Un correo que parece enviado por su banco, un proveedor habitual o un compañero puede bastar para detener la actividad de una pyme. El atacante no necesita entrar por la fuerza si consigue que alguien entregue una contraseña, autorice un pago o abra un archivo infectado. Saber detectar phishing empresarial no es una tarea exclusiva del departamento informático: afecta a administración, dirección, ventas y a cualquier persona con acceso al correo de la empresa.
El problema es que los mensajes fraudulentos ya no siempre están mal escritos ni llegan desde direcciones claramente extrañas. Copian logotipos, firmas, tonos comerciales e incluso conversaciones reales. Por eso conviene establecer criterios sencillos, formar al equipo y contar con una respuesta clara cuando surja la duda.
Cómo detectar phishing empresarial en un correo
La primera señal suele ser la urgencia. «Pague hoy», «su cuenta será bloqueada», «revise este documento de inmediato» o «confirme sus credenciales» son fórmulas diseñadas para que el destinatario actúe antes de pensar. Un proveedor serio puede pedir documentación o reclamar una factura, pero no debería presionar para que se entregue una clave o se haga una transferencia sin comprobar los datos.
También hay que revisar al remitente completo, no solo el nombre visible. Un correo puede mostrar el nombre de un cliente conocido y, sin embargo, proceder de un dominio parecido al real, con una letra cambiada o una terminación distinta. Es frecuente que el fraude utilice direcciones que a simple vista parecen correctas, especialmente en pantallas de móvil donde se ve menos información.
Los enlaces merecen una revisión aparte. Antes de pulsar, sitúe el cursor sobre el vínculo si trabaja desde un ordenador y compruebe la dirección de destino. Si el texto dice que llevará a Microsoft, a su banco o a una plataforma de mensajería, pero la dirección no coincide con el dominio oficial, no abra la página. En el móvil, la opción prudente es no tocar el enlace y acceder escribiendo la dirección habitual en el navegador o desde el marcador guardado.
Los adjuntos inesperados son otra vía habitual. Un archivo Excel con macros, un PDF que pide iniciar sesión o un supuesto albarán comprimido pueden instalar programas maliciosos o llevar a una web falsa. Si no esperaba el archivo, confirme su legitimidad por teléfono o mediante un nuevo correo dirigido a una dirección conocida. No responda al propio mensaje sospechoso: podría estar hablando con el atacante.
Cuando el mensaje parece venir de un directivo
La suplantación de identidad del gerente o del responsable financiero merece una atención especial. El atacante suele pedir una transferencia urgente, tarjetas regalo, datos de empleados o el pago de una factura con un nuevo número de cuenta. A veces utiliza información pública sobre la empresa para dar credibilidad a la petición.
Aquí la tecnología ayuda, pero el procedimiento manda. Toda modificación de datos bancarios o pago no habitual debe verificarse por un segundo canal. Una llamada al número que ya figura en la agenda, no al incluido en el correo, puede evitar una pérdida económica relevante. Esta comprobación no debe depender de que el importe parezca alto o bajo: los delincuentes suelen empezar con una cantidad asumible para medir la reacción.
Las señales que no deben ignorarse
Un único indicio no confirma necesariamente un fraude. Un proveedor puede cambiar de dominio, un cliente puede enviar un adjunto sin avisar o un empleado puede escribir con prisa. Lo que debe activar la alerta es la combinación de varios elementos: una solicitud inusual, presión temporal, cambios de datos, enlaces de acceso y una conversación que no encaja con la operativa normal.
Conviene fijarse también en los detalles de contexto. Un supuesto correo de una asesoría recibido fuera de horario, una factura de un servicio que no se contrata o un documento enviado a una persona que no gestiona ese asunto son motivos suficientes para parar. La duda no ralentiza el negocio cuando existe un protocolo rápido: evita decisiones irreversibles.
El phishing no busca solo contraseñas. Puede intentar robar datos personales, secuestrar el correo corporativo, acceder al programa de facturación, distribuir ransomware o preparar un fraude de pagos. Por eso una empresa que trabaja con presupuestos, contratos, nóminas, datos de clientes o cuentas bancarias debe tratar el correo como una puerta de entrada crítica.
