Llega un mensaje supuestamente enviado por Amazon.co.jp. Te da las gracias por ser cliente, habla de seguridad y te pide verificar tu cuenta. Lleva nombre corporativo, advertencia de no responder y aviso de derechos de autor. El disfraz empresarial viene con todos los accesorios.
Pero el servidor indicado por el enlace no es de Amazon. Conviene tratarlo como un intento de phishing muy sospechoso. No inicies sesión desde ese correo: abre la aplicación oficial de Amazon o entra desde un marcador que ya utilizabas.
1. Mucha solemnidad, ningún problema concreto
El mensaje anuncia algo «importante» sin explicar qué ha ocurrido. ¿Un acceso desconocido? ¿Un error de cobro? ¿Un cambio de dirección? Nada de eso aparece claramente.
En cambio, promete que comprobar la cuenta no modificará tus datos. Es como si un desconocido pidiera las llaves de tu casa «solo para comprobar que todo está seguro». La palabra «solo» no es una acreditación profesional.
El logotipo, los textos legales y las despedidas corteses se pueden copiar. Un correo bonito no se convierte por arte de magia en un correo auténtico.
2. Antes de la arroba puede haber un señuelo
Este es un ejemplo desactivado, no un enlace real:
https://texto-parecido-a-amazon[.]invalid@share[.]google/[eliminado]
Una URL puede tener la estructura información-de-usuario@servidor. El texto parecido a Amazon que está antes de @ pertenece a la información de usuario, no al dominio de destino. En este caso, el host indicado es share.google, lo que aparece después de la arroba. MDN documenta esta sintaxis.[1]
La trampa consiste en leer deprisa: ves «Amazon», dejas de mirar y pasas por alto la verdadera dirección. Es alguien vestido de repartidor de Amazon que lleva una identificación de otra empresa.
3. share.google sí es un dominio legítimo de Google
Aquí hace falta precisión: share.google es un dominio auténtico que Google utiliza para enlaces cortos. Su documentación oficial lo confirma.[2]
Lo sospechoso no es que Google haya inventado un dominio falso, sino que una supuesta comprobación de Amazon utilice un enlace corto ajeno a Amazon y un texto engañoso antes de @.
No hemos abierto el enlace concreto del mensaje. Por eso no sabemos a qué página redirige finalmente ni podemos afirmar que muestre un inicio de sesión fraudulento o que se hayan robado datos. La estructura observada, sin embargo, ya justifica no seguir las instrucciones.
4. La firma corporativa tampoco demuestra nada
El correo termina con avisos de copyright, una razón social y un enlace que parece servir para darse de baja. Todo eso puede incluirse en un correo falso. Incluso la presencia de un dominio conocido en un enlace secundario no autentica el mensaje entero.
Tampoco hemos analizado las cabeceras originales ni los registros de autenticación del remitente. La conclusión se limita al texto y la estructura del enlace que se proporcionaron.
5. Qué hacer si lo has recibido o abierto
No has pulsado: evita también el enlace de baja; revisa tu cuenta desde la app oficial y marca el mensaje como phishing.
Solo has abierto la página: ciérrala y comprueba si se descargó o instaló algo. Abrir un enlace no demuestra, por sí solo, que hayan tomado el control de tu cuenta.
Introdujiste la contraseña: cámbiala desde el servicio auténtico, cambia otras contraseñas reutilizadas, activa la autenticación multifactor y revisa pedidos y pagos.
Introdujiste los datos de la tarjeta: contacta cuanto antes con el emisor por su canal oficial. La FTC recomienda verificar cualquier alerta inesperada desde un canal independiente y conocido.[3]
Conclusión
El correo habla como Amazon y firma como Amazon, pero su URL no sabe mantener el personaje. Lo importante no es el nombre decorativo al principio, sino el dominio real y la verificación independiente.
[1] MDN: https://developer.mozilla.org/en-US/docs/Web/URI/Reference/Authority
[2] Google: https://support.google.com/websearch/answer/7013866?hl=en-AU
[3] FTC: https://consumer.ftc.gov/consumer-alerts/2025/04/protect-yourself-phishing-scams
