¿Qué es el phishing y cómo reconocer un correo falso?
Imagina que recibes un correo de Microsoft que te avisa que tu cuenta será bloqueada hoy, el mensaje parece real, tiene el logotipo de la empresa y te ofrece un botón para solucionar el problema.
¿Qué harías? ¿Harías clic para evitar perder el acceso a tu cuenta?
Ese es precisamente el tipo de situación que buscan provocar los correos de phishing: hacer que actúes rápidamente, sin detenerte a comprobar si el mensaje es verdadero.
Este tipo de engaño puede afectar a cualquier persona, en una empresa puede poner en riesgo las cuentas de correo, los documentos, la información de los clientes e incluso el dinero del negocio.
La buena noticia es que hay señales que puedes aprender a reconocer, en esta guía te explicamos qué es el phishing, cómo funciona, qué debes revisar antes de abrir un enlace y qué hacer si recibes un mensaje sospechoso.
¿Qué es el phishing?
El phishing, también conocido como suplantación de identidad, es un engaño en el que alguien se hace pasar por una persona o una empresa de confianza para conseguir información o provocar una acción que te perjudique.
Por ejemplo, un delincuente puede hacerse pasar por tu banco, un proveedor, un compañero de trabajo o una plataforma que utilizas todos los días.
Su objetivo puede ser conseguir tu contraseña, acceder a tu cuenta, robar información o convencerte de realizar una transferencia.
Para lograrlo, utiliza mensajes que parecen legítimos, algunos dicen que tienes un problema con tu cuenta; otros informan sobre una factura pendiente, un documento compartido o una supuesta actividad sospechosa.
El mensaje puede parecer completamente normal, lo peligroso está en lo que te pide hacer.
¿Cómo funciona un ataque de phishing?
Por lo general, el engaño sigue un proceso sencillo:
1. Recibes un mensaje que parece confiable: puede llegar por correo electrónico, SMS o incluso mediante una llamada telefónica.
2. El mensaje intenta convencerte de actuar: puede decirte que tu cuenta está en peligro, que debes revisar una factura o que necesitas confirmar tus datos.
3. Te invita a hacer algo: abrir un enlace, descargar un archivo, compartir una contraseña o realizar un pago.
4. El atacante aprovecha tu acción: según el tipo de engaño, puede robar tus datos, acceder a una cuenta o instalar un programa malicioso.
No todos los ataques funcionan de la misma manera, sin embargo muchos tienen algo en común: intentan ganarse tu confianza y hacer que tomes una decisión sin verificar la información.
¿Qué tipos de phishing existen?
Aunque el correo electrónico es uno de los medios más conocidos, el phishing puede presentarse de varias formas.
1. Phishing por correo electrónico
Es el caso más habitual recibes un mensaje que parece provenir de una empresa, un banco, un proveedor o una persona conocida, el correo puede incluir un enlace falso, un archivo adjunto peligroso o una solicitud de información confidencial.
Ejemplo: recibes un mensaje que dice que tu contraseña está por vencer y debes iniciar sesión para conservar tu cuenta.
2. Phishing por SMS
También conocido como smishing, utiliza mensajes de texto para engañar a las personas, puede tratarse de una supuesta entrega pendiente, una multa, un premio o un problema con una cuenta.
Ejemplo: recibes un SMS que te pide pagar una pequeña tarifa para liberar un paquete y contiene un enlace para realizar el pago.
3. Phishing por llamadas telefónicas
Conocido como vishing, utiliza llamadas para hacerse pasar por una entidad legítima o una persona de confianza, quien llama puede decir que trabaja en soporte técnico, en un banco o en el departamento de informática de tu empresa.
Ejemplo: alguien te llama y afirma que necesita tu código de verificación para solucionar un problema con tu cuenta.
4. Ataques dirigidos a una persona o empresa
No todos los mensajes fraudulentos se envían al azar, algunos están preparados específicamente para una persona, un empleado o una organización, el atacante puede utilizar nombres de compañeros, información pública de la empresa o referencias a tareas reales para que el mensaje resulte más convincente.
Este tipo de engaño puede ser especialmente difícil de detectar porque utiliza información que parece familiar.
Ejemplo: un empleado de administración recibe un correo que parece provenir de un directivo y que solicita realizar una transferencia urgente.
¿Cómo reconocer un correo falso?
No siempre es fácil distinguir un mensaje legítimo de uno fraudulento, los atacantes pueden copiar logotipos y utilizar nombres conocidos.
