Cómo detectar cadenas de redirección antes de hacer clic

Las cadenas de redirección son una de las técnicas más efectivas para ocultar destinos de phishing porque el peligro no está en el enlace que ve el usuario, sino en el destino final tras varios saltos automáticos. Detectarlas antes de hacer clic requiere inspeccionar esos saltos sin visitar la página.

Método 1: Usar un analizador de URLs (el más seguro)

2check.click sigue automáticamente todos los saltos de una cadena de redirección usando solicitudes HEAD, sin descargar el contenido de ninguna página. Para cada URL que analice, muestra:

• La cadena completa de saltos intermedios (intermediate hops).
• El dominio final al que llevaría el enlace.
• La antigüedad del dominio final (un dominio recién registrado es señal de alerta).
• Una puntuación de riesgo para el destino y para cada hop individual.

Es el método más seguro porque usted nunca visita la página sospechosa.

Método 2: Pasar el cursor por encima del enlace

En un cliente de correo o navegador, coloque el cursor sobre el enlace sin hacer clic. La barra de estado del programa suele mostrar la URL de destino inmediato. Sin embargo, este método solo revela el primer salto, no el destino final si hay varios.

Es un primer filtro útil: si la URL que aparece en la barra de estado no corresponde a la empresa o servicio mencionado en el mensaje, no haga clic.

Método 3: Previsualización de acortadores de URL

Algunos servicios de acortamiento de URL ofrecen una URL de previsualización que muestra el destino sin redirigir:

• bit.ly/abc123+ → muestra estadísticas y la URL de destino (añada + al final).

Esto revela el primer destino al que apunta el acortador, pero si ese destino a su vez redirige, la cadena continúa.

Método 4: Herramientas de línea de comandos (avanzado)

Si tiene acceso a una terminal, puede usar curl con la opción -IL para seguir redirecciones y mostrar los encabezados de cada respuesta:

• curl -IL https://enlace-sospechoso.com

Cada bloque de encabezados corresponde a un salto. Busque el encabezado Location: en las respuestas 301/302 para ver adónde va cada redirección. Este método requiere conocimientos técnicos y no analiza el riesgo del destino.

Señales de alerta en una cadena de redirección

• Acortador → dominio desconocido → página de login: Este patrón es un indicador clásico de phishing. El acortador oculta el dominio desconocido, y la página de login es la trampa.
• Más de tres saltos: Las cadenas largas suelen indicar que el atacante quiere dificultar el rastreo manual.
• Salto a través de un open redirect: Si uno de los hops es una URL del tipo sitio-conocido.com/redirect?url=DESTINO, el siguiente dominio puede ser malicioso aunque el hop parezca legítimo.
• Dominio final recién registrado: Un dominio con pocos días de antigüedad como destino final es una señal de alerta crítica.
• El dominio final no coincide con el remitente: Si el correo dice ser de su banco pero el destino final es un dominio sin relación, es phishing.

Ejemplo práctico: descomponiendo una cadena sospechosa

Suponga que recibe este enlace en un SMS: https://track.delivery-notifications.net/pkg?id=XYZ

1. El dominio delivery-notifications.net no pertenece a ninguna empresa de paquetería conocida.
2. Al analizarlo en 2check.click, la cadena muestra: track.delivery-notifications.net → link-shortener.io/rnd123 → dhl-secure-update.xyz/login.
3. El destino final, dhl-secure-update.xyz, imita la marca DHL pero está en un dominio diferente registrado hace tres días.
4. Conclusión: phishing. No haga clic.

Compruebe un enlace sospechoso

Pegue una URL, mensaje o código QR en 2check.click para analizar el destino, redirecciones, antigüedad del dominio y otras señales de phishing.

Abrir el analizador de 2check.click

Preguntas frecuentes

¿Necesito conocimientos técnicos para detectar cadenas de redirección?

No si usa 2check.click. Pegue el enlace y el analizador hace el trabajo automáticamente. El método de línea de comandos con curl sí requiere conocimientos técnicos básicos.

¿Puede un sitio legítimo formar parte de una cadena de phishing?

Sí. Los atacantes aprovechan open redirects en sitios legítimos para insertar un salto de confianza en la cadena. El sitio legítimo no está comprometido; simplemente tiene una función de redirección que el atacante usa como relay.

¿Qué pasa si el enlace redirige solo si el navegador tiene ciertos parámetros?

Algunos ataques sofisticados muestran contenido diferente según el agente de usuario, el país o si el acceso viene directamente o desde un correo. En esos casos, la detección automática puede no reproducir la experiencia exacta del usuario. Sin embargo, el análisis del dominio final y los patrones de la URL siguen siendo útiles.

¿Es suficiente con ver la URL antes de hacer clic?

Ver el primer enlace ayuda, pero no es suficiente si hay redirecciones. Necesita conocer el destino final, no solo el primero, para saber si el enlace es seguro.

¿Qué significa que un hop tenga riesgo alto aunque sea un sitio conocido?

Un salto a través de un sitio conocido que actúa como open redirect puede clasificarse con riesgo alto porque ese patrón —usar un sitio legítimo para ocultar el destino real— es una señal de phishing, aunque el sitio en sí no sea malicioso.