He hecho clic en un enlace de phishing en el móvil: ¿qué hago ahora mismo?

Respuesta rápida: si solo abriste la página, ciérrala y no escribas nada; el riesgo es bajo, pero no es cero. Si introdujiste una contraseña, cámbiala desde otro dispositivo y activa la verificación en dos pasos. Si diste datos de tu tarjeta o de tu banco, llama ya a tu banco. Si instalaste algo o aprobaste un perfil, elimínalo y revisa tus cuentas.

No hace falta que te alarmes ni que lo resuelvas todo de golpe. La mayoría de las personas que tocan un enlace fraudulento solo llegan a una página falsa. Lo que importa es lo que pasó después de tocar. Esta guía te coloca en una de cinco situaciones y te da los pasos por orden, para iPhone y para Android.

Encuentra tu situación en 30 segundos

Qué pasó después de tocar el enlace	Urgencia (nuestra valoración aproximada)	Haz esto primero	Después
Solo abrí la página y no escribí nada	Baja	Cierra la página y no respondas	Denuncia el mensaje y ten cuidado con los siguientes
Escribí una contraseña o un código	Alta	Cambia esa contraseña desde otro dispositivo	Activa la verificación en dos pasos y revisa la actividad de inicio de sesión
Escribí los datos de mi tarjeta o de mi banco	Urgente	Llama a tu banco o al emisor de la tarjeta	Pide una tarjeta nueva y vigila los movimientos
Descargué un archivo o instalé una app	Alta	No lo abras; desinstálalo	Busca apps desconocidas, actualiza y cambia contraseñas
Aprobé un permiso, un perfil o un ajuste	Alta	Elimina el perfil o el permiso	Revisa tus cuentas y dispositivos

La columna de urgencia es una clasificación orientativa nuestra, no una puntuación oficial. Si dudas entre dos filas, sigue la más urgente. Sigue en orden los pasos de tu fila hasta terminarlos.

Primero, en todos los casos

1. Cierra la página. Cierra la pestaña o la app que la abrió. No toques botones, ventanas emergentes ni avisos de «verificar».
2. No respondas al mensaje, ni siquiera para decir «baja». El INCIBE aconseja no responder ni hacer clic en los enlaces de un SMS sospechoso.
3. Guarda el mensaje por ahora. Apunta el número del remitente: te servirá para denunciar la estafa. Bórralo cuando lo hayas denunciado.
4. No toques tus cuentas hasta saber en qué situación estás. Después, sigue la fila que te corresponda en la tabla.

Si solo abriste la página

Normalmente cargar una página no causa daños, pero no lo des por hecho. El INCIBE advierte de que los enlaces sospechosos pueden provocar la infección del dispositivo con malware, y el NCSC (el organismo británico de ciberseguridad) añade que los navegadores bloquean muchas webs de phishing conocidas, aunque en el móvil eso no siempre ocurre.

Haz esto:

1. Revisa tus descargas y la pantalla de inicio o la lista de apps. ¿Se ha descargado o instalado algo? Si es así, ve a la sección de descargas e instalaciones.
2. Comprueba que el móvil está actualizado. En iPhone: Ajustes > General > Actualización de Software. En Android: Ajustes > Sistema > Actualizaciones de software; en versiones recientes, las actualizaciones de seguridad están en Ajustes > Seguridad y privacidad > Sistema y actualizaciones. Los nombres de los menús varían según el fabricante.
3. Denuncia el mensaje (mira la sección de denuncias) y bórralo.
4. Espera más mensajes fraudulentos. Si alguno te mete prisa, te pide pagar o «confirmar» algo, es la misma estafa.

Nuestra guía sobre cómo detectar enlaces sospechosos antes de hacer clic (en inglés) explica cómo leer la dirección real de un enlace, y cómo frenar las llamadas spam en iPhone (en inglés) trata las llamadas que suelen llegar después de un SMS fraudulento.

Si escribiste una contraseña o un código

Da esa contraseña por pública. Cuanto antes la cambies, menos tiempo tendrá el estafador para usarla.

