Cómo detectar si un enlace esconde un intento de phishing antes de hacer clic

Un nuevo y sofisticado tipo de estafa digital está generando alarma entre expertos en ciberseguridad, autoridades policiales y usuarios de todo el mundo.

Lo que comienza como un simple mensaje de texto en el móvil puede terminar en un grave robo de identidad o, peor aún, en la sustracción completa del dinero de una cuenta bancaria. Las señales de alerta están en las palabras ocultas en el enlace: “com-track” y “com-toll”.

La trampa comienza con un SMS

Es habitual que los mensajes contengan frases como “pago pendiente”, “infracción impagada” o “actividad sospechosa en su cuenta”. Estos textos buscan generar una respuesta inmediata.

La urgencia está calculada con precisión, el tiempo para reaccionar es mínimo y la sensación de peligro, máxima. El usuario, al sentirse en riesgo, hace clic sin dudar. En ese momento, cae en la trampa.

Los enlaces en estos mensajes no llevan a portales oficiales. Dirigen a páginas falsas, réplicas idénticas de sitios como Correos, Hacienda o bancos conocidos. Su diseño está pulido hasta el detalle, con logotipos, menús y tipografías idénticas. Lo único que cambia es la URL, que incluye extensiones como “-com-track.top” o “-com-toll.cyou”.

Según SpamHaus, una organización de referencia en rastreo de amenazas online, los ciberdelincuentes utilizan sistemáticamente estos términos en los enlaces para disfrazar su actividad. Se han detectado más de 60.000 dominios relacionados con esta campaña tan solo en abril de 2025. Cada dominio tiene una vida útil muy breve: se activa, realiza su función fraudulenta y luego desaparece o muta.

El FBI emitió una alerta reciente sobre este tipo de fraude, advirtiendo que “ninguna institución legítima pedirá contraseñas o datos bancarios a través de un SMS”.

Los jóvenes son los más expuestos a la estafa

Sin embargo, el número de víctimas no deja de crecer, especialmente entre los más jóvenes. El grupo más afectado son personas entre 18 y 24 años, quienes suelen intercambiar decenas de mensajes diarios y muestran menos desconfianza ante enlaces desconocidos.

Las autoridades en España han identificado múltiples casos de estafa con esta técnica. La Guardia Civil desarticuló recientemente una red criminal que enviaba falsos mensajes de entidades bancarias alertando sobre “inicios de sesión no autorizados”.

Los usuarios, al hacer clic en el enlace, eran redirigidos a páginas espejo donde ingresaban sus credenciales, que iban a parar directamente a manos de los estafadores.

En Latinoamérica también se han reportado víctimas. Usuarios de Bancolombia recibieron mensajes en los que se afirmaba que se había activado un seguro por casi 200.000 dólares y ofrecía un enlace para cancelarlo. Al acceder, la víctima ingresaba sus datos en un portal que imitaba al del banco. Minutos después, su cuenta aparecía vacía.

Cómo evitar ser víctima

Los expertos insisten en la necesidad de mantener una actitud crítica ante cualquier mensaje que llegue al móvil solicitando acciones inmediatas. La revisión del enlace es fundamental: términos como “com-track”, “com-toll” y extensiones “.top” o “.cyou” deberían levantar sospechas al instante.

Tampoco se debe confiar en el remitente. Los bancos y organismos públicos no utilizan números genéricos ni cometen errores ortográficos. Otro consejo es ignorar la urgencia que plantea el mensaje, las entidades reales no exigen pagos inmediatos ni bloquean cuentas sin previo aviso formal.

La recomendación más segura es verificar cualquier comunicación a través de las aplicaciones oficiales de las entidades o mediante canales seguros. Si alguien ha caído en la trampa, debe desconectar su dispositivo de internet, contactar de inmediato con su banco para bloquear movimientos y denunciar el hecho ante la policía.

La sofisticación de estas estafas demuestra que el fraude digital se adapta con rapidez y que la educación del usuario es clave. Mientras las autoridades trabajan para desmantelar las redes criminales, la defensa más efectiva sigue siendo la desconfianza ante cualquier mensaje que solicite datos o dinero sin verificación previa.