Índice del artículo
Te llega un correo que parece de Microsoft:
“Tu contraseña caduca hoy. Actualízala aquí.”
El logo está bien, el mensaje está perfectamente escrito y el botón parece llevar a la página habitual.
O recibes un email de un proveedor:
“Hemos cambiado de banco. A partir de ahora, realiza los pagos en esta nueva cuenta.”
Nada parece especialmente extraño y precisamente ahí está el problema.
Un correo phishing ya no tiene por qué parecer falso. Puede imitar a un banco, una administración, Microsoft, Google, un proveedor o incluso a alguien de tu propia empresa.
En algunos fraudes dirigidos a empresas, además, el mensaje puede llegar desde una cuenta auténtica que ha sido comprometida.
Por eso, buscar faltas de ortografía ya no es suficiente.
No necesitas convertir a todo tu equipo en especialista en ciberseguridad, necesitas conseguir que se acostumbre a parar y revisar unas pocas cosas antes de introducir una contraseña, descargar un archivo o mover dinero.
6 señales que deberías revisar antes de hacer clic
Una sola señal extraña no significa necesariamente que un correo sea fraudulento, pero si algo no encaja, merece la pena comprobarlo antes de actuar.
1. El nombre del remitente parece correcto, pero la dirección no
Tu programa de correo puede mostrar:
Microsoft Seguridad
pero la dirección real ser:
avisos@seguridad-microsoft365.com
El nombre visible no demuestra quién ha enviado realmente el mensaje.
Por eso, antes de hacer clic en un correo inesperado, mira la dirección completa del remitente.
Y hay algo todavía más importante: una dirección conocida tampoco garantiza al 100 % que el mensaje sea legítimo.
Si la cuenta de un proveedor o compañero ha sido comprometida, el atacante puede escribir desde una dirección auténtica. Por tanto, además del remitente, siempre hay que mirar qué te están pidiendo y si tiene sentido dentro del contexto habitual.
2. El enlace contiene el nombre correcto, pero no pertenece al dominio oficial
Imagina que un botón dice:
Actualizar contraseña de Microsoft
Antes de hacer clic, colocas el ratón encima y aparece:
A primera vista contiene la palabra “Microsoft”.
Pero el dominio no es microsoft.com.
Compáralo con:
Los atacantes pueden utilizar direcciones que incluyen el nombre de una empresa para que parezcan legítimas:
micros0ft.com
microsoft-verificacion.com
microsoft.seguridad-cuenta.com
Por eso, no te fijes únicamente en que aparezca el nombre que esperabas.
Y existe una regla todavía más sencilla:
Si tienes dudas, no utilices el enlace del correo.
Abre tú mismo el navegador, escribe la dirección que utilizas habitualmente o entra desde la aplicación oficial.
En muchas ocasiones es más seguro hacer eso que intentar decidir si una URL sospechosa está bien construida.
3. El correo intenta que actúes antes de pensar
“Último aviso.”
“Tu cuenta será bloqueada hoy.”
“Necesito esta transferencia antes de las 14:00.”
“Responde inmediatamente.”
La urgencia no convierte automáticamente un mensaje en phishing, pero sí es una técnica habitual para conseguir que la persona actúe antes de comprobar lo que está ocurriendo.
Cuanto más grave parezca la consecuencia de no actuar inmediatamente, más sentido tiene dedicar dos minutos a verificarlo. Especialmente cuando el mensaje incluye además un enlace, archivo, solicitud de credenciales o movimiento de dinero.
4. Te pide información que normalmente no entregarías por email
Desconfía especialmente cuando un mensaje solicita:
- contraseñas;
- códigos de acceso;
- PIN;
- datos bancarios;
- información confidencial;
- códigos recibidos por SMS;
- acceso a una cuenta.
Un proveedor legítimo puede avisarte de que existe un problema con tu cuenta.
Eso no significa que debas resolverlo necesariamente desde el enlace que incluye su correo.
Si tienes dudas, entra directamente en el servicio y comprueba allí si realmente existe el aviso.
5. Incluye un archivo o documento que no esperabas
“Factura pendiente.”
“Presupuesto actualizado.”
“Notificación.”
“Documento compartido.”
Un archivo adjunto no es sospechoso simplemente por existir.
La pregunta importante es:
¿Esperabas recibirlo?
Si un proveedor que nunca te envía archivos comprimidos te manda uno inesperadamente, o recibes una supuesta factura de una empresa con la que no trabajas, conviene parar.
Lo mismo ocurre con enlaces a documentos de Google Drive, Microsoft 365, Dropbox u otras plataformas: que la página o el botón tenga un aspecto conocido no garantiza que debas iniciar sesión desde ahí.
6. Te están pidiendo que cambies algo relacionado con dinero
Este es el punto que más debería preocupar a una empresa.
Un correo puede decir:
“Te adjunto nuestra factura. Hemos cambiado de entidad bancaria y, a partir de este mes, debes utilizar este nuevo IBAN.”
Puede ser completamente legítimo.
Pero también es uno de los fraudes que puede provocar mayores pérdidas.
Si cambia una cuenta bancaria, para
Una empresa debería tener una norma muy sencilla:
Un cambio de IBAN nunca se valida únicamente porque haya llegado por correo electrónico.
Hay que comprobarlo por un segundo canal.
Por ejemplo, llamar al proveedor utilizando el teléfono que ya tenías guardado, el de una factura anterior o el que aparece en su página web oficial.
No utilices para realizar esa comprobación el número de teléfono que aparece precisamente en el correo sospechoso.
