La mayoría de los incidentes de seguridad no empiezan con un ataque sofisticado. Empiezan con un correo que alguien abre un martes cualquiera entre una reunión y otra.
El phishing funciona porque se dirige a las personas y aprovecha la prisa, la confianza y la rutina del día a día. Precisamente por eso puede detectarse, si sabes qué mirar.
En este artículo repasamos las señales que delatan un correo fraudulento, los formatos más habituales y qué puede hacer tu empresa para reducir el riesgo, tanto antes como después de un clic.
Qué es el phishing y por qué sigue funcionando
El phishing es una técnica de suplantación de identidad. Un atacante se hace pasar por alguien legítimo (un banco, un proveedor, una empresa de paquetería, incluso un compañero de trabajo) para conseguir que hagas algo: entregar tus credenciales, abrir un adjunto, aprobar un pago o compartir información sensible.
No requiere vulnerar ningún sistema. Basta con que una persona, en un momento de descuido, considere el mensaje creíble.
Y los mensajes son cada vez más creíbles. Los correos con faltas de ortografía evidentes y logotipos pixelados siguen existiendo, pero conviven con campañas cuidadas, escritas en un español correcto y personalizadas con datos reales de la empresa o del destinatario. Fiarse solo del aspecto ya no es suficiente.
Señales para identificar un correo de phishing
Ninguna señal aislada confirma que un correo es fraudulento. Por eso conviene acostumbrarse a revisar varias antes de actuar.
1. El remitente no es quien parece
El nombre visible puede decir «Banco Santander» o «María, de Administración» y ocultar una dirección que no tiene nada que ver. Revisa el dominio completo, no solo el nombre.
Presta atención a dominios que imitan al legítimo con cambios mínimos: una letra sustituida, un guion añadido, una terminación distinta. «empresa-facturacion.com» no es «empresa.com», aunque a primera vista lo parezca.
2. El mensaje mete prisa
«Tu cuenta será bloqueada en 24 horas.» «Pago pendiente: actúa hoy.» «El director necesita esta transferencia antes de las 14:00.»
La urgencia artificial es la herramienta favorita del atacante, porque reduce el tiempo que dedicas a pensar. Un mensaje legítimo casi nunca exige una acción inmediata bajo amenaza de consecuencias graves. Cuando un correo intenta que decidas rápido, es buen momento para decidir despacio.
3. El enlace no lleva adonde dice
Antes de hacer clic, pasa el cursor por encima del enlace (o mantenlo pulsado en el móvil) y comprueba la dirección real. Si el texto dice «portal de clientes» pero la URL apunta a un dominio desconocido, acortado o lleno de caracteres extraños, no sigas adelante.
Una alternativa más segura: no uses el enlace del correo. Accede al servicio escribiendo tú la dirección en el navegador o desde tu marcador habitual.
4. Piden algo que no encaja con el proceso normal
Un proveedor que cambia su número de cuenta por correo. Un directivo que pide una transferencia urgente y confidencial. Un servicio que solicita tus credenciales «para verificar tu identidad».
Las peticiones inusuales relacionadas con dinero, contraseñas o datos sensibles merecen siempre una verificación por otro canal: una llamada al número de siempre, un mensaje al contacto habitual. Nunca respondiendo al propio correo.
5. El adjunto llega sin contexto
Facturas que no esperabas, presupuestos que nadie ha pedido, archivos comprimidos con contraseña, documentos que piden «habilitar contenido» al abrirse. Los adjuntos son una vía habitual de entrada de software malicioso. Si no esperabas ese archivo, confirma con el remitente real antes de abrirlo.
6. Algo en el tono no cuadra
Un saludo genérico donde siempre hubo nombre propio. Un compañero que de pronto escribe con otra estructura o firma distinto. Errores sutiles de redacción en un remitente que nunca los comete. La intuición de que «algo no encaja» es una señal legítima: verifica antes de actuar.
