Cómo reconocer un correo de phishing: guía para tu plantilla

La mayoría de los ciberataques a pymes no empiezan con un virus sofisticado, sino con un correo. Un mensaje que parece del banco, de un proveedor o de Hacienda, un enlace y una contraseña entregada sin darse cuenta. Es el phishing, y la mejor defensa no es solo tecnológica: es que tu plantilla sepa reconocerlo. Esta guía está pensada para compartirla con tu equipo.

Qué es el phishing

El phishing es un engaño por correo electrónico (o por SMS, *smishing*, o por WhatsApp) en el que alguien se hace pasar por una empresa o una persona de confianza para conseguir que hagas algo: pulsar un enlace, abrir un archivo, escribir tu contraseña o hacer un pago.

Hay una variante especialmente peligrosa para las empresas: el fraude del CEO o del proveedor. El atacante se hace pasar por el gerente o por un proveedor habitual y pide una transferencia urgente o un cambio de cuenta bancaria.

7 señales para reconocer un correo de phishing

1. El remitente no cuadra. El nombre dice «Banco Santander», pero la dirección es algo como *avisos@santander-seguridad-cliente.com*. Mira siempre la dirección completa, no solo el nombre.
2. Hay prisa o amenaza. «Tu cuenta se bloqueará en 24 horas», «último aviso», «pago urgente hoy». La urgencia sirve para que no te pares a pensar.
3. Te pide datos o contraseñas. Ningún banco, ni Microsoft, ni la Agencia Tributaria te pedirá la contraseña por correo.
4. El enlace no lleva adonde dice. Pasa el ratón por encima del enlace, sin pulsar, y mira la dirección real que aparece. En el móvil, mantén el dedo pulsado.
5. Adjuntos inesperados. Una «factura» que no esperabas, un ZIP, o un documento que te pide «habilitar el contenido» o las macros.
6. Algo no encaja en el tono. Un saludo genérico («Estimado cliente»), errores extraños o un estilo distinto del habitual de esa persona.
7. Cambios de cuenta bancaria. Cualquier correo que te pida pagar a un número de cuenta nuevo es sospechoso hasta que se demuestre lo contrario.

Qué hacer si recibes un correo sospechoso

• No pulses enlaces ni abras adjuntos. Ante la duda, no.
• Comprueba por otra vía. Llama a la persona o a la empresa a un teléfono que ya conozcas, nunca al que aparece en el correo.
• Avisa. Reenvía el correo a quien lleve la informática de la empresa y bórralo después.
• No respondas. Responder confirma que tu dirección está activa.

Y si ya has pulsado o has escrito tu contraseña

Le pasa a cualquiera, y lo importante es actuar rápido y sin miedo a contarlo:

1. Cambia la contraseña de esa cuenta desde un equipo de confianza y, si la usabas en otros servicios, cámbiala también allí.
2. Avisa inmediatamente al responsable de informática o a tu proveedor. Cuanto antes se sepa, más fácil es contener el problema.
3. Si abriste un archivo, desconecta el equipo de la red (quita el cable o apaga el wifi) y no lo apagues hasta que te lo indiquen.
4. Si hiciste un pago, llama enseguida a tu banco para intentar pararlo.

Una empresa en la que la gente tiene miedo de reconocer un error es más vulnerable que una en la que se avisa enseguida.

La tecnología ayuda, las personas deciden

Los filtros antispam, la verificación en dos pasos y un buen sistema de protección reducen mucho el riesgo, pero ninguno es perfecto: algún correo acabará llegando a una bandeja de entrada. En ese momento, lo que marca la diferencia es que la persona que lo recibe sepa reconocerlo.

Por eso en SecuryPC la formación está incluida en nuestros planes: micropíldoras de menos de 15 segundos, webinars y, en los planes superiores, tests y simulacros de phishing. Puedes ver cómo funciona en nuestra página de formación en ciberseguridad para empresas o comprobar si tu negocio ya es una empresa Secury.

Para completar la protección de tu empresa, repasa esta checklist de seguridad informática para autónomos y comprueba si tus equipos necesitan algo más que un antivirus en Antivirus o EDR: qué necesita de verdad una pyme.