Di mis datos en un link falso: qué hago
¿Caíste en phishing? Qué hacer paso a paso si diste datos de tu banco, correo o SAT: bloquear, cambiar contraseñas, CONDUSEF y Policía Cibernética.
Diste clic, la página se veía igual a la de tu banco y escribiste tus datos. Minutos después algo no te cuadró. Si estás buscando "di mis datos en un link falso, ¿qué hago?", respira: todavía puedes hacer mucho, y el orden importa. Esta guía te dice qué hacer primero según lo que entregaste.
La regla general es simple: entre más rápido actúes, menos daño. Los delincuentes que lanzan la carnada suelen usar los datos en cuestión de minutos u horas, así que no esperes a "ver si pasa algo".
¿Qué hago si di los datos de mi tarjeta o de mi banca en línea?
Esto incluye el número de tarjeta, la fecha de vencimiento, el código de seguridad (CVV), tu usuario y contraseña de la app, o una clave dinámica del token (NetKey, token móvil o el código que te llega por SMS).
- Llama a tu banco y bloquea. Marca al número del reverso de tu tarjeta. Pide que bloqueen la tarjeta y tu acceso a banca en línea, y diles que fuiste víctima de un sitio falso. Anota el número de folio, la fecha, la hora y el nombre de quien te atendió.
- Revisa tus movimientos. Entra a la app oficial (no a un enlace) y busca cargos, transferencias o altas de cuentas nuevas que no reconozcas.
- Levanta la aclaración. Si ya hay cargos que no hiciste, pide una aclaración en sucursal o con la Unidad Especializada de Atención a Usuarios (UNE) de tu banco. Según CONDUSEF, tienes hasta 90 días naturales para hacerlo y el banco tiene hasta 45 días para responderte. Guarda el folio que te den.
- Cambia tu contraseña de banca en línea. Hazlo desde la app oficial o cuando el banco te reactive el acceso. Si usabas esa misma contraseña en otros sitios, cámbiala también ahí.
- Activa alertas. Configura notificaciones de cada movimiento para enterarte al instante si algo vuelve a pasar.
Aunque tú hayas escrito los datos, levanta la aclaración de todos modos y explica lo que pasó. Tu evidencia (más abajo te decimos cuál) le sirve al banco para investigar.
¿Qué pasa si el banco no me resuelve?
Si el banco no te responde en el plazo o la respuesta no te convence, puedes presentar una reclamación ante la CONDUSEF, la Comisión que defiende a los usuarios de servicios financieros. Ellos integran un expediente y te dan un folio para darle seguimiento con el banco. También te orientan si sospechas robo de identidad, por ejemplo si alguien abrió créditos a tu nombre.
Puedes llamar al Centro de Contacto de CONDUSEF al 55 53 400 999 o empezar en condusef.gob.mx. Lleva tu folio de aclaración del banco: es lo primero que te van a pedir.
¿Qué hago si di la contraseña de mi correo?
Tu correo es la llave maestra: con él se pueden recuperar las contraseñas de casi todas tus demás cuentas. Por eso es urgente aunque "solo" haya sido el correo.
- Cambia la contraseña ya. Entra escribiendo tú la dirección de tu proveedor de correo (Gmail, Outlook, etc.) y pon una contraseña nueva, larga y que no uses en ningún otro lado.
- Cierra las sesiones abiertas. En la configuración de seguridad de tu cuenta busca la lista de dispositivos o sesiones activas y cierra las que no reconozcas, o todas.
- Activa la verificación en dos pasos. Así, aunque alguien tenga tu contraseña, necesitará además un código de tu celular.
- Revisa reglas y reenvíos. Un truco común es dejar una regla que reenvía tus correos a otra dirección. Revisa filtros, reenvíos y el correo de recuperación, y borra lo que no hayas puesto tú.
- Cambia las contraseñas que dependen de ese correo. Empieza por banco, redes sociales y tiendas en línea donde tengas tarjetas guardadas.
Así se ve el anzuelo que roba contraseñas de correo
Si no sabes en qué caíste, compáralo con este. Llegó a una empresa mexicana a finales de agosto de 2026 y ella se lo reenvió a Dory. Lo reconstruimos tal como llegó, con los datos de la empresa ocultos:
WebmailEstimada area@[empresa].com.mx,
Para continuar usando suarea@[empresa].com.mx Por favor, verifique que este es su correo electrónico DIRECCIÓN.
Continúe la verificación aquí
La solicitud de autenticación caducará el 8/31/2026 9:22:42 a.m..
Este enlace caducará 8/31/2026 9:22:42 a.m., 2026. Podrías perder el acceso a tu buzón de correo si no se toman medidas de inmediato.
