Un correo de «su banco», un aviso de un «proveedor» con una factura adjunta o un mensaje de un «director» que pide una transferencia urgente. El phishing, que consiste en engañar a una persona para que entregue datos o ejecute una acción, sigue siendo una de las formas más comunes de entrar en una empresa. Y no hace falta ser una gran compañía: las pymes son un objetivo habitual porque suelen tener menos defensas.
Por qué funciona
El phishing no ataca al sistema, ataca a la prisa y a la confianza. Los mensajes actuales ya no tienen las faltas de ortografía de hace años: se redactan con cuidado, imitan el tono de un compañero real y, cada vez más, se apoyan en herramientas que generan textos muy convincentes.
Las variantes que más vemos
- Correo clásico: enlaces a una página falsa que copia el acceso de Microsoft 365, del banco o de un servicio de mensajería.
- Fraude del CEO o de la factura: alguien se hace pasar por un directivo o un proveedor para pedir un pago o un cambio de cuenta bancaria.
- SMS y WhatsApp (smishing): paquetes retenidos, multas, avisos del banco con un enlace.
- Códigos QR (quishing): un QR en un correo o en un cartel que lleva a una web falsa.
- Llamadas (vishing): una voz que dice ser del soporte técnico o del banco y pide un código.
Siete señales para detectarlo
- Urgencia o amenaza: «su cuenta se bloqueará hoy», «pago inmediato».
- Remitente casi correcto: compruebe la dirección completa, no solo el nombre que se muestra.
- Enlaces que no coinciden: pase el ratón por encima sin hacer clic y mire la dirección real.
- Petición inusual: credenciales, códigos de verificación, cambios de IBAN, tarjetas regalo.
- Adjuntos inesperados, sobre todo comprimidos o con macros.
- Saludo genérico en un mensaje que debería conocerle por su nombre.
- Un canal distinto al habitual: un jefe que de pronto escribe por WhatsApp desde un número nuevo.
Si duda, no responda al mensaje: llame al remitente por un teléfono que usted ya conozca.
Qué hacer si ya ha hecho clic
- Desconecte el equipo de la red, pero no lo apague.
- Si introdujo una contraseña, cámbiela de inmediato desde otro dispositivo y revise las sesiones abiertas.
- Avise al responsable de informática o a su proveedor sin esperar. Cuanto antes se sepa, menos daño.
- Si hubo un pago, contacte con el banco enseguida para intentar frenar la operación.
- Puede consultar a INCIBE por teléfono (017) o en su web.
Cómo protegerse como empresa
- Verificación en dos pasos (MFA) en correo, VPN y paneles de administración. Es la medida que más reduce el daño de una contraseña robada.
- Filtro de correo y antispam actualizado, con análisis de enlaces y adjuntos.
- Antivirus y supervisión en cada equipo, para frenar lo que pase el filtro.
- Copias de seguridad aisladas, que un atacante no pueda borrar ni cifrar.
- Procedimiento de pagos: todo cambio de cuenta bancaria se confirma por una segunda vía.
- Formación breve y periódica, con simulacros de phishing. Tres minutos al mes funcionan mejor que una charla anual.
Cómo podemos ayudarle
En Procesos combinamos filtrado de correo, supervisión, copias blindadas y formación para equipos. Si quiere saber cuán expuesta está su empresa, empezamos con un diagnóstico.