Correos falsos en 2026: cómo reconocerlos ahora que ya no tienen faltas de ortografía

Durante años, el consejo para detectar un correo falso era fijarse en la ortografía: el mensaje del «banco» con tildes fuera de lugar y frases traducidas a la fuerza se reconocía a simple vista. Ese consejo ya no protege. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) advirtió en enero de 2024 que la inteligencia artificial generativa permite a los atacantes escribir mensajes sin los errores de traducción, ortografía y gramática que antes los delataban.

Hoy un correo fraudulento puede estar bien escrito, llevar el logo correcto y enlazar a una página con candado. Hay que buscar otras señales.

Lo que ya no sirve para detectarlos

• La ortografía. Un texto impecable no prueba nada.
• El candado del navegador. Indica que la conexión está cifrada, no que la página sea legítima. En abril de 2026, una alerta del Centro Nacional de Seguridad Digital de la PCM describió una campaña dirigida a ejecutivos con páginas falsas de Microsoft 365 que tenían certificados de seguridad válidos y que robaban la sesión aunque la cuenta tuviera doble verificación. La alerta la calificó de riesgo crítico para las entidades públicas.
• Que el enlace lleve a un servicio conocido. Otra alerta de 2025 describió engaños que pasaban por Google Drive o Dropbox para superar los filtros del correo, e incluso mostraban un CAPTCHA antes de la página falsa.

Las señales que siguen funcionando

Los engaños bien escritos siguen apoyándose en lo mismo: hacer que la persona actúe antes de pensar. El NCSC propone revisar cinco cosas. Si el mensaje invoca una autoridad (un juzgado, la SUNAT, la gerencia). Si mete prisa («su cuenta será bloqueada hoy»). Si apela a una emoción, como el miedo o la curiosidad. Si ofrece algo escaso por poco tiempo. Y si se aprovecha de algo actual, como la temporada de impuestos.

A eso se suman señales técnicas que no dependen de la redacción:

• Lo que va después de la arroba. En 2025 circuló una falsa «resolución judicial» de la Policía enviada desde una dirección que empezaba con «pnp.04.gob.pe» pero terminaba en un dominio registrado en el extranjero. Lo que identifica al remitente es lo que viene después de la @, no lo que va antes.
• Dominios parecidos. Una letra cambiada, un guion de más o una terminación distinta: «kaywasi-pe.com» no es «kaywasi.com».
• El destino real del enlace. En la computadora, pasa el mouse sobre el enlace sin hacer clic y mira la dirección que aparece. En el celular, mantén el dedo presionado.
• Un pedido de datos, de pago o de cambio de cuenta. Ninguna entidad seria pide contraseñas por correo, y un cambio de cuenta bancaria siempre merece una verificación.

Las modalidades que más circulan

Notificaciones falsas de autoridades. Resoluciones judiciales, citaciones policiales o avisos tributarios con un adjunto o un enlace. La SUNAT recuerda que su único canal oficial de notificaciones es el Buzón Electrónico de SUNAT Operaciones en Línea: un correo que dice traer una notificación de cobranza no es la forma en que la SUNAT notifica.

La factura del proveedor con una cuenta nueva. El atacante entra al correo de un proveedor o registra un dominio casi idéntico, a veces lee las conversaciones durante semanas y, en el momento justo, envía una factura real con un número de cuenta distinto. Según el FBI, este fraude acumuló más de 300,000 incidentes y USD 55,500 millones expuestos en el mundo entre 2013 y 2023. La defensa es sencilla: confirmar todo cambio de cuenta por un canal distinto del correo, llamando a un número que ya tenías.

El robo de WhatsApp. Un contacto cuya cuenta ya fue tomada envía un enlace a una página falsa de Meta, y la víctima termina vinculando su WhatsApp al equipo del atacante. Conviene revisar de vez en cuando la sección de dispositivos vinculados y activar la verificación en dos pasos de la aplicación.

Voces y videos falsos. El FBI alertó en diciembre de 2024 sobre el uso de inteligencia artificial para clonar voces y crear videos de ejecutivos que piden transferencias urgentes. La recomendación es colgar y devolver la llamada a un número conocido, y acordar en la familia o en el equipo una palabra secreta para los pedidos urgentes.

La regla que más protege

Si un mensaje pide algo importante, verifica por otro canal, usando datos de contacto que ya tenías y no los que trae el mensaje. Es la única recomendación que funciona igual con un correo mal escrito, con uno perfecto y con una llamada que suena exactamente como tu jefe.

Qué hacer si ya hiciste clic

1. Avisa de inmediato a quien administra los sistemas de tu organización. Mientras antes se sepa, menos daño hay.
2. Cambia la contraseña de la cuenta afectada desde otro equipo y cierra las sesiones abiertas.
3. Revisa si aparecieron reglas de reenvío en tu correo: los atacantes suelen crearlas para seguir leyendo los mensajes.
4. Si fue en WhatsApp, revisa los dispositivos vinculados y desvincula los que no reconozcas.
5. Guarda las evidencias sin borrar los mensajes y, si hubo pérdida de dinero o suplantación, presenta la denuncia ante la División de Investigación de Delitos de Alta Tecnología de la Policía (DIVINDAT).

En una organización, la mejor protección combina tres cosas: doble verificación en las cuentas, un procedimiento escrito para confirmar los cambios de cuenta bancaria y un personal que sabe a quién avisar cuando algo le parece raro. Ninguna de las tres depende de que el atacante cometa un error de ortografía.