El phishing es el correo (o SMS, o WhatsApp) que se hace pasar por alguien de confianza —el banco, Hacienda, Correos, Microsoft, un proveedor— para que hagas clic, metas una contraseña o abras un archivo. En una empresa no es una molestia: es la puerta por la que entran casi todos los demás problemas, desde el ransomware hasta el fraude del CEO. Esta guía es para el equipo de una pyme: cómo reconocer un correo falso en veinte segundos y qué hacer, sin drama, si alguien ya ha picado.
Cómo saber si un correo es falso: la comprobación de veinte segundos
- Mira la dirección, no el nombre. «Banco Tal <avisos@banco-tal-clientes.info>» no es el banco. Pasa el ratón por el remitente (en el móvil, mantén pulsado) y lee el dominio completo, letra a letra.
- Mira a dónde lleva el enlace antes de pulsarlo. Pasa el ratón por encima: si el texto dice «entrar en mi cuenta» pero la dirección es una ristra de letras o un dominio que no conoces, es falso. En el móvil, mantén pulsado el enlace para verlo.
- Urgencia + amenaza + enlace = sospecha. «Tu cuenta será bloqueada en 24 horas», «paquete retenido, paga 1,99 €», «factura pendiente, abre el adjunto». Los servicios reales casi nunca resuelven nada con un clic desde un correo.
- Adjuntos que no esperabas. Un archivo comprimido, un documento que pide «habilitar contenido» o «activar macros», o un PDF que al abrirlo te pide iniciar sesión: no.
- Peticiones de contraseña. Nadie legítimo te pide la contraseña por correo, ni te manda a «verificar» tu cuenta de Microsoft 365 desde un enlace. Si dudas, entra en el servicio escribiendo tú la dirección en el navegador, nunca desde el correo.
Las faltas de ortografía ya no son una señal fiable: los correos de phishing de hoy están bien escritos. Lo que no pueden falsificar es el dominio real del remitente ni el destino real del enlace.
Los cuatro phishing que más vemos en pymes
- El de Microsoft 365 / Google Workspace. «Tu contraseña caduca hoy», «tienes un documento compartido», «mensaje de voz nuevo». Lleva a una copia perfecta de la pantalla de inicio de sesión. Es el más peligroso: con esa contraseña el atacante está dentro del correo de la empresa.
- El de Hacienda o la Seguridad Social. Una devolución, un requerimiento, una multa. Las administraciones no notifican así: lo hacen por sede electrónica.
- El de la paquetería. «Tu envío no ha podido entregarse, paga las tasas». Llega por SMS y busca la tarjeta.
- El del proveedor con factura. Un PDF o un enlace a «la factura de este mes» desde un remitente parecido al real. Aquí conviene aplicar la misma regla que con el fraude del CEO: cualquier cambio de datos de pago se confirma por teléfono.
Si alguien ha picado: la primera hora
Picar no es un fallo de la persona; es que el correo estaba bien hecho. Lo que importa es lo que se hace después, y rápido:
- Si metió una contraseña: cámbiala ya en el servicio real, y en cualquier otro sitio donde usara la misma. Activa el doble factor si no lo tenía.
- Si abrió un adjunto o «habilitó contenido»: desconecta el equipo de la red (quita el cable o el wifi) y avisa a tu informático antes de seguir trabajando con él. Un archivo así puede estar cifrando o robando en segundo plano.
- Revisa el buzón afectado: reglas de reenvío nuevas, filtros que mueven o borran correos, sesiones abiertas desde sitios raros. Un atacante que entra en un correo suele dejar una regla para seguir leyendo aunque se cambie la contraseña.
- Avisa a quien pueda recibir correos desde ese buzón —clientes, proveedores—, porque el siguiente phishing puede salir con vuestro nombre.
- Si hubo pago o datos bancarios: llama al banco. Y si necesitas orientación, el 017 de INCIBE atiende gratis a empresas.
Lo que reduce el riesgo de verdad
- Doble factor en el correo y en los accesos remotos. Es la medida que más phishing convierte en «susto sin consecuencias».
- Contraseñas distintas por servicio, con un gestor de contraseñas para no tener que recordarlas.
- Actualizaciones al día en equipos y navegadores: muchos adjuntos maliciosos explotan fallos ya corregidos.
- Copias de seguridad fuera del alcance del atacante. Si el phishing acaba en ransomware, es lo único que decide si la empresa vuelve a trabajar el lunes. Lo contamos en ransomware en pymes: cómo actuar y en nuestro backup gestionado para empresas.
- Diez minutos de formación cada pocos meses. Enseñar los cuatro ejemplos de arriba con correos reales que hayan llegado a la empresa funciona mejor que cualquier curso. INCIBE tiene material gratuito para empresas en su sección sobre phishing.
Todo esto entra en el mantenimiento informático que hacemos a las pymes: no solo arreglar lo que se rompe, sino revisar que las puertas están cerradas.
Preguntas frecuentes
¿Cómo sé si un correo que ya abrí era phishing?
Abrir el correo, sin pulsar nada ni abrir adjuntos, no suele tener consecuencias. Lo que importa es si pulsaste un enlace y metiste datos, o si abriste un archivo. Si dudas, reenvía el correo a tu informático como adjunto (no reenviado normal) para que pueda ver las cabeceras.
¿Sirve marcarlo como spam?
Ayuda al filtro, pero no protege al compañero que recibió el mismo correo. Avisa en la oficina: «ha llegado un correo así, no lo abráis».
¿Y si el correo falso viene de un cliente real?
Entonces es el buzón del cliente el que está comprometido. Llámale por teléfono para avisarle, y no abras nada de lo que envíe hasta que lo tenga resuelto.
