antes de abrirlos, pégalos en VirusTotal o Google Safe Browsing para ver adónde llevan y si están reportados.

Fuentes

• INCIBE: Tu Ayuda en Ciberseguridad (línea 017) y Reporte de fraude: incibe.es
• OSI: Oficina de Seguridad del Internauta: osi.es
• Google Safe Browsing Site Status: transparencyreport.google.com/safe-browsing
• VirusTotal: virustotal.com