Los formatos de estafa más habituales
Conocer los guiones que se repiten ayuda a reconocerlos cuando llegan.
- Suplantación de servicios conocidos. Correos que imitan a Microsoft, Google, bancos o empresas de paquetería para robar credenciales mediante una página de inicio de sesión falsa.
- Fraude del CEO. Un mensaje que aparenta venir de dirección solicita una transferencia urgente y discreta. Se apoya en la autoridad y en la confidencialidad para evitar verificaciones.
- Fraude de facturas. El atacante suplanta a un proveedor real y comunica un cambio de cuenta bancaria. La factura es legítima; el destino del dinero, no.
- Falsos avisos internos. Notificaciones de recursos humanos, informática o nóminas que piden «actualizar tus datos» o «revisar un documento compartido».
- Smishing y vishing. El mismo engaño por SMS o por llamada. El canal cambia; las señales y las precauciones son las mismas.
Qué hacer si recibes un correo sospechoso
- No hagas clic en enlaces ni abras adjuntos.
- No respondas ni reenvíes el mensaje a otros compañeros «para preguntar».
- Verifica la petición por un canal distinto y de confianza.
- Repórtalo al equipo o proveedor responsable de la seguridad de tu empresa, aunque tengas dudas. Es preferible un aviso de más que un incidente sin detectar.
- Elimínalo solo después de reportarlo.
Reportar importa más de lo que parece: si tú has recibido ese correo, es probable que otras personas de la organización también. Un aviso a tiempo puede evitar que el siguiente clic sí ocurra.
Y si el clic ya se ha producido
Puede pasar. Un incidente no convierte a nadie en culpable; lo importante es reaccionar pronto.
- Avisa de inmediato, sin esperar a «ver si pasa algo». El tiempo entre el clic y la respuesta determina buena parte del impacto.
- Cambia la contraseña de la cuenta afectada y de cualquier otro servicio donde se reutilizara.
- Revisa la actividad reciente: inicios de sesión, reglas de reenvío de correo creadas sin tu conocimiento, envíos que no reconoces.
- Si hay dinero de por medio, contacta con el banco cuanto antes y documenta todo lo ocurrido.
- Analiza el equipo si se abrió un adjunto o se descargó un archivo.
Cómo reducir el riesgo de phishing en tu empresa
Las personas son la última línea de defensa, pero no deberían ser la única. Estas medidas reducen tanto la probabilidad de que el correo llegue como el impacto si alguien cae:
- Autenticación multifactor (MFA) en el correo y los servicios críticos. Unas credenciales robadas pierden gran parte de su valor si no bastan por sí solas para acceder.
- Formación periódica y realista, con ejemplos actuales y sin culpabilizar a quien se equivoca. El objetivo es que reportar sea un hábito, no un motivo de vergüenza.
- Procesos de verificación para pagos y cambios de cuenta bancaria, siempre por un segundo canal. Ninguna transferencia debería depender solo de un correo.
- Filtros de correo bien configurados y protocolos de autenticación de dominio (SPF, DKIM y DMARC), que dificultan que otros suplanten tu propio dominio.
- Monitorización y capacidad de respuesta. Detectar pronto un acceso no autorizado o un comportamiento anómalo cambia por completo el alcance del incidente.
La detección temprana cambia el impacto
El phishing no va a desaparecer, pero su efecto sobre tu empresa sí puede reducirse. Un equipo que sabe qué mirar, procesos que verifican antes de pagar y capacidad para detectar y responder a tiempo marcan la diferencia entre una anécdota y una interrupción del negocio.
Un buen punto de partida esta semana: comprueba si el MFA está activo en todas las cuentas de correo de tu organización y cuándo fue la última vez que tu equipo practicó cómo reportar un correo sospechoso.
Y si quieres reforzar la detección y la respuesta ante este tipo de amenazas, en SSH team te ayudamos a evaluar tu punto de partida. Hablemos.