Un correo aparentemente enviado por un proveedor solicita cambiar el número de cuenta de una factura. Microsoft 365 avisa de que nuestra contraseña va a caducar. Un supuesto cliente adjunta un documento que debemos revisar urgentemente.
Todos estos mensajes pueden parecer legítimos.
El phishing utiliza precisamente esa apariencia de confianza para conseguir que una persona revele credenciales, realice un pago, abra un archivo malicioso o acceda a una página fraudulenta.
En una empresa, aprender a identificar estas señales es tan importante como disponer de filtros de correo o herramientas de seguridad.
¿Qué es el phishing?
El phishing es una técnica de fraude basada en suplantar a una persona, empresa u organización de confianza para conseguir que la víctima realice una determinada acción.
Puede buscar el robo de contraseñas, información financiera o datos empresariales, pero también puede intentar instalar malware o provocar una transferencia de dinero.
El correo electrónico es uno de los canales más utilizados, aunque el mismo tipo de engaño puede aparecer mediante SMS, aplicaciones de mensajería, redes sociales o llamadas telefónicas.
La característica común no es el canal, sino la manipulación del usuario para conseguir una acción que favorece al atacante.
Un correo de phishing puede estar muy bien escrito
Hace años era relativamente habitual identificar estos mensajes por errores ortográficos, traducciones deficientes o diseños poco profesionales.
Esas señales siguen existiendo, pero ya no podemos confiar en ellas.
Un correo fraudulento puede copiar correctamente el logotipo, los colores y el estilo de una empresa e incluso utilizar información real sobre proveedores, empleados o responsables.
Por eso un mensaje bien redactado no debe considerarse automáticamente legítimo.
Hay que revisar el contexto, el remitente y, especialmente, la acción que nos está solicitando.
Revisar la dirección real del remitente
El nombre que aparece en el correo puede falsificarse fácilmente.
Podemos recibir un mensaje que aparentemente procede de:
Departamento de Administración
pero cuya dirección real sea:
administracion@empresa-pirata.xyz
Por eso debemos comprobar el dominio completo del remitente y no únicamente el nombre mostrado.
También conviene prestar atención a pequeñas modificaciones:
proveedor.com
proveed0r.com
proveedor-facturas.com
A primera vista pueden parecer similares, pero pertenecen a dominios diferentes.
Incluso una dirección aparentemente correcta no constituye una garantía absoluta. Una cuenta legítima puede haber sido comprometida, por lo que también debemos valorar si la petición recibida tiene sentido dentro de la relación habitual con ese contacto.
La urgencia es una de las señales más habituales
Muchos ataques intentan evitar que tengamos tiempo para pensar.
Pueden utilizar mensajes como:
“Tu cuenta será bloqueada en 30 minutos.”
“Necesitamos el pago antes de las 14:00.”
“Revisa urgentemente este documento.”
“Tu contraseña ha caducado. Accede ahora.”
La urgencia no demuestra que un correo sea falso, pero sí debería aumentar nuestra atención.
Cuando una petición combina presión temporal con una acción sensible —introducir una contraseña, descargar un archivo, realizar un pago o cambiar datos bancarios— es recomendable verificarla antes de continuar.
No entrar en una cuenta desde un enlace sospechoso
Un correo puede incluir un botón aparentemente legítimo: Iniciar sesión pero dirigir realmente a otro dominio.
Si recibimos un mensaje que nos pide acceder a Microsoft 365, nuestra entidad bancaria, un proveedor cloud u otro servicio importante, es preferible abrir el navegador y entrar desde la dirección que utilizamos habitualmente.
Así evitamos depender del enlace proporcionado en el propio mensaje.
También podemos comprobar hacia dónde apunta un enlace antes de abrirlo, aunque debemos recordar que los atacantes pueden utilizar URLs largas, redirecciones y dominios visualmente parecidos para dificultar la identificación.
Cuidado con los archivos adjuntos inesperados
Los archivos adjuntos también pueden utilizarse como vehículo de ataque.
Una factura, currículum, documento de entrega o archivo compartido puede servir como pretexto para conseguir que el usuario abra contenido malicioso.
La pregunta importante es: ¿Esperábamos realmente este archivo?
Si un proveedor habitual envía de repente un documento extraño o un compañero comparte un archivo que no tiene relación con ninguna conversación previa, conviene confirmar su legitimidad por otro medio antes de abrirlo.
Esto resulta especialmente importante cuando el mensaje pide habilitar contenido, ejecutar archivos o realizar acciones poco habituales.
El fraude del cambio de cuenta bancaria
Uno de los escenarios más peligrosos para una empresa no requiere necesariamente instalar malware.
Imaginemos que recibimos un correo aparentemente enviado por un proveedor:
Hemos cambiado de entidad bancaria. Las próximas facturas deben abonarse en esta nueva cuenta.
Si administración modifica los datos y realiza el pago, el dinero puede terminar directamente en una cuenta controlada por los atacantes.
Este tipo de fraude puede aprovechar cuentas de correo comprometidas o suplantaciones cuidadosamente preparadas.
Por eso, un cambio de cuenta bancaria nunca debería validarse únicamente mediante el mismo correo electrónico que solicita la modificación.
