Qué Hacer Si Hiciste Clic en un Enlace Sospechoso

Es un error común: recibiste un mensaje de WhatsApp que parecía de tu banco, hiciste clic sin pensar, y ahora la página te pide datos. O tal vez ya ingresaste usuario y contraseña. Lo importante es que actúes inmediatamente. Cada minuto cuenta cuando se trata de proteger tus datos financieros.

En Colombia, el tiempo promedio entre el clic en un enlace de phishing y el primer movimiento fraudulento en la cuenta bancaria es de solo 12 minutos, según la Policía Cibernética. No hay tiempo que perder.

Paso 1: Cierra todo inmediatamente

Si todavía estás en la página sospechosa:

• No ingreses ningún dato — cierra la pestaña o la app inmediatamente
• No descargues nada — si empezó una descarga, cancélala
• No hagas clic en nada más dentro de la página
• Si te pidió permisos (cámara, ubicación, notificaciones), deniégalos todos

Paso 2: Cambia tus contraseñas

Si ingresaste alguna contraseña en la página sospechosa, cámbiala inmediatamente:

1. Empieza por tu email — es la llave de acceso a todas tus cuentas
2. Luego cambia la del banco — entra directamente por la app oficial o por la web oficial del banco
3. Cambia cualquier otra cuenta donde uses la misma contraseña
4. Usa contraseñas distintas para cada servicio

Si usas la misma contraseña en múltiples sitios (algo que no deberías hacer), cámbiala en TODOS. Los estafadores prueban las contraseñas robadas en múltiples plataformas automáticamente.

Paso 3: Activa autenticación de dos factores (2FA)

Si no tenías 2FA activado, actívalo ahora en todas tus cuentas importantes:

• Bancolombia: Clave dinámica ya funciona como 2FA
• Nequi: Activar validación biométrica + PIN
• Email: Google Authenticator o SMS
• Redes sociales: Configuración > Seguridad > 2FA

Paso 4: Contacta a tu banco inmediatamente

Si ingresaste datos bancarios, llama AHORA:

• Bancolombia: 018000931987
• Nequi: Chat en app > Ayuda > Seguridad > "Me estafaron"
• Davivienda: 018000556666
• BBVA: 018009116666
• Scotiabank: 01800955111

Diles: "Hice clic en un enlace de phishing y puede que hayan capturado mis datos". El banco puede bloquear transacciones sospechosas, congelar la cuenta temporalmente y emitir nuevas tarjetas.

Paso 5: Revisa tus cuentas y movimientos

Durante los días siguientes, revisa con detalle:

• Movimientos bancarios: Verifica cada transacción, incluso las pequeñas ($1.000-$5.000). Los estafadores hacen pruebas con montos mínimos antes de transferir grandes cantidades
• Email: Revisa la carpeta de enviados — si hay mensajes que no enviaste, tu cuenta fue comprometida
• Redes sociales: Verifica que no haya publicaciones o mensajes que no hiciste
• Suscriciones: Revisa si se crearon suscripciones a servicios que no reconoces

Paso 6: Reporta el phishing

Tu reporte puede ayudar a que otros no caigan en la misma trampa:

• Policía Cibernética: Línea 147 en Colombia o cai.policia.gov.co
• En WhatsApp: Selecciona el mensaje > Reportar spam
• En la página de phishing: Si tu navegador te ofrece reportar, hazlo
• A la marca suplantada: Bancolombia, Nequi, etc. tienen canales para reportar suplantación

También puedes verificar el enlace en Expandir.link para obtener un reporte detallado que puedes compartir con las autoridades o el banco.

Señales de que tu dispositivo fue infectado

Si además de hacer clic, descargaste algo o la página instaló algo:

• Batería se agota más rápido de lo normal
• Apps que no instalaste aparecen en tu teléfono
• El celular está más lento de lo habitual
• Recibes pop-ups o notificaciones extrañas
• Se activan funciones que no usaste (cámara, micrófono)

En este caso, haz un escaneo completo con tu antivirus y considera restaurar el dispositivo a configuración de fábrica como última opción.

Timeline: ¿Qué tan rápido actúan los estafadores?

