En resumen: esta guía es para quien recibe enlaces por SMS, WhatsApp o correo y no quiere decidir a ciegas. Lo que consigues: leer una dirección como la lee un estafador, ver adónde lleva un enlace acortado sin pulsarlo y pasarlo por Google Safe Browsing y VirusTotal, sabiendo qué te dicen esas herramientas y, sobre todo, qué no te dicen.
La comprobación más útil no necesita ninguna herramienta: es mirar la dirección completa y localizar el dominio real. Las herramientas vienen después, y sirven para confirmar una sospecha, no para darte permiso. Un enlace que ningún verificador marca como peligroso puede ser simplemente un enlace que nadie ha denunciado todavía.
¿Qué hay que mirar en la propia dirección?
Lo primero es el dominio, la parte que va justo antes de la primera barra. Todo lo que hay a su izquierda son subdominios, y el dueño del dominio puede escribir ahí lo que quiera: en una dirección como tubanco.es.verificacion-cliente.com, el dominio que manda es verificacion-cliente.com, no tubanco.es.
Ese truco funciona porque leemos de izquierda a derecha y nos quedamos con lo primero que reconocemos. Las variantes habituales son tres:
- Subdominios disfrazados, como el ejemplo anterior.
- Dominios parecidos: una letra cambiada, un guion añadido, otra terminación (
.comen lugar de.es). - Caracteres de otros alfabetos que parecen latinos. Es lo que la documentación de Chromium llama ataque homógrafo: la «a» latina y la «а» cirílica son casi idénticas, así que alguien podría registrar un dominio que en pantalla se lea igual que el original.
Contra lo último, los navegadores tienen una defensa propia. Según la política de dominios internacionalizados de Chrome, cuando un nombre mezcla alfabetos de forma sospechosa o imita a un dominio muy visitado, el navegador lo muestra en punycode, una forma codificada que empieza por xn--. Chrome añade además una página de advertencia completa cuando detecta direcciones que se parecen a sitios populares o a otros que visitas a menudo. Si ves un xn-- donde esperabas el nombre de tu banco, ya tienes la respuesta.
Las señales del propio mensaje (urgencia, amenazas, premios) están explicadas en nuestra guía sobre cómo detectar un phishing por las señales que delatan cada estafa. Aquí nos quedamos con el enlace.
¿Cómo ver adónde lleva un enlace acortado sin pulsarlo?
La forma fiable es usar el verificador del propio acortador. Bitly tiene un Bitly Link Checker: pegas el enlace corto y te muestra la dirección de destino debajo, según su página de ayuda. Está también en su aplicación móvil y no exige iniciar sesión.
Bitly explica además que bloquea los enlaces sospechosos y muestra una página de aviso en lugar del destino. Entre los motivos que cita para investigar un enlace están que alguien lo haya denunciado, que detecte contenido malicioso, que la dirección pueda llevar a una falsificación de otra web o que el destino se esconda detrás de otro acortador. Ese último motivo merece retenerse: si para el propio Bitly un enlace corto que lleva a otro enlace corto ya es sospechoso, para ti también debería serlo.
En el móvil hay un atajo que no requiere copiar nada. En el iPhone, Apple indica en su manual de Safari que si mantienes pulsado un enlace obtienes una previsualización sin abrir la página; para cerrarla, basta con tocar fuera. En Android, Chrome incorporó hace años una opción parecida al mantener pulsado un enlace, que ya contamos en este artículo sobre cómo previsualizar enlaces de Google Chrome en móviles Android; el nombre exacto de la opción puede variar según la versión.
Lo que buscas en esa previsualización es la dirección, no el aspecto. Una página falsa bien hecha tiene el mismo logotipo y los mismos colores que la original; lo que no puede copiar es el dominio. Y lo mismo vale para los códigos QR, que no son más que enlaces impresos: en la guía sobre códigos QR fraudulentos en parquímetros, multas falsas y correos está el detalle.
Google Safe Browsing y VirusTotal: qué te dicen y qué no
Son las dos comprobaciones gratuitas con más respaldo, y funcionan de forma distinta.
Google Safe Browsing es el sistema que está detrás de los avisos rojos de Chrome. Google lo lanzó en 2005 y asegura que protege cada día a más de cinco mil millones de dispositivos mostrando advertencias antes de entrar en sitios peligrosos o de descargar archivos dañinos. También funciona en Gmail, en el buscador y en Android. Para consultarlo a mano, Google ofrece la herramienta de estado del sitio dentro de su Transparency Report: pegas la dirección y te dice si Safe Browsing la ha catalogado como peligrosa en ese momento.
VirusTotal es un agregador. Según su documentación, revisa cada elemento con más de 70 antivirus y servicios de listas de bloqueo, y te muestra el veredicto de cada uno por separado: la mayoría distinguen entre sitios de malware, de phishing o simplemente sospechosos. Es gratuito para uso no comercial.
Aquí hay una letra pequeña que casi nadie lee. VirusTotal explica que los resultados se comparten con sus socios de seguridad, que los informes son visibles para su comunidad y que el contenido de lo que se envía puede compartirse con sus clientes de pago. En la práctica, no pegues ahí enlaces que contengan datos tuyos: un enlace de restablecimiento de contraseña, el de un documento compartido o cualquier dirección con tu nombre, tu correo o un código de acceso dentro. Para esos casos, la comprobación del dominio que hemos visto arriba es la única que no expone nada.
¿Y si las dos herramientas dicen que el enlace está limpio? Que no lo ha marcado nadie, no que sea seguro. Según su documentación, VirusTotal analiza las direcciones consultando las bases de datos de los servicios que colaboran con él, y un enlace aparece como peligroso en cuanto alguno lo añade a su lista de bloqueo. Mi lectura es que un dominio registrado ayer puede no estar todavía en ninguna, y ese margen es el que puede aprovechar una campaña de phishing. Un resultado limpio rebaja la sospecha; no la anula si el mensaje que acompaña al enlace ya era sospechoso.
Mi lectura es que el orden importa más que la herramienta. Primero el contexto: si no esperabas ese mensaje y te pide actuar rápido, la verificación más segura es no abrir el enlace y entrar por tu cuenta, escribiendo la dirección o usando la aplicación oficial. Después, la dirección. Y solo al final, Safe Browsing o VirusTotal como segunda opinión.
Los verificadores tienen un efecto psicológico peligroso: convierten una duda en un semáforo verde. Si un banco, una empresa de paquetería o un organismo te escribe de verdad, el trámite también estará esperándote cuando entres por la puerta principal. Un enlace que solo funciona si pulsas ahora mismo es, casi siempre, el problema.