Jeroen Derks, especialista en ciberseguridad, desvela su truco para evitar el phishing con "un cambio en la forma en que la aplicación de correo muestra un enlace"
Elígenos como tu fuente preferida en Google.
Jeroen Derks, desarrollador web y especialista en ciberseguridad, propone contra el phishing que el correo muestre la URL real de cada enlace sin pasar el cursor, y lo lleva a la práctica con Reveal URLs, extensión gratuita y de código abierto para navegadores.
Un correo electrónico puede parecer convincente a simple vista gracias a que las estrategias de los ciberdelincuentes son cada vez más sofisticadas y difíciles de detectar, pero tras su enlace se puede encontrar una dirección web fraudulenta: un botón que dice "Ver factura" o "Confirmar envío" puede llevar a una página de phishing que imita a la del banco o a la de la empresa de mensajería. Para descubrir si es o no legítima, en muchas aplicaciones no queda más remedio que pasar el cursor por encima o mantener pulsado el vínculo en el teléfono móvil, algo que casi nadie hace cuando lee el correo con prisa.
Sobre este asunto ha hablado Jeroen Derks, especialista en ciberseguridad y desarrollador web desde 1996, en una publicación en LinkedIn en la que resume su propuesta en "un cambio del lado del cliente en la forma en que la aplicación de correo muestra un enlace, para que su dirección se vea sin pedirla". No hace falta esperar a que Gmail u Outlook lo incorporen: él mismo ha creado Reveal URLs, una herramienta gratuita y de código abierto que enseña la dirección real de cada enlace mientras se lee el mensaje.
En ella el experto propone cambiar esta costumbre y con su planteamiento trata de facilitar una comprobación importante, pero que en muchas ocasiones no se tiene en cuenta a la hora de revisar mensajes con prisa o en medio de realizar otras tareas. Jeroen Derks, profesional del desarrollo web desde 1996, ha dado a conocer su propuesta al mismo tiempo que señaló el gran problema de seguridad que supone depender de una acción voluntaria en cada enlace para poder verificar si es o no peligroso.
Pasar el cursor por encima del enlace funciona para poder comprobar si el clic dirige o no a la web deseada y no a una ilegítima, pero al depender de que el usuario siempre se acuerde de hacerlo, hace que, en su opinión, se trate de un hábito “frágil”, sobre todo cuando se tiene prisa para consultar el correo.
Su publicación llega en un contexto en el que es muy evidente que se debe prestar atención a los enlaces. Microsoft Threat Intelligence detectó unos 8.300 millones de amenazas de phishing por correo durante el primer trimestre de 2026, mostrando que un 78% de las amenazas por correo se basaba en vínculos.
Por ello, Derks tiene una propuesta que se centra en cómo se presenta la información al usuario, y en lugar de añadir un paso previo de inspección, plantea que la propia aplicación muestra la dirección del enlace durante la lectura. Su intención es que “la dirección se vea sin pedirla” y todo tiene que ver con cambiar la forma de mostrar este dato y que no quede oculto detrás del texto visible.
Así funciona Reveal URLS
Jeroen Derks se encuentra tras Reveal URLs, su nuevo proyecto gratuito y de código abierto que está disponible para los navegadores, Thunderbird, Gmail y Outlook y que muestra la URL inmediata real de cada enlace. La extensión del navegador y en Thunderbird se muestran las direcciones junto a los enlaces, mientras que los complementos nativos de Gmail y Outlook presentan los resultados en una tarjeta o un panel.
El principal límite que tiene este proyecto tiene que ver con que no comprueba el remitente ni la autenticación, no sigue redirecciones hasta la página final y nunca dice que un sitio es seguro. En cualquier caso, permite que el usuario pueda ver una dirección con mayor claridad y así recibir la información que necesita saber para saber si ese enlace es o no peligroso. La última palabra, por lo tanto, la tiene el propio usuario, que deberá decidir si quiere o no acceder a esa URL.
Por ejemplo, si se recibe un correo electrónico con un botón que dice “Ver factura”, ese texto describe la acción, pero no identifica el sitio web que se abrirá. Sin embargo, con Reveal URLs se permite que el lector tenga otro dato para comparar con lo que esperaba recibir, y así tomar la mejor decisión. Es una manera de poder protegerse frente al phishing.