Lo recomendable es confirmar el cambio utilizando un canal previamente conocido: por ejemplo, llamando al contacto habitual mediante el número que ya tenemos registrado, no mediante un teléfono incluido en el mensaje sospechoso.
Cuando el atacante suplanta a un directivo
Otro escenario habitual consiste en hacerse pasar por un gerente, director o responsable de la empresa.
El mensaje puede solicitar una transferencia urgente, la compra de tarjetas regalo, información confidencial o una operación excepcional.
Este tipo de fraude suele aprovechar dos factores: autoridad y urgencia.
El empleado puede pensar que cuestionar la solicitud de un superior retrasará una operación importante.
Precisamente por eso conviene definir procedimientos de validación para determinados pagos y cambios sensibles.
La seguridad no debería depender de que una persona tenga el valor de desconfiar de su director. El proceso debe exigir verificaciones independientemente de quién aparentemente solicite la operación.
Phishing dirigido: cuando el mensaje conoce nuestra empresa
No todos los ataques son envíos masivos.
En el spear phishing, el atacante prepara un mensaje dirigido a una persona o empresa concreta.
Puede conocer nombres de empleados, cargos, proveedores, clientes o proyectos mediante información pública, redes sociales, webs corporativas o datos previamente comprometidos.
Cuanto más contexto contiene el mensaje, más creíble puede resultar.
Por eso no debemos utilizar únicamente como criterio que el correo incluya información correcta sobre nuestra empresa.
Un atacante puede conocer datos reales y utilizarlos precisamente para generar confianza.
Qué hacer cuando dudamos de un correo
Si tenemos dudas, la medida más segura es no interactuar con el mensaje hasta haberlo verificado.
No debemos abrir sus enlaces ni adjuntos simplemente para “ver qué ocurre”.
Podemos comprobar la solicitud mediante otra vía, acceder directamente al servicio supuestamente afectado o preguntar al responsable de IT.
En un entorno empresarial también es importante disponer de un procedimiento sencillo para reportar correos sospechosos.
Si los empleados no saben a quién preguntar, existe una mayor probabilidad de que terminen tomando la decisión por su cuenta.
La autenticación multifactor reduce el impacto del robo de contraseñas
Una contraseña puede terminar comprometida pese a todas las precauciones.
Por eso las cuentas importantes deberían disponer, siempre que sea posible, de autenticación multifactor (MFA).
De esta forma, conocer únicamente la contraseña no debería ser suficiente para iniciar sesión.
MFA no elimina el phishing ni convierte una cuenta en invulnerable, pero añade una capa adicional frente al robo de credenciales.
También conviene utilizar contraseñas únicas y revisar rápidamente cualquier aviso de acceso inesperado.
Los filtros de correo son necesarios, pero no suficientes
Los sistemas modernos de correo electrónico incorporan filtros antispam y mecanismos para detectar mensajes maliciosos, enlaces peligrosos o archivos sospechosos.
Estas medidas permiten bloquear muchos ataques antes de que lleguen al usuario.
Sin embargo, ningún filtro puede garantizar que todos los mensajes fraudulentos sean identificados.
Además, algunos ataques no contienen malware ni enlaces técnicamente maliciosos. Un correo que simplemente solicita modificar una cuenta bancaria puede estar redactado como cualquier comunicación empresarial legítima.
Por eso la protección debe combinar controles técnicos y procedimientos humanos.
Qué hacer si hemos caído en un phishing
Si un empleado ha introducido sus credenciales en una página sospechosa, ha abierto un archivo o ha realizado una operación fraudulenta, ocultar el incidente o esperar para ver qué ocurre empeora la situación.
Debe comunicarse inmediatamente al responsable de IT o seguridad.
Si se ha entregado una contraseña, habrá que cambiarla cuanto antes, revisar sesiones y accesos y comprobar si la cuenta se utiliza también en otros servicios.
Cuando existe una operación económica, es importante avisar inmediatamente a la entidad financiera y a los responsables correspondientes de la empresa.
Si se ha ejecutado un archivo sospechoso, el dispositivo debería ser revisado para determinar si existe compromiso.
La respuesta exacta dependerá de lo ocurrido, pero el principio es siempre el mismo: cuanto antes se detecta y comunica el incidente, mayores posibilidades existen de limitar su impacto.
El phishing es un problema de empresa, no solo de correo electrónico
Un ataque de phishing puede empezar con un único mensaje, pero sus consecuencias pueden afectar a correo, aplicaciones cloud, cuentas bancarias, clientes o sistemas internos.
Por eso debe tratarse dentro de una estrategia de seguridad más amplia.
En nuestro artículo sobre errores de seguridad informática en empresas analizamos otros fallos habituales relacionados con contraseñas, actualizaciones, permisos, backups y procedimientos.
La protección frente al phishing combina tecnología, formación y procesos internos.
Una empresa necesita filtros adecuados y cuentas protegidas, pero también empleados que sepan verificar una solicitud sospechosa y un equipo al que puedan acudir cuando algo no encaja.
En ENDEOS ofrecemos administración de sistemas y soporte informático para empresas, ayudando a mantener sistemas, cuentas y servicios actualizados y a establecer medidas destinadas a reducir el riesgo de incidentes.