Phishing: cómo reconocer y evitar los correos fraudulentos

El phishing es, con diferencia, la puerta de entrada más usada en los ataques a empresas. No hace falta ser un hacker sofisticado: basta con enviar un correo convincente y esperar a que alguien pique. Y pican, porque cada vez están mejor hechos. Aprender a reconocerlos es una de las defensas más rentables que existe.

Qué es el phishing exactamente

Es un engaño por correo (o SMS, o WhatsApp) que se hace pasar por alguien de confianza —tu banco, un proveedor, Microsoft, incluso tu jefe— para que hagas algo: revelar una contraseña, hacer clic en un enlace malicioso, abrir un adjunto infectado o realizar una transferencia.

Señales de alerta de un correo fraudulento

• Urgencia o amenaza: "tu cuenta será bloqueada en 24h", "factura pendiente de pago inmediato". Buscan que actúes sin pensar.
• Remitente sospechoso: el nombre parece correcto, pero la dirección real es rara (revisa siempre la dirección completa, no solo el nombre).
• Enlaces que no cuadran: pasa el ratón por encima sin hacer clic y mira a dónde apunta de verdad.
• Errores de redacción o un tono que no es el habitual de esa persona o empresa.
• Te piden datos confidenciales: ningún banco ni proveedor serio pide contraseñas por correo.
• Adjuntos inesperados: facturas, presupuestos o "documentos importantes" que no esperabas.

Qué hacer ante un correo sospechoso

1. No hagas clic ni abras adjuntos. Tampoco respondas.
2. Verifica por otra vía. Si dice ser tu banco o un compañero, llama por teléfono usando un número que ya conozcas, no el que aparece en el correo.
3. Avisa a tu responsable de IT. Puede que otros compañeros estén recibiendo lo mismo.
4. Si ya hiciste clic o diste datos, avisa de inmediato y cambia las contraseñas afectadas cuanto antes.

Cómo protege la empresa además del sentido común

La formación del equipo es la base, pero se complementa con medidas técnicas: filtros antispam y antiphishing en el correo, doble factor de autenticación (para que una contraseña robada no baste), y políticas claras para las operaciones sensibles como las transferencias.

En resumen

El phishing apuesta por las prisas y la confianza. La defensa es justo lo contrario: parar, dudar y verificar. Un equipo formado para reconocer estas señales, junto con doble factor y buenos filtros, deja fuera a la inmensa mayoría de estos fraudes.