Te llega un correo o una notificación en el móvil: «Hemos detectado un inicio de sesión sospechoso en tu cuenta de Google». Incluye una ciudad que no reconoces, un dispositivo que no es el tuyo, y un botón para «revisar la actividad» o «proteger tu cuenta». El corazón se acelera un poco, y ahí está exactamente el problema: ese mismo subidón de urgencia es lo que buscan tanto Google cuando la alerta es real como los estafadores cuando la imitan.
La buena noticia es que hay una forma sencilla y fiable de distinguir una alerta de inicio de sesión sospechosa de Google auténtica de una copia diseñada para robarte la contraseña, y no depende de fijarte en si el correo «tiene buena pinta» o no. Depende de un solo gesto: no tocar nada de lo que hay dentro del propio mensaje.
No es casualidad que los estafadores elijan precisamente este formato de correo para sus ataques. Como ya explicamos al repasar por qué el correo electrónico es la llave de casi todas tus demás cuentas, quien controla tu Google también puede recuperar acceso a redes sociales, banca y compras con solo pedir el «olvidé mi contraseña» en cada sitio. Eso convierte cualquier alerta relacionada con el acceso a Gmail en un objetivo especialmente jugoso para el phishing.
Cómo saber si la alerta es real sin fiarte del correo
El método más fiable, y el único que recomienda el propio Google, es ignorar por completo los botones y enlaces del correo y entrar directamente en tu cuenta escribiendo tú mismo la dirección en el navegador: myaccount.google.com. Una vez dentro, ve al apartado de Seguridad y revisa la sección de actividad reciente de la cuenta. Si el acceso sospechoso fue real, aparecerá ahí, en el panel oficial de tu cuenta, con la fecha, el dispositivo y la ubicación aproximada. Si no ves nada raro en esa página, el correo que has recibido era un intento de phishing y puedes ignorarlo con tranquilidad.
Esta comprobación funciona porque separa dos cosas que un correo falso no puede replicar a la vez: el diseño del mensaje (fácil de copiar) y el contenido real de tu cuenta en los servidores de Google (imposible de falsificar desde fuera). Por eso nunca merece la pena hacer clic en el botón del propio correo, por muy oficial que parezca: si es una copia bien hecha, ese clic es precisamente el paso que el atacante necesita para llevarte a una página falsa que imita el inicio de sesión de Google.
¿Qué señales delatan que la alerta es en realidad un intento de phishing?
Antes incluso de entrar a comprobar tu cuenta, hay detalles que suelen delatar una copia falsa. El primero es la dirección exacta del remitente, no solo el nombre que aparece en grande. Toca o pulsa sobre el nombre del remitente para ver la dirección completa: un correo legítimo de Google siempre termina en @google.com o @accounts.google.com, nunca en dominios parecidos con letras cambiadas, números sustituyendo letras o subdominios raros añadidos al final.
El segundo detalle es lo que te pide el mensaje. Google jamás solicita tu contraseña, tu código de verificación en dos pasos ni ningún dato personal directamente por correo. Si el mensaje incluye un formulario para «confirmar tu contraseña actual» o te pide que introduzcas un código que acabas de recibir por SMS, es una señal inequívoca de phishing, sin necesidad de mirar nada más. El tercer detalle, más sutil, es la urgencia artificial: los correos de phishing suelen presionar con frases como «tu cuenta será suspendida en 24 horas» para que actúes sin pensar, mientras que las alertas reales de Google no incluyen ese tipo de amenazas con cuenta atrás.
Hay un cuarto detalle que conviene revisar antes de dar por buena cualquier alerta de inicio de sesión sospechosa de Google: pasa el cursor sobre cualquier botón del correo (sin hacer clic) y fíjate en la URL que aparece en la parte inferior del navegador o del cliente de correo. Si esa dirección no empieza exactamente por accounts.google.com o myaccount.google.com, no la sigas bajo ningún concepto. Los dominios falsos suelen incluir la palabra «google» en algún punto de la URL para generar confianza a simple vista, pero nunca la tienen justo al principio del dominio real.
