Los tipos de phishing que más vale la pena conocer son ocho: phishing por correo, spear phishing, whaling, clone phishing, pharming, QR phishing, vishing y smishing. Todos buscan lo mismo: tus contraseñas, tus datos bancarios o tu dinero. Lo que cambia es el canal por el que llegan y qué tan personalizado viene el engaño.
Reconocer cada variante te da los segundos que necesitas para frenar antes de dar clic, contestar o compartir un código.
Si quieres repasar primero lo básico, aquí te explicamos qué es el phishing y cómo funciona.
¿Por dónde llega cada tipo de phishing y cómo lo detectas?
Cada variante se reconoce por su canal y por una señal roja típica. Puede ser un correo con urgencia, un mensaje que sabe demasiado de ti, una llamada que pide códigos o un QR que no sabes quién pegó.
Esta tabla resume cómo luce cada uno y qué hacer en cuanto lo detectas.
Distintos tipos de phishing y qué hacer en cada uno
| Tipo | Canal | Ejemplo | Red flag | ¿Qué hacer? |
|---|---|---|---|---|
| Phishing por correo | Correo electrónico | “Tu cuenta será bloqueada, entra aquí” | Remitente raro, tono urgente, link sospechoso | No dar clic; verificar desde el sitio o la app oficial |
| Spear phishing | Correo o mensaje directo | Mensaje con tu nombre, empresa o cargo | Usa datos reales tuyos para ganarse tu confianza | Confirmar por otro canal antes de responder |
| Whaling | Correo, mensaje o llamada | Fraude dirigido a directivos o personas que aprueban pagos | Pide transferencias o documentos confidenciales con urgencia | Validar identidad y seguir los procesos internos |
| Clone phishing | Correo electrónico | Copia casi idéntica de un correo real con link o adjunto cambiado | Parece conocido, pero el enlace o archivo es distinto | Comparar remitente y URL con el correo original |
| Pharming | Sitio web o redirección | Llegas a una página falsa aunque escribiste una dirección conocida | Sitio sin https o sin candado, diseño distinto al habitual, avisos de seguridad del navegador o formularios que piden más datos de lo normal, aunque la dirección se vea correcta | Salir del sitio y entrar desde la app o una fuente oficial |
| QR phishing | Código QR | Código pegado en mesas, carteles o estacionamientos | No sabes quién lo puso ni a dónde lleva | Revisar el origen y la vista previa del enlace |
| Vishing | Llamada telefónica | “Te hablamos del banco por un cargo sospechoso” | Piden claves, NIP o códigos y presionan para actuar ya | Colgar y llamar tú al número oficial |
| Smishing | SMS o apps de mensajería | “Tu paquete no pudo entregarse, entra aquí” | Links cortos, faltas de ortografía, urgencia artificial | No abrir enlaces; revisar desde la app oficial |
¿En qué se diferencia cada tipo de phishing?
El phishing por correo apuesta por el volumen y el spear phishing por que sientas que te conocen; los demás cambian la puerta de entrada: una llamada, un SMS, un QR o una página clonada.
La CONDUSEF ya identifica el phishing, el smishing, el pharming y el vishing como fraudes cibernéticos en su alerta ¡Aguas con los fraudes!. En 2026 advirtió además que aumentan los intentos de fraude por SMS, apps de mensajería y enlaces falsos, según un comunicado.
Así funciona cada uno en la práctica:
Phishing por correo: el clásico que sigue funcionando
El phishing por correo es la versión clásica: un correo que imita a un banco, una paquetería o una tienda en línea para que des clic, descargues un archivo o escribas tus datos. Suele llegar con asuntos que suenan a emergencia, como actividad inusual, pago rechazado o verificación de cuenta.
Funciona porque se aprovecha de la rutina. Lees rápido entre pendientes, confías de más y quieres resolverlo en un minuto. Antes de hacer cualquier cosa, entra por tu cuenta a la app o al sitio oficial de la empresa y revisa si de verdad hay algo pendiente.
Spear phishing y whaling: cuando el engaño sabe quién eres
El spear phishing es un mensaje de phishing dirigido a una sola persona, a diferencia del correo masivo que se manda a miles. Incluye tu nombre, tu trabajo o alguna referencia real para que el mensaje se sienta legítimo. Si el phishing común es una red lanzada al mar, este es un anzuelo con tu nombre.
El whaling es la misma técnica, pero apuntada a directivos o personas que pueden aprobar pagos o tienen acceso a información sensible. Por eso suele pedir transferencias urgentes o documentos confidenciales.
