¿Qué es una estafa de phishing y cómo detectar el fraude de MyChart?

Una estafa de phishing es un fraude digital en el que un delincuente se hace pasar por una empresa, organismo o servicio conocido para conseguir que la víctima entregue contraseñas, datos personales o bancarios, pulse un enlace peligroso o instale software malicioso. El disfraz cambia —un banco, una empresa de mensajería, una plataforma tecnológica—, pero el mecanismo es casi siempre el mismo: parecer legítimo el tiempo suficiente para que alguien baje la guardia.

La oleada que está llamando la atención a finales de agosto y comienzos de septiembre de 2026 utiliza un señuelo particularmente delicado: MyChart, el conocido portal estadounidense mediante el que millones de pacientes acceden a información sanitaria. Los atacantes envían mensajes que imitan sus comunicaciones, conducen a páginas prácticamente calcadas y, en una de las variantes investigadas este verano, muestran incluso resultados médicos falsos y alarmantes para empujar al usuario a actuar deprisa. No se ha identificado esta campaña como una brecha de seguridad de MyChart; el fraude consiste en suplantar su identidad.

La diferencia es importante. El usuario puede recibir un correo que parece proceder de una plataforma que conoce, con colores, logotipo y lenguaje aparentemente normales, cuando en realidad está entrando en un escenario fabricado por delincuentes. Esa es la esencia del phishing moderno: no atacar directamente la tecnología de una compañía, sino explotar la confianza que inspira su nombre.

Qué ocurre realmente en una estafa de phishing

El término puede sonar técnico, aunque la idea es bastante antigua: poner un cebo delante de alguien y esperar que pique. De ahí viene precisamente phishing, una deformación deliberada de la palabra inglesa fishing, pescar. El anzuelo ya no lleva gusano; lleva un botón que dice iniciar sesión, comprobar una cuenta o consultar un documento.

El correo electrónico continúa siendo uno de sus vehículos clásicos, pero ya no es el único. El engaño puede llegar mediante SMS —en ese caso suele hablarse de smishing—, una llamada telefónica, una red social, una aplicación de mensajería o una página web falsificada. Lo importante no es el canal sino la suplantación: alguien pretende ser quien no es para provocar una acción que beneficia al delincuente.

A veces busca directamente una contraseña. En otras ocasiones solicita los datos de una tarjeta, un código de verificación o información suficiente para preparar un fraude posterior. Y existe una tercera variante especialmente peligrosa: hacer que sea el propio usuario quien, pensando que está siguiendo unas instrucciones legítimas, instale malware en su dispositivo.

Eso explica por qué ya no basta con buscar faltas de ortografía o diseños grotescos. Siguen existiendo correos de phishing que parecen escritos con los codos, claro, pero los ataques más elaborados reproducen logotipos, tipografías, botones y páginas de acceso con una fidelidad incómoda. Una copia convincente cuesta muy poco; nuestra confianza, bastante más.

El fraude de MyChart convierte el miedo en el anzuelo

La campaña detectada durante el verano de 2026 muestra hasta qué punto ha evolucionado esta técnica. En uno de los ataques analizados por Epic, compañía responsable de MyChart, el usuario recibe un correo que anuncia que sus resultados médicos recientes están disponibles. El diseño incorpora la marca de MyChart y un botón aparentemente normal para iniciar sesión.

El botón, sin embargo, no conduce al portal sanitario auténtico. Abre una página falsa construida por los estafadores utilizando elementos visuales del sitio real. Allí se solicitan primero el correo electrónico y la contraseña. A simple vista, poca cosa chirría. Ese es precisamente el problema.

Después aparece una falsa ficha médica acompañada de un mensaje inquietante. Una supuesta revisión realizada con inteligencia artificial afirma haber encontrado patrones críticos en los análisis de sangre y presenta el asunto como algo que requiere atención inmediata. Los datos médicos mostrados son inventados. Su función no es diagnosticar nada, sino asustar.

El miedo hace el resto. Cuando alguien cree que acaba de leer una noticia grave sobre su propia salud, examinar tranquilamente el dominio de una página web deja de parecer prioritario. El phishing vive de esos segundos en los que la urgencia sustituye a la comprobación.

Un falso control humano que termina instalando malware

Una de las versiones resulta especialmente agresiva. La página falsa indica que es necesario completar una comprobación para demostrar que el visitante es humano y ordena utilizar varias combinaciones de teclas en Windows. Entre ellas aparecen Windows + R, Ctrl + V y Enter.