Qué hacer de inmediato si el acceso sospechoso resulta ser real
Si al entrar en myaccount.google.com confirmas que el inicio de sesión sospechoso ocurrió de verdad y no lo reconoces, el orden de los pasos importa. Lo primero es cambiar la contraseña inmediatamente, desde ese mismo panel de seguridad, usando una combinación larga y que no hayas reutilizado en ningún otro servicio. Cambiar la contraseña invalida automáticamente la sesión que el atacante pudiera tener abierta en ese momento, así que es el paso que corta el acceso de raíz.
Después, entra en el apartado de dispositivos conectados dentro de la misma sección de seguridad y cierra la sesión en cualquier aparato que no reconozcas. Esto es especialmente importante porque cambiar la contraseña no siempre cierra automáticamente todas las sesiones activas en otros dispositivos, así que conviene revisarlo de forma manual. Aprovecha también para comprobar el correo electrónico y el número de teléfono de recuperación de la cuenta: algunos ataques cambian estos datos discretamente para poder recuperar el control más adelante, aunque tú ya hayas cambiado la contraseña principal.
El último paso, y el que evita que esto se repita, es activar la verificación en dos pasos si todavía no la tenías activa, preferiblemente con una app de autenticación o una llave de seguridad física en lugar de solo el SMS, que es el método más vulnerable a intercepción. Ya hemos explicado en TecnoOrbita qué hacer si tu correo lleva años con la misma contraseña y por qué eso multiplica el riesgo de que una alerta como esta llegue a ser real en algún momento.
Vale la pena guardar este orden de pasos en algún sitio fácil de encontrar, porque la próxima vez que llegue una alerta de inicio de sesión sospechosa de Google (real o falsa) no vas a tener tiempo ni ganas de buscar de nuevo el procedimiento completo. Comprobar en myaccount.google.com, cambiar contraseña, revisar dispositivos, comprobar datos de recuperación y activar la verificación en dos pasos: ese orden concreto resuelve prácticamente cualquier variante de este problema.
Cómo denunciar el correo si resulta ser una estafa
Si has confirmado que se trataba de un intento de phishing, no hace falta que te quedes con la duda de si conviene avisar a alguien: Gmail tiene una opción específica para esto. Abre el correo, pulsa el icono de los tres puntos en la esquina superior derecha del mensaje y selecciona «Denunciar suplantación de identidad». Este paso ayuda a que Google mejore sus filtros de spam y evita que ese mismo correo llegue a otras personas con la misma facilidad.
Conviene también revisar si ese correo llegó acompañado de algún enlace en el que ya hiciste clic antes de darte cuenta de que era falso. En ese caso, además de cambiar la contraseña de Google, merece la pena comprobar si tu sesión se ha cerrado sola en algún dispositivo de forma repentina, algo que puede ser un síntoma más de que la cuenta ha estado en riesgo, y no solo un fallo técnico aislado del móvil o del navegador.
¿Cómo sé si una alerta de inicio de sesión sospechosa de Google es real?
No hagas clic en nada del correo. Entra directamente en myaccount.google.com escribiendo tú mismo la dirección, ve a Seguridad y revisa la actividad reciente de la cuenta. Si el acceso sospechoso aparece ahí, es real; si no aparece nada, el correo era phishing.
¿Google pide la contraseña por correo electrónico en estas alertas?
No, nunca. Google no solicita contraseñas, códigos de verificación ni datos personales directamente por correo. Cualquier mensaje que lo pida, aunque imite el diseño oficial, es un intento de phishing.
¿Qué debo hacer primero si confirmo que el acceso sospechoso es real?
Cambia la contraseña de inmediato desde el panel de seguridad de tu cuenta de Google, ya que eso corta el acceso del atacante. Después, revisa y cierra sesión en los dispositivos conectados que no reconozcas, y comprueba que los datos de recuperación no hayan sido modificados.
¿Cambiar la contraseña cierra automáticamente todas las sesiones abiertas?
No siempre de forma inmediata en todos los dispositivos. Por eso, además de cambiar la contraseña, conviene entrar en el apartado de dispositivos conectados dentro de la configuración de seguridad y cerrar manualmente cualquier sesión que no reconozcas.
¿Cómo denuncio un correo de phishing que imita una alerta de Google?
Desde Gmail, abre el mensaje, pulsa el icono de los tres puntos en la esquina superior derecha y selecciona «Denunciar suplantación de identidad». Esto envía el correo al equipo de Google para revisión y ayuda a mejorar los filtros de spam.
