Cómo y dónde denunciar un phishing en España
La respuesta corta
Si solo has recibido el phishing, repórtalo a INCIBE-CERT con el correo y sus cabeceras para que puedan actuar contra la campaña. Si has perdido dinero o han usado tus datos, llama primero a tu banco y después denúncialo en la Policía Nacional o la Guardia Civil, en comisaría o por internet. La línea 017 de INCIBE te orienta gratis sobre qué hacer en cada caso.
Antonio Sivera · Director de Ibérica Digital PartnerActualizado el · 4 min de lectura
Recibir un phishing es casi inevitable; lo que marca la diferencia es qué haces después. En España hay varias puertas y cada una sirve para una cosa: reportar la campaña para que la paren, pedir ayuda para saber qué hacer y denunciar si ha habido un daño. Esta es la guía rápida, con los canales oficiales y comprobados.
Primero: ¿has perdido algo?
- Solo has recibido el correo o el SMS y no has pulsado ni escrito nada: repórtalo y bórralo (punto 1).
- Has escrito una contraseña: cámbiala ya, activa la verificación en dos pasos y repórtalo.
- Has dado datos bancarios o te han quitado dinero: llama a tu banco antes que a nadie y después denúncialo (puntos 3 y 4).
1. Reportarlo a INCIBE-CERT
INCIBE (el Instituto Nacional de Ciberseguridad) tiene un equipo de respuesta, INCIBE-CERT, que recibe los reportes de fraudes electrónicos de empresas y de particulares. Con tu aviso pueden actuar contra la campaña, por ejemplo pidiendo que se retire la web falsa.
Según INCIBE, al reportar un fraude hay que aportar:
- una descripción detallada del incidente y tus datos de contacto;
- el correo sospechoso junto con sus cabeceras y sus adjuntos, o la evidencia del fraude (el mensaje reenviado, una captura, la dirección de la web).
Tienes el canal para empresas en Reporta tu incidente y el de particulares en Reporte de fraude. Un aviso que da el propio INCIBE: no abras los adjuntos ni los enlaces del correo mientras lo reportas.
Para sacar las cabeceras: en Gmail, los tres puntos › Mostrar original; en Outlook, Archivo › Propiedades o Ver origen del mensaje.
2. Pedir ayuda: el 017
Si no sabes qué hacer, INCIBE tiene una línea gratuita de ayuda en ciberseguridad, el 017, y canales de mensajería en WhatsApp (900 116 117) y Telegram (@INCIBE017). Te orientan sobre los pasos según lo que haya pasado, tanto si eres una empresa como un particular.
3. Avisar al banco y a la empresa suplantada
- Al banco, si has dado datos o ves cargos que no reconoces: llama al número oficial (el de la tarjeta o el de su web), no al del mensaje. Pide que bloqueen el acceso y te den un justificante de los cargos, que te pedirán para la denuncia.
- A la empresa o el organismo suplantado: muchos tienen una dirección o un formulario para reportar fraudes que usan su nombre. Búscalo en su web oficial.
- Dentro de tu empresa: avisa a quien lleve la informática, que puede bloquear el remitente y avisar al resto.
4. Denunciar en la Policía Nacional o la Guardia Civil
Si ha habido una estafa, un cargo fraudulento o un uso de tus datos, presenta denuncia. Tienes dos opciones:
- En persona, en cualquier comisaría de la Policía Nacional o cuartel de la Guardia Civil.
- Por internet:
- La Guardia Civil tiene una denuncia telemática con firma electrónica que admite, entre otros, las estafas y cargos fraudulentos informáticos, y que no necesita ratificarse después.
- La Policía Nacional tiene una Oficina Virtual de Denuncias. La denuncia hay que firmarla luego en la comisaría que elijas, lo antes posible y nunca más tarde de 72 horas.
Lleva o adjunta todo lo que tengas: correos con sus cabeceras, SMS, direcciones de las webs, justificantes del banco y capturas.
5. Si se han visto afectados datos personales
Si el phishing ha dado acceso a datos personales de clientes o empleados (por ejemplo, entraron en un buzón de la empresa), además puede ser una brecha de seguridad. INCIBE recuerda que, en ese caso, el responsable del tratamiento tiene que notificarlo a la autoridad de control (en España, la Agencia Española de Protección de Datos) antes de 72 horas. Consúltalo con quien lleve la protección de datos en tu empresa.
Lo que no hay que hacer
- Responder al estafador o intentar «pillarle».
- Borrar el correo antes de haberlo reportado o denunciado.
- Esperar a ver si pasa algo: con el banco, los primeros minutos importan.
Y después: que no vuelva a llegar
Cada phishing que llega a la bandeja es una oportunidad para que alguien se equivoque. Revisa cómo está protegido tu dominio con el comprobador gratuito y repasa con tu equipo cómo saber si un correo es falso y los ejemplos de phishing más habituales.
Preguntas frecuentes
¿Merece la pena denunciar un phishing si no he perdido dinero?
Sí, pero en este caso lo útil es reportarlo, no denunciarlo: enviarlo a INCIBE-CERT y a la empresa suplantada ayuda a que bloqueen la web falsa y avisen a otros. La denuncia en la Policía o la Guardia Civil tiene sentido sobre todo cuando ha habido un daño: dinero, datos o una cuenta robada.
¿Puedo denunciar por internet?
Sí. La Guardia Civil tiene una denuncia telemática, con firma electrónica, que admite estafas y cargos fraudulentos y no necesita ratificarse. La Policía Nacional tiene una Oficina Virtual de Denuncias, pero la denuncia hay que firmarla después en la comisaría que elijas en un plazo máximo de 72 horas.
¿Qué pruebas tengo que guardar?
El correo original con sus cabeceras (no solo una captura), los SMS, las direcciones de las webs, los justificantes del banco con los cargos y cualquier conversación con el estafador. No borres nada hasta haber denunciado.