1. Cambia la contraseña en la web o app oficial. Escribe tú mismo la dirección o usa la app oficial, nunca el enlace del mensaje. Si puedes, empieza desde otro dispositivo. Es consejo nuestro: si se ha instalado algo en tu móvil, otro dispositivo es más seguro.
2. Cámbiala en todos los sitios donde la repitas. El NCSC recomienda cambiar la contraseña de cualquier cuenta que use la misma. Si el servicio ofrece passkeys, puedes usarlas.
3. Activa la verificación en dos pasos (también llamada autenticación de dos factores). Así, una contraseña robada no basta para entrar.
4. Revisa la actividad de inicio de sesión de la cuenta con los pasos de abajo.
5. No compartas nunca un código de verificación. Si un mensaje o una llamada te pide el código que acabas de recibir, es una estafa.

Cuenta de Apple en el iPhone

Apple indica que, si crees que has introducido tu contraseña en una web fraudulenta, debes cambiar de inmediato la contraseña de tu cuenta de Apple y asegurarte de que la autenticación de doble factor esté activada.

1. Abre Ajustes, toca tu nombre, luego Inicio de sesión y seguridad y después Cambiar contraseña.
2. Si tienes otros dispositivos con la sesión iniciada, toca Remove Other Devices (Eliminar otros dispositivos) para que tengan que iniciar sesión de nuevo.
3. De vuelta en Ajustes, toca tu nombre y desplázate hasta la lista de dispositivos. Toca el que no reconozcas y luego Eliminar de la cuenta.

Cuenta de Google en Android

1. Ve a tu cuenta de Google, toca Seguridad e inicio de sesión y, en «Actividad reciente relacionada con la seguridad», elige Revisar actividad relacionada con la seguridad. Si ves algo que no reconoces, selecciona No, no he sido yo.
2. Toca Tus dispositivos y luego Gestionar dispositivos. Si hay alguno que no reconoces, selecciona ¿No reconoces un dispositivo? y sigue los pasos.
3. Cambia la contraseña y activa la verificación en dos pasos.
4. Si ya no puedes iniciar sesión, usa la página de recuperación de la cuenta de Google.

En otras cuentas (correo, redes sociales, tiendas), busca «seguridad», «actividad de inicio de sesión» o «dispositivos» en los ajustes de la cuenta.

Si escribiste los datos de tu tarjeta o de tu banco

1. Llama a tu banco o al emisor de la tarjeta ahora mismo. Usa el teléfono que figura en tu tarjeta o en la app oficial de tu banco, nunca un número que venga en el mensaje. Pide que bloqueen la tarjeta y cualquier pago que no hayas hecho. El INCIBE aconseja contactar con el banco lo antes posible, y la Guardia Civil recomienda bloquear o anular la tarjeta cuanto antes.
2. Pide una tarjeta nueva y revisa tus últimos movimientos uno por uno por si hay algo que no reconoces.
3. Cambia la contraseña de tu banca online desde otro dispositivo y activa cualquier paso de verificación adicional que ofrezca tu banco.
4. Si perdiste dinero o usaron tus datos, denúncialo: puedes hacerlo en la Policía Nacional (Oficina Virtual de Denuncias) o con la denuncia telemática de la Guardia Civil. Los detalles están en la sección de denuncias.
5. Si necesitas hablar con alguien, el 017 del INCIBE es gratuito, confidencial y atiende todos los días de 8:00 a 23:00.

Si descargaste o instalaste algo

En esta situación puede estar afectado el propio móvil, así que ve despacio y por orden.

1. No abras el archivo ni la app. Si ya está abierta, ciérrala.
2. Corta la conexión si no puedes eliminarla enseguida. Desactivar el Wi-Fi y los datos móviles impide que una app hable con nadie mientras trabajas. Es una medida de sentido común, no algo que exijan las fuentes citadas.
3. Elimínala, con los pasos de tu móvil.
4. Actualiza el móvil y cambia tus contraseñas desde otro dispositivo. Empieza por el correo y el banco.
5. Revisa tus cuentas con los pasos de la sección de contraseñas.

iPhone

Apple recomienda instalar software solo desde la App Store o directamente desde el desarrollador, y avisa de las apps que piden instalar perfiles de configuración, que luego pueden controlar tu dispositivo.