El tiempo es crítico cuando haces clic en un enlace de phishing. Así actúan los estafadores:

• 0-5 minutos: Los datos ingresados (usuario, contraseña) son capturados en tiempo real y enviados a un servidor de los estafadores. Si la página tiene un keylogger (registrador de teclas), incluso lo que escribas sin enviar puede ser robado.
• 5-15 minutos: Si ingresaste datos bancarios, los estafadores intentan acceder a tu cuenta. Si tienen tu OTP (código de verificación por SMS), el acceso es inmediato y pueden transferir fondos en segundos.
• 15-30 minutos: Si no ingresaste datos, los estafadores pueden instalar cookies de seguimiento o malware ligero que monitoree tu actividad futura. A veces la infección no es inmediata sino diferida.
• 1-24 horas: Período de mayor riesgo. Si compartiste credenciales, los estafadores prueban esas mismas credenciales en otros servicios (Gmail, Facebook, Mercado Libre) — esto se llama "credential stuffing".
• 24-72 horas: Si capturaron datos de tarjeta, pueden comenzar a aparecer cargos pequeños de prueba antes de transacciones grandes. Muchas víctimas no detectan el fraude hasta que ven su extracto bancario.

La regla de las primeras 2 horas es clave: si actuás dentro de las primeras 2 horas después del clic, tenés más del 90% de probabilidad de evitar pérdidas financieras. Después de 24 horas, la probabilidad cae al 40%.

Qué hacer según el tipo de enlace en el que hiciste clic

Si era un enlace de phishing bancario (Bancolombia, Nequi, Daviplata)

Este es el escenario más peligroso. Si ingresaste cualquier dato bancario — usuario, contraseña, código SMS, número de tarjeta — el protocolo es urgente:

1. Llama al banco INMEDIATAMENTE. No uses la app, no envíes correos. El teléfono es más rápido para bloquear la cuenta.
2. Solicita bloqueo total de la cuenta y de todas las tarjetas asociadas.
3. Cambia todas las contraseñas desde OTRO dispositivo. Si ingresaste credenciales en la página falsa, tu dispositivo puede estar comprometido.
4. Solicita al banco que revise transferencias de los últimos 30 minutos y revierta las que sean posibles.
5. Presenta una denuncia formal ante la Policía Cibernética (línea 147) dentro de las primeras 24 horas.

Si era un enlace de phishing en redes sociales (Instagram, Facebook, TikTok)

Si hiciste clic en un enlace que parecía ser de Instagram o Facebook y luego ingresaste tus credenciales:

1. Intenta cambiar tu contraseña inmediatamente desde la app oficial (no desde el enlace)
2. Revisa la configuración de seguridad: ¿hay sesiones activas que no reconocés? Ciérralas todas
3. Activa la autenticación en dos pasos si no la tenías
4. Revisa tus mensajes directos y publicaciones: los estafadores suelen usar cuentas robadas para enviar spam a tus contactos
5. Notifica a tus seguidores que tu cuenta fue comprometida para que no caigan en enlaces enviados desde tu perfil

Si era un enlace de malware (descargó un archivo o APK)

Si al hacer clic se descargó automáticamente un archivo, especialmente un APK en Android o un ZIP en computadora:

1. No abras el archivo bajo ninguna circunstancia
2. Desconecta el dispositivo de internet (modo avión) inmediatamente
3. Ejecuta un escaneo completo con un antivirus (Windows Defender es suficiente en PC, Play Protect en Android)
4. Si encuentras malware, elimínalo y restaura el sistema a un punto anterior si es posible
5. Como último recurso, respalda solo archivos esenciales (documentos, fotos) y formatea el dispositivo

Cómo verificar si un enlace es malicioso DESPUÉS de haber hecho clic

Si ya hiciste clic pero no estás seguro de si la página era o no phishing, todavía podés verificarlo:

1. Copia la URL completa de la página donde aterrizaste (la barra de direcciones de tu navegador)
2. Pégala en Expandir.link para un análisis completo con 70+ antivirus
3. Revisa el score: si es menor a 50, la página es peligrosa
4. Compartí el reporte con tu banco o la policía como evidencia del fraude
5. Si el enlace era de WhatsApp, reportalo en la app para que sea bloqueado para otros usuarios

También podés verificar en VirusTotal o PhishTank para confirmar si la URL ya fue reportada como phishing por otros usuarios.

Prevención: Cómo evitar caer la próxima vez

• Verifica antes de clic: Usa Expandir.link para analizar cualquier enlace sospechoso
• No confíes en la urgencia: Los bancos no presionan por WhatsApp
• Revisa el remitente: Número desconocido = desconfía
• Mira el enlace antes de clic: Si ves .buzz, .clic, .top o typosquatting, es estafa
• Activa 2FA en todo: Es tu mejor defensa incluso si tu contraseña es robada