Imagina que estás esperando un paquete y recibes un mensaje que pide confirmar la entrega. La VPN está conectada, el texto parece correcto y el enlace abre una página con el logotipo de la empresa. Antes de escribir tu contraseña, queda una pregunta: ¿has llegado realmente al servicio que crees? Una VPN activa no confirma que un mensaje sea auténtico ni impide por sí sola que entregues datos a una página falsa.
El phishing consiste en hacerse pasar por una persona o entidad de confianza para conseguir información o provocar una acción. Puede llegar por correo, SMS o mensajería. Para reconocerlo, conviene separar tres comprobaciones: cómo viaja la conexión, a quién estás enviando los datos y qué te están pidiendo.
Qué cambia al activar una VPN
Una VPN cifra el tráfico que cubre entre tu dispositivo y su servidor. Desde allí, la conexión continúa hacia el destino. La Electronic Frontier Foundation explica este recorrido y advierte frente a las promesas que convierten una VPN en una solución para cualquier amenaza. El túnel ayuda a proteger ese trayecto; no confirma que el formulario pertenezca al servicio al que quieres acceder.
HTTPS protege la conexión entre el navegador y el sitio. Eso también puede ocurrir con una página fraudulenta: tus datos viajan cifrados hasta quien controla esa página. La ayuda de Chrome sobre conexiones seguras recomienda comprobar el nombre del sitio incluso cuando la conexión es privada. Un indicador de seguridad no sustituye esa revisión. Si el navegador muestra una alerta, no la ignores porque tengas la VPN activada.
La documentación de seguridad de FuzeVPN delimita este alcance: la protección del transporte no recupera contraseñas reveladas ni neutraliza sitios maliciosos. También distingue las aplicaciones para Windows y Android de las extensiones, cuyo alcance se limita al navegador correspondiente. Para entender cómo se complementan estas dos protecciones, puedes consultar la guía sobre VPN y HTTPS.
Cómo comprobar a dónde lleva el enlace
Empieza por el contexto. ¿Esperabas ese aviso? ¿Te exige actuar antes de poder consultarlo con alguien? La urgencia y las amenazas son señales para detenerse, no pruebas definitivas por separado. En un ordenador, situar el puntero sobre un enlace sin pulsarlo suele mostrar su destino. Compara esa dirección con el texto visible del mensaje: pueden ser distintos. Son comprobaciones descritas en la guía de Microsoft para detectar el phishing.
En el móvil, consulta la dirección completa si la aplicación ofrece una opción para verla sin abrir el enlace. Si solo muestra un fragmento o no sabes qué acción ejecutará, pasa a la comprobación por un canal conocido. No necesitas visitar una página dudosa para decidir que prefieres verificar el aviso de otra forma.
Fíjate en el dominio, la parte de la dirección que identifica el sitio. Encontrar el nombre esperado en algún punto del enlace no basta. Estos dos ejemplos ilustran la diferencia:
cuenta.example.com es un subdominio de example.com.
example.com.acceso.example.org es un subdominio de example.org. Que empiece por «example.com» no lo convierte en una dirección del primer dominio.
Usamos dominios reservados por IANA para documentación; son ejemplos, no servicios que debas visitar. Compara el nombre completo con una dirección que ya conozcas. Las letras cambiadas, los añadidos inesperados o un destino que no puedes identificar justifican comprobarlo por otra vía. Una dirección que parece correcta tampoco certifica, por sí sola, toda la información de una página.
Verifica el aviso por un canal que ya conozcas
Cierra el mensaje y abre la aplicación que utilizas habitualmente, un marcador que hayas guardado o la dirección oficial que ya conozcas. Busca allí el pedido, la reserva o la notificación. Si necesitas contactar con la empresa, utiliza los datos que encuentres en ese canal. La FTC recomienda verificar los mensajes por medios conocidos, sin recurrir al teléfono o al enlace incluidos en el aviso sospechoso.
Que un mensaje contenga tu nombre o datos correctos de una compra no resuelve la duda. En agosto de 2026, la Agencia de Ciberseguridad de Cataluña alertó de mensajes con datos reales de reservas de hotel que llevaban a páginas falsas. Esa información hacía el engaño creíble, pero no acreditaba quién lo enviaba.
Si el mensaje parece venir de alguien conocido, pregunta por otra vía que ya utilices con esa persona. Abrir otro hilo con la misma cuenta que envió el aviso no es una comprobación independiente. Cuando no consigas verificar la petición, deja pendiente el envío de datos: la prisa del mensaje no tiene por qué marcar tu decisión.
Refuerza el acceso a tus cuentas
Activa la autenticación de dos factores donde esté disponible, especialmente en el correo que utilizas para recuperar otras cuentas. Añade una comprobación al acceso, pero también debes cuidar los códigos: un estafador puede pedirte que se los entregues. La guía de la FTC sobre autenticación explica estas diferencias. No comuniques códigos a quien te contacte para «verificar» tu identidad ni apruebes solicitudes de acceso que no hayas iniciado.
Si el servicio ofrece passkeys o llaves de acceso, considera esa opción. Están vinculadas al sitio o aplicación donde se registraron; el navegador o el sistema comprueba esa correspondencia. La documentación de Google sobre llaves de acceso explica por qué este mecanismo resiste el phishing durante la autenticación. Esa protección del inicio de sesión no garantiza que toda oferta o petición que veas después sea legítima.
Qué hacer si ya has pulsado
Si solo has abierto la página: ciérrala y verifica el aviso desde el servicio oficial. La alerta de la Agencia de Ciberseguridad de Cataluña recomienda esta actuación cuando no se han introducido datos. Revisa también si hubo una descarga o concediste algún permiso. El clic, por sí solo, no permite concluir qué ocurrió en el dispositivo.
Si has escrito una contraseña: entra en el servicio legítimo por una vía independiente y cámbiala cuanto antes. Si usabas esa contraseña en otras cuentas, cámbiala también en ellas. Microsoft recomienda estas medidas después de una posible suplantación. Si afecta a una cuenta de trabajo, avisa al equipo informático y sigue su procedimiento.
Si has facilitado datos de pago: contacta de inmediato con tu entidad mediante sus canales habituales. Explica qué información compartiste y sigue sus indicaciones. Conserva los datos del mensaje que puedan ayudar a describir lo ocurrido, sin volver a abrir el enlace para investigarlo.
Si sospechas que se descargó software malicioso: no abras el archivo para comprobarlo. La FTC aconseja actualizar el programa de seguridad del equipo y realizar un análisis, siguiendo las indicaciones de la herramienta. Si instalaste algo o el dispositivo pertenece a tu empresa, solicita asistencia por un canal de confianza.
Para futuras consultas sobre FuzeVPN, guarda su centro de ayuda oficial. Tener localizada la página de soporte antes de recibir un aviso urgente facilita verificarlo con calma y encontrar las instrucciones que correspondan a tu cuenta o dispositivo.