1. Desliza hacia la izquierda pasando todas las páginas de la pantalla de inicio para llegar a la biblioteca de apps y toca el campo de búsqueda. Verás una lista alfabética de todas las apps.
2. Mantén pulsada la app que no reconozcas y toca Eliminar app.
3. Reinicia el móvil.

Android

Google empieza su guía para eliminar software no seguro por Google Play Protect.

1. Abre Play Store, toca el icono de tu perfil, luego Play Protect y Ajustes, y comprueba que Analizar aplicaciones con Play Protect está activado. Si has instalado apps de fuera de Play Store, Google sugiere activar Mejorar la detección de aplicaciones dañinas. Después, haz un análisis.
2. Ve a Ajustes > Aplicaciones (en algunos móviles, Aplicaciones y notificaciones), toca Ver todas las aplicaciones y abre las que no reconozcas, no vengan de Play Store o no te inspiren confianza. Toca Desinstalar.
3. Si las señales de software no seguro continúan, Google indica que puedes restablecer el móvil a los ajustes de fábrica o pedir ayuda a su fabricante. Haz antes una copia de lo que necesites.

Si descargaste un archivo y no llegaste a abrirlo, bórralo de la carpeta Descargas. En Android, desactiva además el permiso «instalar aplicaciones desconocidas» de la app que usaste, como se explica en la sección siguiente.

Si aprobaste un permiso, un perfil o un ajuste

Algunas páginas fraudulentas no buscan tu contraseña. Te piden que apruebes algo: un perfil de configuración en iPhone, una app que pide instalar otras apps o una app que pide administrar tu móvil.

iPhone: busca perfiles de configuración desconocidos

Apple indica que revises Ajustes > General > VPN y gestión de dispositivos. Si no ves ningún perfil, no hay perfiles de gestión instalados. Si ves uno que no instalaste tú y que no es de tu centro educativo o de tu empresa:

1. Toca el perfil, luego Eliminar perfil y sigue las instrucciones en pantalla.
2. Reinicia el iPhone.

Al eliminar un perfil se eliminan también sus ajustes, apps y datos asociados. Si el móvil es de un centro educativo o de una empresa, consulta antes con el administrador.

Android: apps desconocidas y apps de administración de dispositivos

1. Abre Ajustes > Aplicaciones > Aplicaciones con accesos especiales > Instalar aplicaciones desconocidas. Toca cada app que tenga permiso, como tu navegador o un gestor de archivos, y desactiva Autorizar de esta fuente. (Esta es la ruta de la ayuda de Google para Pixel; en otros móviles los nombres cambian.)
2. Abre Ajustes > Seguridad y busca Aplicaciones de administración de dispositivos en las opciones de seguridad avanzadas. Google lo describe como el lugar donde encontrar o eliminar apps que pueden gestionar tu teléfono. Elimina las que no reconozcas.
3. Abre Ajustes > Aplicaciones, toca una app de la que dudes y luego Permisos para ver qué puede usar; cambia lo que no necesite a No permitir. Si no conoces la app, desinstálala.
4. Revisa la actividad de tu cuenta de Google como se explica más arriba.

Cómo denunciar un mensaje de phishing

Denunciar es gratis, lleva unos minutos y ayuda a que otras personas no caigan en la misma estafa.

En el propio móvil

• iPhone: en la app Mensajes, desliza el mensaje hacia la izquierda, toca el icono que aparece y elige Eliminar e informar. Si ya lo abriste, toca Mensaje no deseado al final del mensaje y luego Eliminar e informar. Apple avisa de que no puedes informar de un mensaje al que ya has respondido y de que, según tu operador y tu país, el aviso puede compartirse con tu operador.
• Android (Mensajes de Google): mantén pulsada la conversación y toca Marcar como spam, o abre la conversación y elige Bloquear y marcar como spam.
• Si el mensaje se hacía pasar por Apple, Apple pide que hagas una captura y la envíes por correo a reportphishing@apple.com.

