Cómo reconocer un correo de phishing en tu empresa

El phishing dirigido a empresas ya no se parece al de hace diez años. No hay faltas de ortografía ni príncipes nigerianos: hay un correo correcto, con tu logotipo, que menciona una factura real y llega justo cuando esperabas esa factura. Funciona porque está bien hecho, no porque la víctima sea descuidada.

Esta guía es lo que enseñamos a los equipos: seis señales que se comprueban en treinta segundos y un protocolo para cuando la señal salta.

Las seis comprobaciones, en orden

1. La dirección real del remitente, no el nombre

El nombre que ves es texto libre: cualquiera puede escribir «Banco Santander» o el nombre de tu jefe. Despliega la dirección completa y léela entera, sobre todo el dominio. Los trucos habituales: una letra cambiada, un guion de más, un dominio distinto (.net en vez de .es) o el nombre correcto delante de una arroba ajena.

2. A dónde lleva el enlace de verdad

Pasa el cursor por encima —sin pulsar— y mira la dirección que aparece abajo. En el móvil, mantén pulsado para que muestre el destino. Lee de derecha a izquierda hasta la primera barra: ahí está el dominio real. Todo lo que hay antes puede ser decorado.

3. La urgencia y el secreto

«Antes de las 14:00», «no lo comentes con nadie todavía», «el cliente está esperando». La prisa y la discreción no son casualidades: son las dos palancas que impiden que hagas la comprobación que desbarataría el intento.

4. Un cambio en cómo se cobra o se paga

Cualquier correo que cambie una cuenta bancaria, un método de pago o una dirección de envío es sospechoso por defecto, aunque venga de un proveedor real y con un hilo de conversación creíble. Tiene su propio protocolo: verificar un cambio de cuenta bancaria.

5. El adjunto que no esperabas

Especialmente si es un documento que pide activar macros, un archivo comprimido con contraseña (para que el antivirus no lo abra) o un enlace a un documento en la nube que a su vez pide iniciar sesión. Ese último paso —una pantalla de acceso idéntica a la de tu correo— es el objetivo de la mitad de las campañas.

6. El contexto

¿Esperabas este correo? ¿Esta persona escribe así? ¿Es normal que te pida esto por correo? La incoherencia de contexto detecta lo que no detecta ningún filtro.

La trampa moderna: el correo llega desde una cuenta legítima comprometida —la de un proveedor real— y responde dentro de un hilo que existía. No hay dominio falso que detectar. Solo te salva el paso 4: verificar por un canal distinto cualquier cosa que mueva dinero o datos.

Qué hacer cuando sospechas

No pulses ni respondas. Responder confirma que la dirección existe y que alguien lee.
Verifica por otro canal. Llama al número que tú tienes fichado, no al que viene en el correo.
Avisa a quien corresponda en tu empresa, aunque no estés seguro. El coste de un aviso falso es cero.
Si ya pulsaste y metiste la contraseña: cámbiala inmediatamente en ese servicio y en cualquier otro donde la repitieras, y activa el segundo factor. Después revisa reglas de reenvío en el buzón: es lo primero que crean cuando entran.
Si hubo transferencia: llama al banco de inmediato para intentar la retrocesión, y denuncia. Las primeras horas son las que importan.

Lo que puedes hacer para que lleguen menos

Buena parte del phishing que sufre una empresa va dirigido a sus clientes suplantando su dominio. Eso sí se puede reducir mucho desde el lado técnico:

SPF y DKIM bien configurados dicen qué servidores pueden enviar en tu nombre: explicados sin tecnicismos.
DMARC le dice al correo del destinatario qué hacer con lo que no cuadra. Es la pieza que convierte lo anterior en protección real: cómo empezar sin quedarte sin correo.
Segundo factor en el correo corporativo, sin excepciones. Una cuenta de correo comprometida es la llave de todo lo demás.
Revisión periódica de reglas y reenvíos en los buzones del equipo.

Si ya te ha pasado que alguien escribe a tus clientes haciéndose pasar por ti, el procedimiento completo está en han suplantado el correo de mi empresa.

Formar al equipo sin sermones

Lo que funciona, por experiencia:

Una norma simple y repetida: ningún pago ni cambio de datos se ejecuta solo con un correo. Siempre verificación por voz.
Cultura de aviso sin culpa. Quien pulsa algo y lo dice en cinco minutos te está salvando; si teme la bronca, lo callará y te enterarás en un mes.
Un canal claro para reportar, aunque sea un grupo interno.
Ejemplos reales de los que os llegan a vosotros, no diapositivas genéricas.

Y ten a mano el plan para el día que pase algo: quién decide, a quién se llama y en qué orden. Lo tienes en una página en plan de respuesta a incidentes para una pyme. Si el correo comprometido contenía datos personales de terceros, además hay plazos de notificación que empiezan a correr desde que lo sabes.

Para reportar campañas o consultar avisos vigentes, INCIBE-CERT mantiene un canal abierto para empresas.

Seguir leyendo en esta sección

Ver todo en Correo seguro → · Mapa completo del sitio