He hecho clic en un enlace de phishing. Esto es lo que pasa de verdad.

Primero, baja las pulsaciones

La mayoría de artículos sobre esto empiezan con una lista de catástrofes y te dejan peor de lo que llegaste. Vamos al revés, porque es lo que dicen los hechos:

Abrir un enlace, por sí solo, casi nunca compromete nada. Un navegador actualizado abre la página dentro de una caja aislada del resto del sistema. Lo que hace daño no es la visita: es lo que la página consigue que hagas después.

Así que la pregunta útil no es «¿he hecho clic?». Es «¿qué hice después de hacer clic?».

La escala: sitúate antes de hacer nada

De menos a más grave. Busca tu peldaño y actúa solo a partir de ahí:

• 1. Lo abriste y lo cerraste. No escribiste nada, no descargaste nada. Casi con total seguridad no ha pasado nada. Es el caso más común con diferencia.
• 2. Lo abriste en el móvil. Aún menos probable que pase algo: las aplicaciones del teléfono están más aisladas entre sí que los programas de un ordenador.
• 3. Te salió una descarga y no la abriste. Un fichero en la carpeta de descargas no hace nada mientras no lo ejecutes. Bórralo y sigue con tu vida.
• 4. Escribiste tu usuario y contraseña. Aquí empieza el problema de verdad, y es el escenario realmente frecuente. Ve a la sección correspondiente.
• 5. Descargaste un fichero Y lo abriste. Especialmente si era un .exe, un .msi, un .scr o un documento que te pidió «habilitar contenido». Esto es lo serio.
• 6. Aprobaste algo. Diste un código de verificación por teléfono, pulsaste «sí» en un aviso del móvil, o concediste permisos a una aplicación. Es el peldaño más alto, porque tu segundo factor deja de protegerte.

Fíjate en el salto: entre el 3 y el 4 no hay medio peldaño, hay un abismo. Todo lo anterior es ruido; a partir de ahí hay que actuar.

Por qué el clic solo casi nunca infecta

Merece la pena entenderlo, porque es lo que te va a evitar el pánico la próxima vez:

• La página se abre aislada. El navegador ejecuta el contenido de una web en un compartimento separado del sistema operativo.
• Descargar no es ejecutar. Que un fichero llegue a tu disco no significa que se haya puesto en marcha. Hace falta que lo abras tú.
• El sistema te avisa antes. Windows y macOS interponen una advertencia antes de ejecutar algo descargado y sin firmar.
• Y sobre todo: el phishing casi nunca busca infectarte. Busca que escribas. Es más barato y funciona mejor. La página falsa no es una trampa técnica, es un formulario.

La excepción que sí existe, y cuándo importa

Sería deshonesto rematar con un «no te preocupes» y ya. Existe la descarga automática: una página que aprovecha un fallo del navegador para instalar algo sin que toques nada.

Ahora bien, hay que decir lo que hace falta para que eso funcione, porque es justo lo que se omite: un navegador sin actualizar, y un fallo aún sin parchear. Con los navegadores actuales, que se actualizan solos y en silencio, es difícil y raro.

Traducido a algo accionable: si tu navegador está al día, este párrafo no va contigo. Si llevas meses ignorando el «reiniciar para actualizar», hazlo ahora y deja de leer un momento.

Si solo lo abriste y lo cerraste

Peldaños 1 a 3. Esto es todo lo que hay que hacer, y no es mucho:

• Cierra la pestaña y no vuelvas a ella. No hace falta borrar el historial ni «limpiar» nada.
• Borra el fichero descargado si lo hubo, sin abrirlo.
• Comprueba que el navegador está actualizado. Dos minutos, y cubre la excepción de arriba.
• No formatees, no cambies todas tus contraseñas y no compres nada. No hay motivo.
• Marca el mensaje como phishing en tu correo. Ayuda a que no le llegue al siguiente.

Y ya está. De verdad.