No es un CAPTCHA convencional. Es el ataque. La secuencia abre la ventana de ejecución de Windows, pega una instrucción colocada previamente en el portapapeles y la ejecuta. El resultado puede ser la instalación de software malicioso sin que la víctima perciba inmediatamente qué acaba de suceder.

MyChart no necesita que un paciente ejecute comandos de Windows para consultar sus resultados, reparar una cuenta o demostrar que es humano. Cuando una página supuestamente sanitaria pide abrir herramientas del sistema o ejecutar instrucciones, la situación se sale por completo de lo normal.

En agosto apareció otra variación. La falsa historia clínica mostraba valores de laboratorio preocupantes y ocultaba parte de la supuesta información tras un botón para desbloquear el informe completo y consultar el diagnóstico. Al pulsarlo se descargaba un archivo ejecutable denominado Full_Analysis_Report.exe.

Después, la propia web enseñaba a ignorar la advertencia de seguridad de Windows y ejecutar el programa igualmente. Ahí la impostura prácticamente se desnuda: los resultados legítimos de MyChart se consultan dentro del portal y no exigen instalar un programa en el ordenador para poder leerlos.

El otro MyChart falso promete un regalo que no existe

El miedo no es el único combustible del phishing. También funciona la recompensa. Otra campaña documentada utiliza mensajes que aseguran que el destinatario ha sido seleccionado para recibir gratuitamente un supuesto Medicare Health Kit relacionado con MyChart.

La Fiscalía General de Pensilvania alertó públicamente sobre esta modalidad el 28 de agosto de 2026 y aclaró que ese supuesto programa o recompensa no existe. De nuevo, los delincuentes utilizan la imagen de un servicio sanitario conocido para dar apariencia legítima a una oferta inventada.

La mecánica tiene algo de feria ambulante trasladada al navegador. El usuario aterriza en una página con el logotipo de MyChart, responde a unas preguntas sencillas y ve un reloj de cuenta atrás. Después aparece el premio, supuestamente valorado en 149 dólares, junto a mensajes que indican que quedan muy pocas unidades. Todo cuidadosamente calculado para que pensar parezca perder una oportunidad.

Entonces llega la letra pequeña: el regalo es gratis, pero hay que abonar el envío. Para hacerlo se solicitan nombre, dirección, teléfono y finalmente los datos de la tarjeta bancaria. La información introducida puede quedar en manos de los estafadores incluso aunque el usuario abandone el proceso antes de completar el pago.

Es phishing en estado bastante puro: confianza prestada por una marca conocida, un pequeño empujón emocional y una acción aparentemente inocente. Primero unos datos. Después otros. Cuando aparece la tarjeta, el terreno ya lleva varios minutos preparado.

Cómo reconocer el engaño cuando parece auténtico

La urgencia continúa siendo una de las señales más útiles. Una cuenta a punto de cerrarse, un paquete retenido, un cargo sospechoso, un resultado médico preocupante, un premio que caduca en seis minutos. Cambia el decorado, no el truco. El estafador necesita reducir el tiempo que dedicamos a comprobar lo que tenemos delante.

También importa el lugar al que conduce el mensaje. Que una página tenga el mismo logotipo, los mismos colores e incluso un candado en el navegador no demuestra que sea auténtica. En el fraude relacionado con MyChart se han utilizado direcciones que imitan al servicio sin corresponder a las páginas oficiales de la organización sanitaria del paciente.

El dominio merece una mirada antes de introducir cualquier credencial. Una letra cambiada, una palabra añadida o una dirección excesivamente larga pueden delatar una copia. Pero tampoco conviene confiar únicamente en encontrar errores: los delincuentes pueden utilizar dominios visualmente creíbles y certificados de seguridad perfectamente válidos para una web que sigue siendo fraudulenta.

La comprobación más sencilla continúa siendo incómodamente eficaz: no entrar mediante el enlace recibido. Si llega un aviso aparentemente legítimo del banco, del hospital o de cualquier otro servicio, resulta más seguro abrir su aplicación conocida o escribir directamente la dirección habitual. Así se rompe el puente que el atacante necesita construir entre el mensaje y su página falsa.

