Cómo detectar un correo de phishing: guía para empleados

La mayoría de los ciberataques contra empresas empiezan igual: alguien recibe un mensaje que parece normal y hace clic, abre un adjunto o escribe su contraseña donde no debe. Los filtros de correo paran muchos intentos, pero siempre se cuela alguno. Por eso la última línea de defensa es la persona que lo recibe.

Puedes compartir esta guía con tu equipo tal cual.

Las 7 señales de alarma

1. Urgencia o miedo. “Tu cuenta se bloqueará en 24 horas”, “factura impagada”, “último aviso”. La prisa busca que actúes antes de pensar.

2. El remitente no cuadra. Mira la dirección completa, no solo el nombre que aparece. soporte@micr0soft-seguridad.com no es Microsoft. Cuidado también con los dominios casi idénticos al de tu empresa o al de un proveedor.

3. Te piden algo inusual. Cambiar el número de cuenta de un proveedor, comprar tarjetas regalo, enviar datos de nóminas o saltarse el procedimiento habitual “solo esta vez”.

4. Enlaces que no llevan a donde dicen. En el ordenador, pasa el ratón por encima del enlace sin hacer clic y mira la dirección real. En el móvil, mantén pulsado el enlace. Si el dominio no es el esperado, no entres.

5. Adjuntos inesperados. Facturas, albaranes o “documentos compartidos” que no esperabas, sobre todo ficheros comprimidos, documentos que piden “habilitar contenido” o ficheros de tipos poco habituales.

6. Páginas de inicio de sesión tras un enlace. Si un correo te lleva a una pantalla de Microsoft 365, Google o tu banco pidiendo la contraseña, cierra la página y entra escribiendo tú la dirección.

7. Algo no encaja. Un saludo genérico, un tono distinto al habitual de esa persona o una petición que llega a una hora rara. Fíate de esa sensación.

Los fraudes más habituales en empresas

• Fraude del CEO: un correo aparentemente del director pide una transferencia urgente y confidencial.
• Cambio de cuenta bancaria del proveedor: el atacante se hace pasar por un proveedor real, a veces desde su propio correo comprometido, y pide pagar las próximas facturas en una cuenta nueva.
• Falsos avisos de paquetería, Hacienda o la Seguridad Social, con enlaces a webs que imitan a las oficiales.
• Documentos compartidos falsos de OneDrive, SharePoint o Google Drive que piden iniciar sesión.
• Soporte técnico falso: una llamada o mensaje de “el departamento de IT” pidiendo que instales un programa o que les dictes un código.

No solo es el correo

• Smishing (SMS): mensajes con enlaces de supuestos bancos, empresas de mensajería o multas.
• Vishing (llamadas): alguien se hace pasar por el banco, un proveedor o IT. Cada vez es más frecuente el uso de voces clonadas con IA.
• Mensajería y redes sociales: WhatsApp, Teams o LinkedIn también se usan para engañar.

La regla de oro: verifica por otro canal

Si un mensaje te pide dinero, datos o credenciales, confírmalo por un canal distinto: llama al número que ya tenías, no al que aparece en el mensaje, o pregunta en persona. Ninguna empresa seria se va a molestar porque compruebes una transferencia.

Qué hacer si ya has hecho clic

1. No te escondas. Avisa de inmediato al responsable de IT o de seguridad. Cuanto antes se sepa, menos daño.
2. Si has escrito tu contraseña, cámbiala enseguida y cierra las sesiones abiertas. Si usas la misma en otros sitios, cámbiala también allí.
3. Si has abierto un adjunto o instalado algo, desconecta el equipo de la red (cable y wifi) y espera instrucciones.
4. Si has hecho un pago, avisa al banco inmediatamente: a veces se puede frenar la transferencia.
5. Guarda el mensaje para que puedan analizarlo, pero no lo reenvíes a compañeros.

Para quien gestiona la empresa: medidas que ayudan

• Un botón o una dirección para reportar mensajes sospechosos, y una respuesta rápida cuando alguien lo usa.
• MFA en todas las cuentas: una contraseña robada deja de ser suficiente.
• Autenticación del correo (SPF, DKIM y DMARC) para que sea más difícil suplantar tu dominio.
• Procedimiento de doble verificación para pagos y cambios de cuenta bancaria.
• Formación breve y periódica con simulaciones realistas, sin castigar a quien cae. El objetivo es que la gente reporte, no que tenga miedo.

Preguntas frecuentes

¿Abrir un correo de phishing ya es peligroso? Abrirlo sin más suele ser de bajo riesgo en un equipo actualizado. El peligro está en hacer clic en enlaces, abrir adjuntos o responder.

¿Dónde puedo pedir ayuda? En la Línea de Ayuda en Ciberseguridad de INCIBE, el 017, gratuita y confidencial, para empresas y particulares.