En España

• INCIBE, Tu Ayuda en Ciberseguridad (017): servicio gratuito y confidencial, todos los días de 8:00 a 23:00. También atiende por WhatsApp (900 116 117) y Telegram (@INCIBE017). Si quieres reportar un fraude, el INCIBE-CERT acepta una descripción, una captura o la URL maliciosa (incibe.es/ciudadania/ayuda/reporte-de-fraude).
• Oficina de Seguridad del Internauta (osi.es): guías y avisos del INCIBE para ciudadanos sobre fraudes y cómo actuar.
• Si perdiste dinero o usaron tus datos, presenta una denuncia. Puedes hacerlo ante la Policía Nacional en su Oficina Virtual de Denuncias (denuncias.policia.es/OVD): la denuncia hecha por internet debe firmarse en la comisaría que elijas, como máximo en 72 horas, o no tiene validez jurídica. También puedes hacerlo con la denuncia telemática de la Guardia Civil (sede.guardiacivil.gob.es), en el procedimiento «Estafas y cargos fraudulentos cometidos a través de medios informáticos»: requiere firma electrónica o Cl@ve, no necesita ratificación posterior y te pide adjuntar el extracto del cargo, y los SMS o correos si los tienes. Para dudas sobre la denuncia telemática, el teléfono de la Guardia Civil es el 900 101 062.

Si estás en el Reino Unido o en EE. UU.: puedes reenviar el SMS al 7726 (son las letras de SPAM en el teclado) y, en el Reino Unido, enviar una captura a report@phishing.gov.uk (NCSC); en EE. UU., la web oficial es reportfraud.ftc.gov. Esta nota viene de la versión original en inglés y no se aplica a España.

Cuándo pedir más ayuda

Contacta con el fabricante de tu móvil, con tu operador o con alguien de confianza si, después de seguir tu fila, sigues viendo ventanas emergentes que no puedes quitar, apps que no instalaste o mensajes que no enviaste. Si el mensaje llegó a un móvil de trabajo, avisa a tu departamento de informática; el NCSC recomienda hacer lo mismo.

Fuentes consultadas

Leímos estas páginas oficiales el 28 de octubre de 2026. Los nombres de los menús cambian entre versiones; si tu móvil se ve distinto, busca el nombre del ajuste en la app Ajustes.

• Apple Soporte técnico (ES), Cambiar la contraseña de tu cuenta de Apple, publicado el 29 de septiembre de 2026.
• Apple Soporte técnico (ES), Comprobar los dispositivos en los que has iniciado sesión con tu cuenta de Apple, publicado el 21 de septiembre de 2026.
• Apple Soporte técnico (ES), Reconocer y evitar estrategias de ingeniería social, como los mensajes de suplantación de identidad (phishing), llamadas de soporte falsas y otras estafas, publicado el 22 de junio de 2026.
• Apple Soporte técnico (ES), Actualizar el iPhone o iPad, publicado el 24 de septiembre de 2026.
• Apple Soporte técnico (ES), Revisar y eliminar perfiles de configuración y Revisar y eliminar apps.
• Apple Soporte técnico (ES), Informar de mensajes no deseados y bloquear remitentes en Mensajes.
• Ayuda de la cuenta de Google, Quitar software malicioso o no seguro (versión para Android) y Proteger una cuenta de Google hackeada o vulnerada.
• Ayuda de Pixel, Gestionar los ajustes de seguridad y de privacidad de tu teléfono Pixel y Descargar aplicaciones en un teléfono Pixel; Ayuda de Android, Cambiar los permisos de aplicaciones en tu teléfono Android; Ayuda de Mensajes de Google, Denunciar spam en Mensajes de Google.
• INCIBE, Tu Ayuda en Ciberseguridad (017), Reporte de fraude y Smishing; Oficina de Seguridad del Internauta, osi.es.
• Policía Nacional, Oficina Virtual de Denuncias; Guardia Civil, Denuncia telemática y Sede Electrónica.
• NCSC (Reino Unido), Phishing scams: report a scam text message, If you’ve shared sensitive information y Phishing attacks: defending your organisation, revisado el 13 de febrero de 2024; FTC (EE. UU.), ReportFraud.ftc.gov.

Una forma de revisar los enlaces antes

Aviso: BlueHammer Security es un producto nuestro. Puede escanear códigos QR y enlaces, una forma de comprobar un enlace antes de abrirlo, aunque no puede deshacer nada después de un toque. Puedes saber más en la página de BlueHammer Security (en inglés).