Por eso no debes fijarte en una sola señal, lo importante es revisar el mensaje completo antes de hacer clic.
1. Revisa quién te envía el correo
Mira la dirección completa del remitente, no solamente el nombre que aparece en tu bandeja de entrada por ejemplo, un mensaje puede mostrar el nombre de una empresa conocida, pero utilizar una dirección con palabras adicionales, letras cambiadas o un dominio que no corresponde.
No te apresures a confiar en un correo solo porque aparece el nombre de tu banco, proveedor o plataforma de trabajo.
Qué puedes hacer: si el mensaje te resulta extraño, compara la dirección con la que utiliza normalmente esa organización. Si tienes dudas, contacta con ella mediante sus canales oficiales.
2. Desconfía de los mensajes que te apuran
Frases como estas deberían hacerte detenerte:
1. “Tu cuenta será bloqueada hoy”.
2. “Último aviso antes de suspender el servicio”.
3. “Debes confirmar tus datos inmediatamente”.
4. “Realiza el pago ahora para evitar una penalización”.
El objetivo puede ser que sientas miedo o preocupación y hagas clic antes de pensar.
Por eso conviene comprobarlo antes de hacer lo que pide.
Qué puedes hacer: entra directamente al sitio oficial del servicio o consulta con la empresa por un medio que ya conozcas.
3. Comprueba a dónde te lleva el enlace
Un botón que dice “Ver documento”, “Ingresar a tu cuenta” o “Consultar factura” no garantiza que te lleve a una página legítima.
En una computadora puedes colocar el cursor sobre el enlace sin hacer clic para ver la dirección de destino, si el dominio parece extraño, contiene errores o no tiene relación con el servicio mencionado, no lo abras.
Recuerda: el candado de seguridad HTTPS, por sí solo, no demuestra que una página sea legítima.
4. Ten cuidado con los archivos adjuntos
Un correo puede incluir una supuesta factura, una orden de compra, un currículum o un documento pendiente de revisión, el problema es que un archivo inesperado puede contener contenido malicioso o llevarte a instalar un programa que no necesitas, que el archivo sea PDF o Word tampoco garantiza que sea seguro.
Antes de abrirlo, piensa si esperabas recibirlo y si conoces al remitente, si se trata de un documento inesperado relacionado con el trabajo, consulta con el remitente por otro canal o con el área de informática, no habilites funciones, ejecutes archivos ni instales programas solo porque el correo te lo solicita.
5. Presta atención a lo que te pide el mensaje
Hay una diferencia entre recibir una notificación y que alguien te pida entregar información sensible.
Desconfía especialmente de los mensajes que solicitan:
1. Contraseñas o códigos de verificación.
2. Datos bancarios o información de tarjetas.
3. Acceso a documentos internos.
4. Cambios en los datos de pago de un proveedor.
5. Transferencias fuera del procedimiento habitual.
Evita enviar contraseñas o códigos de autenticación por correo, si te solicitan dinero o un cambio de cuenta bancaria, confirma la operación mediante un procedimiento independiente.
6. No confíes únicamente en el logotipo o la firma
Un correo puede tener el logotipo correcto, los colores de la empresa y una firma que parece profesional, todo eso se puede copiar, también puede estar bien escrito y dirigirse a ti por tu nombre.
Un mensaje no es confiable porque se vea profesional.
Revisa el remitente, el enlace y el motivo del mensajem si te pide algo inusual, verifica la solicitud antes de responder.
7. Comprueba si el mensaje tiene sentido
Pregúntate si esperabas ese correo y si la solicitud coincide con lo que estás haciendo, por ejemplo:
1. ¿Realmente pediste restablecer tu contraseña?
2. ¿Estás esperando esa factura?
3. ¿Es habitual que ese proveedor te escriba desde esa dirección?
4. ¿Tiene sentido que un compañero te pida esa información?
5. ¿La solicitud sigue el procedimiento normal de tu empresa?
Los errores de ortografía o los saludos genéricos pueden ser señales de alerta, pero no son una prueba definitiva, los correos fraudulentos también pueden estar muy bien redactados.
8. Verifica los pedidos inusuales, incluso si vienen de alguien conocido
Este punto es especialmente importante en las empresas.
