Phishing: cómo reconocer un correo fraudulento (guía para empleados)

La mayoría de los problemas de seguridad de una empresa no empiezan con un hacker rompiendo nada. Empiezan con un correo y una persona con prisa que hace clic. El phishing, el correo que se hace pasar por alguien de confianza para engañarte, es la puerta de entrada número uno. La buena noticia: casi siempre se reconoce si sabes qué mirar. Esta guía es para compartir con tu equipo.

Qué es el phishing

Es un correo (o un SMS, o un WhatsApp) que finge venir de alguien en quien confías: tu banco, Microsoft, un proveedor, incluso tu propio jefe. El objetivo es que hagas una de estas tres cosas: que pinches un enlace, que descargues un archivo o que des datos o hagas un pago. Juega con la prisa y con el miedo, porque cuando corres, no piensas.

Las señales que delatan un correo fraudulento

• Urgencia o amenaza. "Tu cuenta se bloqueará en 24 horas", "factura pendiente de pago". Quieren que actúes sin pensar.
• El remitente no cuadra. Mira la dirección real, no solo el nombre. Un correo de "Microsoft" desde un dominio raro es una bandera roja.
• Enlaces que no llevan a donde dicen. Pasa el ratón por encima (sin hacer clic) y mira a dónde apunta de verdad.
• Peticiones inusuales. Un jefe que pide por correo una transferencia urgente y confidencial. Este fraude, el del falso directivo, cuesta muy caro a las empresas.
• Archivos adjuntos inesperados. Una factura o un envío que no esperabas, en un adjunto que te pide "habilitar contenido".
• Errores y tono raro. Faltas, traducciones extrañas o un saludo genérico ("Estimado cliente").

Qué hacer ante un correo sospechoso

La regla de oro: ante la duda, no hagas clic y verifica por otra vía. Si "tu banco" o "un proveedor" te pide algo urgente, llama tú al número que ya conoces, no al que viene en el correo. Si parece de un compañero o del jefe, confírmalo en persona o por teléfono. Y avisa a tu responsable de informática: si ha llegado a ti, probablemente ha llegado a más gente.

Lo que de verdad protege a la empresa

Formar a las personas es la medida más rentable que existe, porque el eslabón humano es el que más atacan. Pero no basta con un correo. Lo que funciona es combinar tres cosas: filtrado de correo que frene la mayoría de intentos antes de que lleguen, doble factor de autenticación para que una contraseña robada no sea suficiente, y simulacros de phishing para medir y mejorar de verdad. Eso es parte de nuestro servicio de ciberseguridad para empresas, que incluye sesiones de concienciación con tu equipo.

Preguntas frecuentes

¿Cómo reconozco un correo de phishing?

Desconfía de la urgencia o las amenazas, comprueba la dirección real del remitente, pasa el ratón por los enlaces para ver a dónde van, sospecha de peticiones inusuales de pagos o datos y de adjuntos inesperados, y fíjate en errores de redacción o saludos genéricos.

¿Qué hago si recibo un correo sospechoso en el trabajo?

No hagas clic ni descargues nada, verifica por otra vía (llama al número que ya conoces o confírmalo en persona) y avisa a tu responsable de informática, porque es probable que haya llegado a más compañeros.

¿Se puede evitar el phishing con formación?

La formación es clave porque reduce mucho el riesgo, pero lo ideal es combinarla con filtrado de correo, doble factor de autenticación y simulacros periódicos para medir y mejorar.