EntrarProbar 14 días gratis

Guía · 9 min de lectura

Phishing en tu empresa: cómo detectar un correo falso y qué hacer si has picado

Un correo que parece de tu banco, de Hacienda o de tu jefe, y que pide algo con prisa. Casi todos los ataques a pymes empiezan así. Aquí tienes cómo reconocerlo en segundos y, si ya has picado, qué hacer paso a paso.

Por Hugo Arribas Muñoz · Actualizado el

Qué es el phishing

El phishing es un engaño: alguien se hace pasar por una persona o una empresa de confianza para que hagas clic, des una contraseña o pagues algo. No hace falta saber de informática para caer: está pensado para que reacciones sin pensar.

Llega por correo, pero también por SMS, por llamada, por WhatsApp o con un código QR. Suelen suplantar a bancos, mensajería, Hacienda, la Seguridad Social, tu proveedor de correo… o a tu propio jefe.

Siete señales para detectar un correo falso

  1. Prisa o amenaza. «Tu cuenta se bloqueará en 24 horas», «último aviso», «paga hoy». La prisa es la herramienta favorita del estafador.
  2. Una petición que no esperabas. Una factura que no reconoces, un paquete que no esperas, un cambio de datos bancarios sin que nadie lo haya avisado.
  3. El remitente no cuadra. Mira la dirección real, no solo el nombre. Fíjate en cambios pequeños: «empresa-soporte.com» en vez de «empresa.com», o una «rn» que parece una «m».
  4. El enlace lleva a otro sitio. Sin hacer clic, pasa el ratón por encima (o mantén pulsado en el móvil) y mira la dirección que aparece. Si no es la de siempre, no entres.
  5. Adjuntos inesperados. Sobre todo ZIP, ficheros de Office que piden «habilitar contenido» o facturas que no esperabas.
  6. Piden contraseñas, códigos o datos de tarjeta. Ninguna empresa seria te los pide por correo. Y un código que te llega al móvil no se lo das a nadie.
  7. Algo en el tono o el formato no es normal. Saludos genéricos («Estimado cliente»), firmas distintas a las habituales o una forma de escribir rara en alguien que conoces.

Una sola señal no prueba nada, pero dos o tres ya son motivo para parar. Hoy los correos falsos pueden estar muy bien escritos: no te fíes solo de que no tengan faltas.

Ante la duda, haz esto

  1. No hagas clic ni abras el adjunto.
  2. Comprueba por otro canal. Llama por teléfono al número que ya tenías (no al del correo) o entra a la web escribiendo tú la dirección.
  3. Pregunta. A tu informático, a un compañero o a quien lleve la empresa. Preguntar no es hacer el ridículo: es el hábito que más ataques frena.
  4. Avisa al resto. Si te ha llegado a ti, probablemente también a tus compañeros.
  5. Márcalo como phishing en tu programa de correo y bórralo.

Tres engaños típicos contra empresas

  • El falso jefe. Un correo (o un WhatsApp) que parece de la persona que manda: «necesito que hagas una transferencia urgente, es confidencial». Antes de pagar, confirma por teléfono con esa persona. Más en la guía del fraude del falso jefe.
  • La factura con el IBAN cambiado. Un proveedor «avisa» de que ha cambiado de cuenta bancaria. Llama al proveedor, a un teléfono que ya tuvieras, antes de cambiar nada.
  • La alerta de «tu cuenta de correo»: «tu buzón está lleno» o «caduca tu contraseña», con un enlace a una página idéntica a la de inicio de sesión. Si escribes tu contraseña, se la das al atacante.

Si has picado: qué hacer con calma

Le puede pasar a cualquiera, también a gente que sabe del tema. Lo que importa es la rapidez. Sigue estos pasos en orden:

  1. Avisa enseguida a quien lleve la informática y a la persona responsable. Cuanto antes se sepa, menos daño hace.
  2. Cambia las contraseñas afectadas desde otro dispositivo, que no sea el que usaste. Hazlo también en cualquier cuenta donde repitas esa contraseña.
  3. Activa el doble factor (2FA) y cierra las sesiones abiertas en todos los dispositivos.
  4. Revisa tu correo por dentro. Mira si hay reglas de reenvío o de borrado que tú no hayas creado: los atacantes las usan para espiar o esconder avisos. Mira también los mensajes enviados.
  5. Avisa a quien pueda haber recibido algo raro de tu cuenta: compañeros, clientes y proveedores. Un mensaje corto basta (tienes una plantilla más abajo).
  6. Habla con tu banco si has dado datos de pago o si se ha hecho una transferencia.
  7. Pasa el antivirus si has abierto un adjunto o instalado algo, y desconecta el equipo si hay dudas.
  8. Denuncia. Es un delito y puedes denunciarlo ante la Policía Nacional o la Guardia Civil. Guarda el correo original, las capturas y los justificantes.
  9. Comprueba si hay datos personales afectados. Si es así y supone un riesgo para las personas, el RGPD obliga a notificarlo a la AEPD en un máximo de 72 horas desde que lo supiste.