Si escribiste la contraseña: el orden importa

Peldaño 4, el frecuente. Aquí sí hay que moverse, y el orden no es el que parece:

• 1. Cambia la contraseña de esa cuenta, entrando por la aplicación oficial o escribiendo tú la dirección. Nunca desde el enlace del mensaje.
• 2. Cierra todas las sesiones abiertas. Esto es lo que casi nadie hace y lo que más importa: si se llevaron la cookie de sesión, siguen dentro aunque cambies la contraseña. Casi todos los servicios tienen un «cerrar sesión en todos los dispositivos».
• 3. Activa la verificación en dos pasos si no la tenías. Es lo que hace que la contraseña robada valga poco.
• 4. Cambia esa misma contraseña donde la repitieras. Si la usabas en tres sitios más, tienes cuatro problemas, no uno.
• 5. Si era la del correo, ve primero ahí. El correo es la llave maestra: con él se recuperan todas las demás. Tienes los pasos en esta guía.

El error habitual es hacer el 1 y saltarse el 2. Cambiar la contraseña sin cerrar sesiones deja la puerta igual de abierta, solo que ahora crees que la has cerrado.

Si descargaste y abriste un fichero

Peldaño 5. Lo único de toda esta guía que justifica preocuparse en serio:

• Desconecta el equipo de la red si sospechas de verdad. Corta la salida de datos mientras te organizas.
• Cambia las contraseñas desde OTRO dispositivo. Hacerlo desde el equipo sospechoso es regalar también las nuevas.
• Pasa un análisis completo, no rápido, con el antivirus del sistema, que ya llevas instalado.
• Asume que las contraseñas del navegador se han ido. Es lo primero que se lleva este tipo de programa, y no puede protegerlas: aquí se explica por qué.
• Si es un equipo del trabajo, avisa ya, aunque te dé apuro. Avisar tarde es lo que convierte un incidente en un desastre.

Las señales de que sí ha pasado algo

No las busques con lupa; si aparecen, se ven solas:

• Avisos de inicio de sesión desde sitios donde no has estado.
• Contactos que reciben mensajes tuyos que no has enviado.
• El móvil se queda sin cobertura de golpe y sin avería. Es la firma del duplicado de SIM.
• Reglas nuevas en tu correo que reenvían o archivan solas. Es lo primero que configura quien entra, para que no veas los avisos.
• Cargos pequeños y raros en la tarjeta. Se prueba con poco antes de ir a por lo grande.

Ese cuarto punto merece una mirada aunque estés en el peldaño 1: revisa las reglas de reenvío de tu correo. Es treinta segundos y es donde se esconde el problema silencioso.

Lo que no hay que hacer

• Formatear el ordenador «por si acaso». Desproporcionado en todos los casos menos el peldaño 5, y ni siquiera ahí es lo primero.
• Instalar tres antivirus más. Se estorban entre ellos. El del sistema, bien actualizado, basta.
• Volver a la página «a comprobar una cosa». No hay nada que comprobar.
• Contestar al mensaje para ver qué dicen. Confirma que tu dirección está viva y funciona.
• Cambiar cincuenta contraseñas a la vez y desde el mismo equipo. Ordena por importancia y hazlo desde uno limpio.

Lo que hay que llevarse

Que el clic es el desvío, no el choque. Casi todo el mundo que busca esto está en el peldaño 1 y no le ha pasado nada, y lo que necesita es que alguien se lo diga con argumentos en vez de venderle miedo.

Y si estás más arriba en la escala, lo importante es el orden: cerrar sesiones antes que casi nada, y cambiar contraseñas desde un dispositivo distinto. Con eso resuelto, lo demás es papeleo.

Una última cosa, para la próxima: si tenías activada la verificación en dos pasos en la cuenta afectada, la contraseña que hayas escrito vale bastante poco. Es la única medida de esta guía que trabaja por ti antes de que ocurra nada.