Lo mismo sucede con las credenciales. Una contraseña o código de verificación no debe entregarse a quien lo solicita inesperadamente por correo, SMS o teléfono. La autenticación en dos pasos añade otra barrera: una contraseña robada puede dejar de ser suficiente para acceder a la cuenta.

También debería encenderse una luz roja ante una web que exige descargar un ejecutable, desactivar protecciones, ignorar un aviso del navegador o introducir comandos en Windows. Un servicio legítimo puede solicitar una actualización de su aplicación; otra cosa muy distinta es enseñar al usuario a sortear las defensas de su propio ordenador.

Qué hacer después de haber pulsado el enlace

Haber abierto una página fraudulenta no tiene necesariamente las mismas consecuencias que haber introducido una contraseña, facilitado una tarjeta o ejecutado un archivo. Lo importante es identificar hasta dónde llegó la interacción. Si solo se visitó la web y no se introdujeron datos ni se descargó nada, el riesgo es distinto al de haber entregado credenciales personales.

Si se facilitó una contraseña, conviene cambiarla inmediatamente y hacer lo mismo en cualquier otra cuenta donde estuviera reutilizada. Si el servicio permite consultar las sesiones abiertas, deben revisarse y cerrarse las desconocidas. Activar la verificación en dos pasos añade una protección adicional frente a nuevos intentos de acceso.

Cuando se han introducido datos bancarios, la prioridad cambia: hay que contactar con la entidad financiera para comunicar el posible fraude, revisar movimientos y adoptar las medidas necesarias sobre la tarjeta. Una operación desconocida o un pequeño cargo aparentemente irrelevante puede ser una prueba previa antes de intentar importes mayores.

Si se descargó o ejecutó un archivo, el escenario es más delicado. Conviene actualizar el software de seguridad, realizar un análisis del dispositivo y evitar seguir introduciendo contraseñas o información sensible hasta descartar una infección. Algunos tipos de malware pueden capturar credenciales, manipular el navegador o proporcionar acceso remoto al atacante.

Para un usuario de MyChart que haya caído en esta campaña resulta especialmente importante restablecer la contraseña del portal, revisar el correo electrónico y el teléfono asociados a la cuenta y contactar con el servicio de asistencia de su organización sanitaria. También merece la pena comprobar si se han producido cambios no autorizados en el perfil.

En España, el 017 de INCIBE ofrece asistencia gratuita y confidencial en materia de ciberseguridad para ciudadanos y empresas. Puede orientar sobre los pasos que conviene seguir después de un fraude digital, una posible infección o el robo de credenciales.

El phishing moderno ya no necesita parecer sospechoso

Durante años nos acostumbramos a imaginar el phishing como un correo torpe, lleno de mayúsculas, traducciones dudosas y príncipes inesperadamente generosos. Esa caricatura envejeció. Las campañas actuales pueden utilizar mensajes cuidados y páginas prácticamente idénticas a los servicios que pretenden imitar.

El caso MyChart enseña algo bastante más útil: un ataque puede comenzar con una comunicación perfectamente plausible, utilizar una página visualmente convincente y explotar una preocupación tan íntima como unos resultados médicos. Incluso puede convertir un supuesto mecanismo de seguridad —demostrar que uno es humano— en el instrumento utilizado para comprometer el ordenador.

La inteligencia artificial y las herramientas de creación web también han reducido el esfuerzo necesario para fabricar mensajes verosímiles, adaptar el lenguaje y copiar diseños. Eso no convierte automáticamente cada correo bien escrito en una estafa, pero sí vuelve obsoleta aquella cómoda idea de que el phishing siempre se reconoce por su mala apariencia.

Por eso la mejor señal de alarma no siempre está en el aspecto del mensaje. Está en lo que pretende conseguir de nosotros: una contraseña, un código, una descarga, una orden ejecutada en el ordenador o los datos de una tarjeta. Cuando una comunicación inesperada conduce hasta ahí, la identidad del remitente debe comprobarse por otra vía.

El phishing ha cambiado de traje. El anzuelo, en cambio, sigue siendo reconocible: confianza, prisa, miedo o recompensa. MyChart es solo el último nombre utilizado para vestir una técnica mucho más antigua. Y precisamente porque el correo puede parecer auténtico, la diferencia entre un aviso legítimo y una estafa está cada vez menos en el diseño y mucho más en lo que el mensaje intenta que hagamos.