Phishing en la empresa: cómo reconocer un correo falso y qué hacer si alguien ha picado

Cómo es un phishing en la actualidad

Se acabó el correo mal escrito con acentos raros. Los correos de phishing actuales imitan el diseño de un proveedor real, llegan dentro de un hilo de conversación legítimo (porque el buzón del destinatario ya estaba comprometido) y utilizan dominios casi idénticos al original: una letra cambiada, un guion añadido, un dominio de otro país.

Las campañas más caras no buscan contraseñas sueltas: suplantan a un jefe pidiendo una transferencia urgente, o a un proveedor comunicando un cambio de cuenta bancaria. No hay enlace raro ni adjunto sospechoso: hay una petición perfectamente razonable, con nombre y apellidos.

• Urgencia y secreto: "hazlo ahora y no lo comentes todavía"
• Cambio de cuenta bancaria en una factura que ya esperabas
• Pide credenciales, códigos de verificación o datos de pago
• El enlace no coincide con el dominio del remitente
• Un adjunto que nadie te había avisado de que iba a llegar

Qué hacer en los primeros minutos si alguien ha picado

Si un empleado ha introducido credenciales, abierto un adjunto o iniciado un pago, el orden de los primeros pasos importa más que la perfección de cada uno:

• Desconectar el equipo de la red (quitar el cable o apagar el WiFi), sin apagarlo del todo
• No borrar el correo ni los rastros: sirven para entender el alcance
• Cambiar las contraseñas afectadas desde otro dispositivo limpio
• Avisar al responsable de IT o al proveedor de mantenimiento
• Revisar en el buzón reglas de reenvío y respuestas automáticas creadas sin permiso
• Si hubo una transferencia: avisar al banco enseguida y pedir la devolución

El error más caro: creer que con un antivirus basta

El antivirus bloquea el archivo malicioso de hace un año; el phishing de hoy es una persona convenciendo a otra. Por eso las empresas que sufren un incidente casi siempre lo cuentan igual: "teníamos antivirus". Tenían, sí. Y el correo pasó por delante de todos los filtros porque no había nada técnico que filtrar.

La defensa real tiene capas: filtros de correo que verifican el dominio remitente (SPF, DKIM y DMARC), doble factor de autenticación en todos los accesos, permisos ajustados para que una cuenta comprometida no pueda moverse libremente, y copias de seguridad verificadas para no negociar nunca con un secuestro de datos.

Y la plantilla, ¿qué? Formación que funciona

La formación contra el phishing no es un vídeo anual que todo el mundo pincha a doble velocidad. Funciona lo que se practica: simulacros periódicos, avisos visibles en el correo externo, y sobre todo una regla de cultura que se repite hasta que entra: si un correo pide dinero, datos o prisa, se verifica por otro canal. Una llamada de treinta segundos evita el 99 por ciento de los casos.

Y nadie debería esconder que ha picado: el empleado que avisa a los dos minutos es el mejor sistema de detección que puede tener una empresa. El que teme el castigo, calla hasta que ya no hay nada que hacer.

Cómo lo trabajamos en iDeo Networks

Dentro de iDeo Shield gestionamos la seguridad de empresas de toda España, también de Canarias, Baleares, Ceuta y Melilla: configuración de correo y verificación de dominios, doble factor, monitorización 24/7, respuesta ante incidentes y revisión periódica con informe claro, sin jerga y con prioridades ordenadas.

Si acabáis de sufrir un incidente, atendemos primero la contención y después, con calma, lo que hay que cerrar para que no se repita.