El phishing es un engaño en el que alguien se hace pasar por una entidad o una persona de confianza para que le entregues contraseñas, datos bancarios o dinero. Llega por correo, por mensaje de texto, por WhatsApp o por una llamada.
Es la forma más común en que una empresa termina con cuentas robadas o pagos enviados a un delincuente, porque no ataca los sistemas: ataca a las personas. Aquí está cómo reconocerlo y qué hacer.
Formas más comunes
- Correo falso de un banco o una entidad: avisa de un bloqueo, una deuda o una multa y pide entrar a un enlace.
- Factura o comprobante adjunto: un archivo que al abrirse instala un programa malicioso.
- Suplantación de un proveedor: un correo que parece del proveedor de siempre informa un cambio de cuenta bancaria para el próximo pago.
- Suplantación del gerente: un mensaje urgente del jefe pide hacer una transferencia o comprar tarjetas de regalo.
- Mensajes de texto y WhatsApp: paquetes retenidos, premios, subsidios o códigos de verificación que alguien te pide reenviar.
- Llamadas de un supuesto asesor que solicita claves o códigos.
- Códigos QR falsos que llevan a páginas que imitan a las reales.
8 señales de un mensaje falso
- 1. Urgencia: «su cuenta será bloqueada hoy». La prisa busca que no pienses.
- 2. Remitente parecido, no igual: una letra cambiada o un dominio extraño después de la arroba.
- 3. Enlace que no coincide: al pasar el cursor por encima, la dirección real es distinta a la que dice el texto.
- 4. Pide claves o códigos: ninguna entidad seria los solicita por correo, chat o llamada.
- 5. Adjunto inesperado, sobre todo archivos comprimidos o documentos que piden habilitar funciones.
- 6. Saludo genérico como «estimado cliente», sin tu nombre.
- 7. Cambio de datos de pago comunicado solo por correo.
- 8. Demasiado bueno: premios, devoluciones o descuentos que no pediste.
Qué hacer si alguien cayó
- Cambiar de inmediato la contraseña de la cuenta afectada y de cualquier otra que use la misma.
- Cerrar las sesiones abiertas y activar la verificación en dos pasos.
- Llamar al banco si se entregaron datos financieros o se hizo un pago, para intentar frenar la transacción.
- Desconectar el equipo de la red si se abrió un adjunto sospechoso, y hacerlo revisar.
- Avisar al equipo: el mismo mensaje pudo llegarle a otros.
- Revisar reglas de reenvío en el correo: los atacantes suelen crear una para seguir leyendo los mensajes.
- Denunciar: en Colombia se puede reportar en el CAI Virtual de la Policía Nacional.
Lo más importante es que la persona avise rápido. Una empresa donde reportar un error trae un regaño es una empresa donde los errores se esconden.
¿Tu equipo sabría reconocer un correo falso?
Revisamos la seguridad del correo de tu empresa, activamos la verificación en dos pasos y la autenticación del dominio, y capacitamos a tu equipo con ejemplos reales.
Cómo proteger a la empresa
- Verificación en dos pasos en el correo, la banca y los sistemas principales. Aunque roben la contraseña, no pueden entrar.
- Autenticación del dominio con SPF, DKIM y DMARC, para que nadie envíe correos a nombre de tu empresa.
- Procedimiento de pagos: doble aprobación y confirmación telefónica para cuentas nuevas.
- Capacitación corta y frecuente, con ejemplos de mensajes reales.
- Contraseñas únicas por servicio, con un gestor de contraseñas.
- Equipos y programas actualizados.
- Copias de seguridad probadas, por si el engaño termina en ransomware.
Preguntas frecuentes
¿Abrir un correo falso ya es peligroso?
Por lo general el daño ocurre al hacer clic en el enlace, descargar el adjunto o entregar datos. Si solo lo abriste, márcalo como no deseado y elimínalo.
¿El antivirus detiene el phishing?
Ayuda a bloquear adjuntos y páginas conocidas, pero no reemplaza la atención de la persona. Muchos engaños no contienen ningún archivo malicioso.
¿Cómo sé si una página es la real?
Escribe tú mismo la dirección en el navegador en lugar de entrar por el enlace del mensaje, y revisa que el dominio sea exactamente el de la entidad.
¿Las empresas pequeñas también son blanco?
Sí. Los envíos son masivos y automáticos, y las empresas pequeñas suelen tener menos controles en los pagos.
En resumen
Desconfía de la urgencia, verifica el remitente, no entregues claves y confirma los pagos por otro canal. La verificación en dos pasos y un equipo capacitado frenan la mayoría de los intentos.
Refuerza con el correo corporativo para empresas, las copias de seguridad y nuestra consultoría IT.
El siguiente paso es ordenar los accesos: mira cómo crear contraseñas seguras y activar la verificación en dos pasos.