Qué decir a tu equipo y a tus contactos

Avisa pronto y sin dramatismo. Cuenta qué ha pasado, qué deben hacer y a quién preguntar. Sin culpar a nadie: si se regaña a quien pica, la próxima vez no avisará. Puedes copiar este mensaje y adaptarlo:

Plantilla de aviso por un correo falso
Asunto: Aviso: correo falso que se hace pasar por [empresa o persona]

Hola a todos:

Hoy ha circulado un correo falso que dice venir de [nombre] y que pide [por ejemplo: pagar una factura / entrar con tu contraseña en un enlace]. No es legítimo.

Qué hacer:
- Si lo tienes en la bandeja de entrada, no hagas clic ni abras adjuntos. Márcalo como phishing y bórralo.
- Si ya has hecho clic o has escrito algún dato, avísame cuanto antes. No pasa nada por haberlo hecho: lo importante es actuar rápido.
- Ante cualquier mensaje raro, pregúntame antes de actuar.

Gracias.
[Tu nombre]

Si el correo falso salió desde la cuenta de alguien de tu equipo, avisa también a clientes y proveedores: «si has recibido un mensaje nuestro raro entre [hora] y [hora], ignóralo y no abras sus enlaces».

Cómo evitarlo: seis hábitos que funcionan

  1. Doble factor (2FA) en el correo, la banca y el panel de tu web. Si alguien consigue tu contraseña, no basta para entrar. Cuando puedas, usa llaves de acceso («passkeys») o una app de autenticación, que resisten mejor al engaño que los SMS.
  2. Un gestor de contraseñas. Genera una contraseña distinta para cada sitio y, además, solo la rellena en la web verdadera: si la página es falsa, no se rellena y lo notas.
  3. Una norma para los pagos: cualquier transferencia nueva o cambio de IBAN se confirma por teléfono, y las cantidades altas las aprueban dos personas.
  4. Configura SPF, DKIM y DMARC en tu dominio. Son tres registros que permiten a otros servidores comprobar que un correo con tu nombre viene de verdad de ti. Sin ellos, cualquiera puede mandar correos haciéndose pasar por tu empresa y llegar a tus clientes.
  5. Mantén todo actualizado: el sistema, el navegador, el programa de correo y la web. Así un adjunto malicioso lo tiene más difícil.
  6. Habla de ello con tu equipo, cinco minutos de vez en cuando. Enseña un correo falso real, explica las señales y deja claro que preguntar es siempre bienvenido.

Preguntas frecuentes

¿Qué diferencia hay entre phishing, smishing y vishing?

Es el mismo engaño por distintos canales: el phishing llega por correo, el smishing por SMS y el vishing por llamada telefónica. También existen versiones por WhatsApp y con códigos QR. Las señales son las mismas: prisa, una petición inesperada y un enlace o un dato que te piden.

He hecho clic en un enlace, pero no he escrito nada. ¿Qué hago?

Cierra la pestaña y no vuelvas a entrar. Si no has introducido datos ni se ha descargado nada, por lo general no ha pasado nada. Si se ha descargado algún archivo, no lo abras y avisa a quien lleve tu informática.

¿Cómo sé si un correo es falso si está muy bien escrito?

No te fijes solo en el aspecto. Mira qué te piden, si hay prisa, la dirección real del remitente y a dónde lleva el enlace. Y comprueba por otro canal, por ejemplo llamando a un teléfono que ya tengas, antes de pagar, entrar con tu contraseña o abrir el adjunto.

¿Pueden suplantar mi dominio para enviar correos a mis clientes?

Si tu dominio no tiene SPF, DKIM y DMARC bien configurados, es mucho más fácil. Con ellos, los servidores de correo pueden detectar los mensajes falsos que usan tu nombre. Puedes comprobar cómo lo tienes con la comprobación gratuita de Adarve.

¿Hay que denunciar el phishing?

Si has perdido dinero, datos o el control de una cuenta, sí: es un delito y puedes denunciarlo ante la Policía Nacional o la Guardia Civil, con el correo original y las capturas. Si solo lo has recibido y no has picado, basta con marcarlo como phishing y borrarlo.

¿Tengo que avisar a la AEPD?

Si el incidente afecta a datos personales y supone un riesgo para las personas, el RGPD obliga a notificarlo a la AEPD en un máximo de 72 horas desde que tuviste conocimiento. Si no tienes claro si te aplica, pide asesoramiento cuanto antes.

Sigue leyendo

Fuentes y más información

Esta guía es orientativa y no sustituye el asesoramiento técnico o legal de un profesional. Se actualiza cuando cambian los hechos.