En ambos casos la defensa es la misma: si un mensaje muy personalizado te pide actuar, confírmalo por otro canal antes de responder.
Clone phishing: el correo conocido con el enlace cambiado
Un correo que ya recibiste, copiado casi idéntico pero con el enlace o el archivo adjunto cambiado: eso es el clone phishing. Es de los más engañosos porque parece la continuación de una conversación legítima. Puede ser el mismo aviso de envío que viste ayer, pero con la trampa escondida.
Para detectarlo, compara el remitente y el enlace con el correo original. Si te reenvían algo que ya tenías sin una razón clara, desconfía.
Pharming: una página falsa aunque escribas bien la dirección
Con el pharming no necesitas caer en un mensaje: te redirigen a una página falsa aunque creas que entraste al sitio correcto. Puede pasar por un programa malicioso en tu dispositivo o por una red comprometida. Es como si alguien cambiara el letrero de una puerta para que parezca la entrada de siempre.
Como la dirección puede verse correcta, revisar no basta. Verifica que el sitio use https:// y muestre el candado cerrado, como recomienda la CONDUSEF; si falta, no ingreses datos. Pero tómalo como el mínimo, no como una garantía: el candado solo indica que la conexión está cifrada, y muchos sitios falsos también lo tienen.
Desconfía además de diseños distintos al habitual, de avisos de seguridad del navegador y de formularios que piden más datos de lo normal. Lo más seguro es entrar siempre desde la app oficial; si algo se ve raro, cierra la página y no ingreses datos.
QR phishing: el código que no sabes a dónde te lleva
El QR phishing usa códigos QR para llevarte a páginas falsas o hacer que descargues algo riesgoso. Puede aparecer en volantes, estacionamientos, restaurantes o pegado encima de un código legítimo.
Funciona porque escanear se volvió un gesto automático: si el código está ahí, lo usamos sin pensar. Antes de abrirlo, revisa que no esté sobrepuesto a otro y mira la vista previa del enlace que muestra tu celular.
Vishing: la llamada que te pide códigos
Una llamada de alguien que se hace pasar por tu banco, soporte técnico o una autoridad y te presiona para actuar de inmediato es vishing.
Un guion muy común es este: “Detectamos un cargo sospechoso, te ayudo a cancelarlo, pero necesito el código que te llegó por SMS”. Esa mezcla de autoridad y prisa es una bandera roja enorme. Si te piden claves, NIP o códigos, cuelga y llama tú al número oficial de tu banco.
Smishing: el SMS que te mete prisa
El smishing es el fraude que llega por SMS o por apps de mensajería, disfrazado de aviso de paquetería, cargo no reconocido, multa o promoción, para que toques un enlace o respondas con tus datos.
Si el mensaje trae un link corto y un tono alarmista, no lo abras. Revisa la situación directamente desde la app oficial de la empresa que supuestamente te escribió.
¿Cómo revisar un código QR antes de escanearlo?
Un QR es confiable cuando conoces su origen y revisaste el enlace antes de abrirlo. El problema de estos códigos es que no muestran a simple vista a dónde te llevan, así que vale la pena hacer una revisión rápida:
- Fíjate en el contexto. Si el código está pegado encima de otro, mal impreso o fuera de lugar, sospecha.
- Escanea solo códigos de fuentes que conoces, y evita hacerlo por impulso en carteles improvisados en la calle.
- Usa la vista previa del enlace de tu celular y revisa la dirección antes de abrirla.
- No escribas contraseñas, datos de tarjeta ni códigos de verificación en una página a la que llegaste por un QR dudoso.
- Si el QR promete premios, descuentos extremos o una verificación urgente, frena ahí.
- Si el código dice ser de una marca, mejor busca tú su app o su página oficial.
¿Por qué caemos en el phishing aunque sepamos que existe?
El phishing funciona porque está diseñado para que reacciones antes de pensar. Activa emociones como la urgencia o el miedo y te hace sentir que no hay tiempo para verificar. Estos son los gatillos que más usa:
- Urgencia: “Hazlo ahora o perderás el acceso”.
- Miedo: “Detectamos un problema en tu cuenta”.
- Autoridad: “Te llamamos del área de seguridad de tu banco”.
- Premio: “Ganaste un beneficio” o “Tienes un reembolso pendiente”.
- Rutina: mensajes que parecen parte de tu día a día, como una entrega o una factura.
Reconocer estos gatillos es tu mejor defensa. Si un mensaje te hace sentir prisa o miedo, esa misma sensación es la señal para detenerte.
¿Qué reglas te protegen sin importar por dónde llegue el phishing?