Qué hacer si un empleado ha pulsado o ha respondido
La reacción de los primeros minutos marca la diferencia. Si alguien ha abierto un enlace, descargado un archivo o introducido sus credenciales, no debe ocultarlo por miedo a equivocarse. Debe avisar de inmediato al responsable interno o al servicio técnico. Cuanto antes se revise el equipo y la cuenta afectada, más opciones habrá de cortar el acceso.
Si se han introducido contraseñas, hay que cambiarlas desde un equipo seguro y cerrar las sesiones activas cuando la plataforma lo permita. Si la misma contraseña se utiliza en otros servicios, debe sustituirse también allí. Esta práctica, aunque incómoda, evita que una única clave filtrada abra varias puertas de la empresa.
Cuando hay indicios de archivo malicioso o comportamiento extraño del equipo, como ventanas emergentes, lentitud repentina, cifrado de documentos o programas que se abren solos, conviene desconectarlo de la red sin apagarlo salvo indicación técnica. Así se limita una posible propagación a servidores, carpetas compartidas y otros puestos.
En caso de transferencia realizada o datos bancarios comprometidos, contacte inmediatamente con el banco y documente el incidente. Guarde el correo, los encabezados, las capturas y cualquier dato relacionado. Borrar el mensaje puede dificultar la investigación. Si hay datos personales de clientes o empleados afectados, será necesario valorar las obligaciones que correspondan en materia de protección de datos.
Medidas que reducen el riesgo de forma realista
No existe una medida única que elimine el phishing. Los filtros de correo reducen mucho el volumen de mensajes peligrosos, pero pueden dejar pasar ataques muy personalizados. La formación del equipo es necesaria, aunque una persona bien formada también puede cometer un error bajo presión. La protección eficaz combina varias capas y revisa los puntos donde más daño puede producirse.
La autenticación multifactor es una de las medidas con mayor impacto. Aunque un atacante consiga una contraseña, necesitará un segundo factor para entrar en el correo o en las aplicaciones protegidas. No resuelve todos los escenarios, por ejemplo si se aprueba una solicitud fraudulenta desde una sesión ya iniciada, pero limita de forma clara el uso de credenciales robadas.
También es recomendable separar permisos. No todos los usuarios necesitan acceso a todas las carpetas, cuentas administrativas o funciones de pago. Aplicar el principio de mínimo privilegio reduce el alcance de un incidente. Si un correo compromete un puesto de administración, el daño será menor si esa cuenta no tiene control total sobre servidores, copias de seguridad o sistemas financieros.
Las copias de seguridad verificadas siguen siendo decisivas frente al ransomware que suele acompañar a campañas de phishing. No basta con que la copia se ejecute: debe comprobarse que puede restaurarse y que no está accesible de forma permanente desde los equipos habituales. Si el atacante cifra también las copias conectadas, la recuperación se complica y el tiempo de parada crece.
Por último, establezca una norma sencilla para todos: ante pagos, cambios de cuenta, peticiones de acceso o archivos inesperados, se verifica antes de actuar. Es útil que el equipo sepa a quién avisar y que encuentre una respuesta sin reproches. Convertir la consulta en una práctica normal es más efectivo que esperar que cada empleado sea experto en ciberseguridad.
Un protocolo breve para no decidir bajo presión
Una empresa pequeña no necesita un documento de cincuenta páginas para actuar bien. Necesita saber quién valida una factura, quién puede aprobar una transferencia, qué se hace con un correo sospechoso y qué contacto técnico interviene si se ha pulsado un enlace. Ese protocolo debe estar disponible, ser conocido y ajustarse a la operativa real del negocio.
El mantenimiento informático preventivo permite revisar cuentas de correo, permisos, actualizaciones, antivirus, copias y configuraciones de seguridad antes de que aparezca una incidencia. Para empresas de Madrid y Toledo, un soporte que pueda intervenir en remoto o presencialmente aporta un margen valioso cuando hay una cuenta comprometida o varios equipos afectados. Pronto Asistencia trabaja precisamente con ese enfoque: resolver la urgencia y corregir la causa para que no vuelva a convertirse en una parada.
Un correo sospechoso no debe decidir el ritmo de su empresa. Si algo no encaja, detenga la acción, compruebe por otro canal y pida revisión técnica. Esa pausa de dos minutos puede proteger sus cuentas, sus datos y la confianza de sus clientes.