La misma regla debería aplicarse a:
- cambios de cuenta de proveedores;
- modificaciones de nóminas;
- transferencias extraordinarias;
- devoluciones;
- anticipos;
- domiciliaciones;
- cualquier cambio que determine dónde terminará el dinero.
Y también a mensajes aparentemente enviados por dirección:
“Estoy reunido y no puedo hablar. Necesito que hagas esta transferencia ahora y no se lo comentes a nadie.”
Una solicitud urgente no debería permitir saltarse el procedimiento habitual.
Cuanto más irreversible sea una acción, más importante es comprobarla por otro canal.
Una llamada de dos minutos puede ser una medida de seguridad mucho más útil que instalar otra herramienta.
Qué hacer si ya has hecho clic
No todos los errores tienen las mismas consecuencias.
Lo importante es actuar según lo que haya ocurrido.
| Qué ha pasado | Qué hacer |
| Solo has abierto el correo | No pulses enlaces ni abras adjuntos. Márcalo como phishing o comunícalo internamente. |
| Has pulsado un enlace | Cierra la página. Si es un equipo de empresa, informa a la persona responsable si tienes dudas sobre lo ocurrido. |
| Has introducido tu contraseña | Cámbiala inmediatamente desde la web oficial. Si la reutilizas en otros servicios, cámbiala también allí y activa la autenticación en dos pasos. |
| Has descargado o abierto un archivo sospechoso | Deja de utilizarlo y avisa al responsable técnico para que pueda revisar el dispositivo. |
| Has facilitado datos bancarios | Contacta cuanto antes con tu entidad bancaria. |
| Has realizado una transferencia | Avisa inmediatamente al banco, conserva correos y justificantes y valora presentar denuncia. |
Si tienes dudas sobre cómo actuar, en España puedes recurrir al servicio 017 de INCIBE, especializado en ayuda en ciberseguridad.
En una empresa también hay que tener en cuenta otra cuestión: si el incidente ha permitido acceder a información personal de clientes, trabajadores u otras personas, puede existir una brecha de datos que deba ser evaluada conforme a la normativa de protección de datos. En ese caso conviene revisar las indicaciones de la Agencia Española de Protección de Datos y contar con asesoramiento adecuado.
Checklist de 30 segundos antes de hacer clic
Esta es la parte que merece la pena compartir con todo el equipo.
Antes de pulsar un enlace, abrir un archivo o introducir datos, haz estas seis comprobaciones:
- ¿Esperaba este correo, factura, documento o aviso?
- ¿La dirección completa del remitente es realmente la que debería ser?
- ¿El enlace lleva al dominio oficial?
- ¿El mensaje está intentando meterme prisa, asustarme o hacer que actúe sin comprobar?
- ¿Me pide contraseña, datos, descargar algo o mover dinero?
- ¿Puedo comprobarlo entrando por mi cuenta en el servicio o preguntando por otro canal?
Si alguna respuesta te hace dudar:
no hagas clic todavía.
No necesitas demostrar que el correo es phishing, solo necesitas suficientes motivos para detener la acción y comprobarla por otro medio.
El phishing es solo una de las situaciones en las que pequeños hábitos pueden evitar problemas bastante grandes. Si quieres ampliar esta parte, en 7 hábitos digitales que protegen tu empresa y casi nadie aplica reunimos otras medidas sencillas que una pyme puede incorporar en su día a día sin necesidad de conocimientos técnicos.
Y si quieres que estas pautas no se queden en un documento que nadie vuelve a mirar, también es importante que el equipo sepa aplicarlas en situaciones reales. En Crece Digital ofrecemos formación digital para equipos adaptada a las herramientas, tareas y nivel de cada empresa.
No necesitas que tu equipo se convierta en experto en phishing
El objetivo no es conseguir que cada persona sepa analizar cabeceras de correo, estudiar dominios o investigar técnicamente cada mensaje.
El objetivo es mucho más sencillo:
que sepan reconocer cuándo deben parar.
Antes de entregar una contraseña, descargar un archivo inesperado, modificar una cuenta bancaria, realizar una transferencia…
Y, sobre todo, que exista un procedimiento sencillo para comprobar esas situaciones cuando aparecen.
Si en tu empresa hay procesos sensibles que actualmente dependen de que alguien “se acuerde de comprobarlo”, puede ser buen momento para revisar cómo están definidos. En Crece Digital trabajamos la optimización y digitalización de procesos para pymes precisamente para detectar este tipo de puntos débiles y convertirlos en procedimientos más claros.
Una última regla merece quedarse:
Si algo no encaja, comprobar antes de hacer clic nunca es perder el tiempo.
Preguntas frecuentes sobre correos phishing
Revisa la dirección completa del remitente, el dominio al que apuntan los enlaces, si esperabas el mensaje, si intenta generar urgencia y si solicita contraseñas, información, archivos o dinero. Si algo no encaja, verifica la petición por un canal independiente antes de actuar.
Cierra la página. Si no has introducido información ni descargado nada, el riesgo es diferente a haber entregado credenciales. Si utilizas un equipo corporativo o tienes dudas sobre lo ocurrido, comunícalo al responsable correspondiente.
Cámbiala inmediatamente entrando directamente en la web oficial del servicio. Si utilizabas esa misma contraseña en otras cuentas, cambiala también allí. Activa la autenticación en dos pasos siempre que esté disponible y avisa al responsable técnico si se trata de una cuenta empresarial.
Puedes solicitar orientación a través del 017 de INCIBE. Si has sufrido una pérdida económica o un posible delito, conserva correos, capturas, justificantes y demás evidencias y contacta también con tu entidad bancaria y con las Fuerzas y Cuerpos de Seguridad cuando corresponda.