La regla de oro contra cualquier tipo de phishing es no actuar con prisa y verificar siempre por tu cuenta, desde la app o el sitio oficial. Estas cinco reglas aplican sin importar si el engaño llega por correo, SMS, llamada o QR:
- Baja la velocidad. Si un mensaje te mete presión, tómate un momento antes de hacer cualquier cosa.
- Verifica por otra vía. Si supuestamente te escribió una empresa, entra a su app o sitio oficial por tu cuenta, nunca desde el enlace que te enviaron.
- No compartas códigos, NIP ni contraseñas. Tu banco no te los va a pedir por llamada ni por mensaje.
- Revisa enlaces y remitentes. Una letra cambiada o una terminación rara puede delatar la trampa.
- Desconfía de lo demasiado bueno o demasiado alarmante. Un premio gigante, un bloqueo inminente o un cargo que hay que cancelar ya suelen ser el gancho.
¿Qué hacer si ya caíste en un phishing?
Si ya diste clic, compartiste un dato o descargaste algo, lo más importante es actuar rápido. Cambia tus contraseñas, avisa a tu banco por sus canales oficiales y reporta el fraude. Estos pasos ayudan a limitar el daño:
- Cambia de inmediato la contraseña de la cuenta afectada y de cualquier otra donde uses la misma.
- Activa o refuerza la verificación en dos pasos.
- Revisa tus movimientos y accesos recientes.
- Si compartiste datos bancarios, contacta a tu banco cuanto antes por sus canales oficiales y pide que bloqueen tus tarjetas si diste datos de alguna. Si eres cliente Nu, escríbenos en el chat de la app Nu.
- Reporta el número, correo, perfil o sitio falso en el Portal de Fraudes Financieros de la Condusef. Ahí también puedes consultar si ya fue reportado por otras personas en la sección “Monitor de Reportes”.
- Si sufriste un fraude, presenta tu denuncia ante el Ministerio Público.
Preguntas frecuentes sobre los tipos de phishing
Estas son las dudas más habituales para reconocer el phishing y actuar a tiempo, sin importar por dónde llegue.
¿Cuáles son los tipos de phishing más conocidos?
Los más conocidos son el phishing por correo, el spear phishing, el whaling, el clone phishing, el pharming, el QR phishing, el vishing y el smishing. Cada uno tiene su propia señal de alerta, desde un remitente raro hasta un QR pegado encima de otro.
¿Qué diferencia hay entre smishing y vishing?
El smishing llega por SMS o mensajes escritos, y el vishing llega por llamada. En un mensaje la presión viene de un link urgente; en una llamada, de una voz que suena a autoridad y te apura.
En ambos casos la defensa es la misma: no actúes desde el mensaje ni la llamada, y verifica por tu cuenta en la app o el sitio oficial.
¿Cómo sé si un código QR es seguro?
Un QR es confiable cuando sabes quién lo colocó y revisaste el enlace antes de abrirlo. Desconfía si está pegado encima de otro código, si te lleva a una página que pide datos bancarios o si promete premios o descuentos fuera de lo normal.
¿Cómo sé si un mensaje es phishing?
Un mensaje probablemente es phishing si te presiona para actuar ya, viene de un remitente extraño, trae enlaces sospechosos o te pide contraseñas, NIP o códigos. Ante la duda, no respondas desde el mensaje: verifica directamente en la app o el sitio oficial de la empresa.
¿Por qué hay tantas formas distintas de phishing?
Porque usamos muchos canales todos los días, como correo, SMS, llamadas, códigos QR, redes y sitios web. Los estafadores adaptan el engaño a cada uno para que parezca parte de tu rutina y pase desapercibido.
¿Qué hago si me llega un mensaje sospechoso a nombre de Nu?
No respondas, no des clic y no compartas datos. Confirma en el chat de la app Nu si el mensaje es real. Si se trata de un sitio web, un perfil en redes sociales, una app de Nu no oficial, un SMS o un mensaje de WhatsApp falso que usa el nombre o la imagen de Nu, repórtalo a pagina.falsa@nu.com.mx con capturas de pantalla y el enlace.
En Nu México queremos que nuestros clientes y lectores tengan la información necesaria para tomar decisiones mejor informadas con su dinero y así ayudarles a recuperar el control de su vida financiera. Este contenido se ofrece de forma educativa e informativa para ayudarlos a lograr ese fin. Si deseas conocer más detalles sobre los productos y servicios que ofrece Nubank, S.A. Institución de Banca Múltiple, incluyendo términos, requisitos de contratación y comisiones, visita nuestro sitio web oficial https://nubank.com.mx/