Para obtener ayuda, contáctenos a través de nuestro Centro de ayuda.
cPanel, L.L.C, 2550 North Loop West, Suite 4006, Houston, TX 77092, USA.
Al pasar el cursor, el botón dice https://cpanel.com/verification, pero lleva a: anigneyhtsrl.vu/…/….html#area@[empresa].com.mx
- El enlace ya trae tu correo. Al final de la dirección viene pegado
#area@[empresa].com.mx, para que la página falsa te muestre tu correo ya escrito y solo te pida la contraseña. Es la marca de los kits hechos para robar contraseñas. - Dominio raro. El botón lleva a un sitio
.vu(la terminación de Vanuatu) con un nombre sin sentido,anigneyhtsrl.vu. - Prisa. Te pone fecha y hora límite y te amenaza con perder tu buzón.
- Patrón de phishing de alta confianza: las señales juntas coinciden con campañas conocidas.
Y lo que puedes ver tú: el nombre del remitente dice "cPanel" más el dominio de tu empresa, pero la dirección real es de un sitio que no tiene nada que ver. Te saluda con tu dirección de correo en vez de tu nombre, escribe "su" pegado a tu correo (suarea@), dice "su correo electrónico DIRECCIÓN" como traducción automática y usa fechas al estilo de Estados Unidos (mes/día). Y el botón miente: al pasar el cursor muestra cpanel.com, pero el enlace real va a otro lado. Si escribiste tu contraseña en una página así, sigue los pasos de arriba.
¿Qué hago si di mi e.firma o mi contraseña del SAT?
Los correos falsos del SAT son de los más comunes en México (te contamos cómo se ven en esta guía sobre el correo falso del SAT). Si caíste en uno, distingue qué entregaste:
- La contraseña del portal del SAT: cámbiala cuanto antes desde el portal oficial, escribiendo tú la dirección
sat.gob.mx. - Tu e.firma (los archivos .key y .cer y su contraseña): esto es más delicado, porque con ella se pueden hacer trámites a tu nombre. El SAT permite revocar el certificado de tu e.firma: en línea si todavía tienes los archivos y la contraseña, o en una oficina del SAT con cita previa (portal del SAT, SAT Móvil o gob.mx) y tu identificación oficial. Después tramitas una nueva.
Mientras tanto, revisa en el portal si aparecen declaraciones, facturas o solicitudes de devolución que tú no hiciste.
¿Y si ya pagué una cantidad pequeña?
Muchas estafas piden poquito: 25, 30 o 50 pesos por un supuesto reenvío de paquete o una multa (lo explicamos en mensajes falsos de paquetería y en multas vehiculares falsas). El problema no son los 30 pesos: es que capturaste los datos completos de tu tarjeta.
Trátalo igual que si hubieras dado los datos de tu banco: llama, bloquea la tarjeta, pide una reposición y revisa tus movimientos de los próximos días. Es común que primero hagan un cargo chico de prueba y después uno grande.
¿Dónde denuncio un fraude en línea?
Además del banco y la CONDUSEF, puedes reportarlo a la Policía Cibernética. La Guardia Nacional y la SSPC indican que puedes llamar al 088, donde te orientan para presentar tu denuncia, o buscar la unidad de Policía Cibernética de tu estado en la Ciberguía de la SSPC. Si hubo pérdida de dinero o robo de identidad, la denuncia formal ante el Ministerio Público puede ser necesaria para tu aclaración.
Guarda la evidencia antes de borrar nada
Antes de eliminar el mensaje, junta todo esto en una carpeta:
- El correo o SMS original (no lo borres; si es correo, guárdalo completo).
- Capturas de pantalla de la página falsa, con la dirección visible si aún la tienes.
- Capturas de tus movimientos bancarios con los cargos que no reconoces.
- Folios del banco, de la CONDUSEF y de la denuncia, con fecha y hora.
Avisa a tus contactos
Si te robaron el correo o una red social, los delincuentes pueden escribirle a tu familia o compañeros desde tu cuenta para pedir dinero o mandarles el mismo anzuelo. Avísales que no abran enlaces ni respondan peticiones "tuyas" hasta que recuperes la cuenta.
¿Es mi culpa haber caído?
No. Estas campañas están hechas por gente que se dedica a esto y que copia logos, colores y tonos de voz de bancos y dependencias reales. Le pasa a personas jóvenes, mayores, con estudios y sin ellos. Lo importante es lo que haces después, y si llegaste hasta aquí, ya vas por buen camino.
Fuentes: CONDUSEF, ¿Cargos no reconocidos?, CONDUSEF, Centro de Contacto (consultado octubre 2026), Guardia Nacional, 088 Atención Ciudadana, SSPC, Ciberguía, SAT, Revoca tu certificado de e.firma.