Imagina que recibes un correo que parece provenir de tu jefe y te pide realizar una transferencia urgente, o que un proveedor habitual te informa que cambió su cuenta bancaria, aunque el remitente te resulte familiar, no ejecutes la solicitud sin comprobarla, la cuenta de una persona conocida podría haber sido comprometida o el mensaje podría estar suplantando su identidad.
Recomendamos llamar a la persona utilizando un número que ya tengas registrado o confirma la solicitud por otro canal confiable, para pagos y cambios bancarios, sigue siempre el procedimiento de autorización de tu organización.
¿Qué puede pasar si caes en un ataque de phishing?
Las consecuencias dependen de lo que hayas hecho y de la información que esté en juego, en algunos casos, el objetivo es robar una contraseña, en otros es conseguir datos financieros, acceder a documentos o engañar a una persona para que realice un pago, para una empresa los riesgos pueden incluir:
1. Pérdida de acceso a cuentas: alguien podría entrar al correo corporativo utilizando credenciales robadas.
2. Exposición de información: documentos internos o datos de clientes podrían quedar en manos de terceros.
3. Fraude financiero: un empleado podría ser engañado para transferir dinero o modificar datos de pago.
4. Problemas operativos: un incidente informático puede interrumpir tareas y afectar el trabajo diario.
5. Daño a la confianza: una filtración o una suplantación puede afectar la relación con clientes y proveedores.
No significa que todos los correos sospechosos vayan a provocar estos problemas, el riesgo aumenta cuando el mensaje consigue que la persona entregue información o realice una acción peligrosa.
¿Qué hacer si recibes un correo sospechoso?
Si un mensaje te genera dudas, no necesitas demostrar que es falso para detenerte, sigue estos pasos:
1. No hagas clic ni descargues archivos: evita interactuar con el mensaje mientras verificas su origen.
2. No respondas ni compartas información: no envíes contraseñas, códigos ni datos personales.
3. Comprueba la información por otro canal: si el correo dice venir de una empresa o un compañero, contacta con esa persona mediante un medio conocido.
4. Repórtalo: si utilizas correo corporativo, sigue el procedimiento de tu empresa o informa al área de informática, en los servicios de correo que lo permitan, utiliza la opción para reportar phishing.
5. Elimina el mensaje cuando corresponda: hazlo siguiendo las indicaciones de tu servicio de correo o de tu equipo de TI, especialmente si forma parte de un incidente que debe investigarse.
Una de las formas de reducir el riesgo de phishing es utilizar herramientas que analicen los correos antes de que lleguen a los usuarios, una opción es Acronis Email Security, una solución que ayuda a detectar y bloquear amenazas transmitidas por correo electrónico, como phishing, enlaces maliciosos, archivos peligrosos e intentos de suplantación de identidad.
¿Y si ya hiciste clic?
1. Si abriste el enlace, pero no ingresaste información: cierra la página y comunica el incidente, no descargues nada ni sigas las instrucciones de la página.
2. Si ingresaste tu contraseña: informa cuanto antes al área de TI o al proveedor afectado, cambia la contraseña desde el sitio oficial, usando un dispositivo confiable, revisa las sesiones activas y los métodos de autenticación.
3. Código de verificación: si descargaste o ejecutaste un archivo: informa al área técnica de inmediato, no intentes resolverlo por tu cuenta si se trata de un equipo de trabajo.
4. Cambia tu contraseña y habilita la autenticación doble factor inmediatamente: ya que esta es la manera más segura de blindar tu cuenta y proteger tus datos ante accesos no autorizados.
Si realizaste un pago o compartiste datos bancarios, contacta también con tu banco por sus canales oficiales, avisar rápidamente puede ayudar a reducir las consecuencias, en una empresa reportar un error a tiempo es mucho más útil que ocultarlo.
¿Cómo puede una empresa protegerse del phishing?
En una organización, la seguridad no debe depender únicamente de que todos los empleados reconozcan cada correo falso, la prevención funciona mejor cuando se combinan buenos hábitos, herramientas y procedimientos claros, estas son algunas medidas que conviene evaluar:
1. Autenticación multifactor: añadir una segunda verificación para acceder a las cuentas, cuando sea posible, priorizar métodos resistentes al phishing.
2. Capacitación de los colaboradores: explicar con ejemplos reales cómo reconocer mensajes sospechosos y cómo reportarlos.
Procedimientos para pagos y cambios bancarios: confirmar las solicitudes sensibles por un canal independiente, especialmente cuando involucran transferencias o cambios de cuenta.
Control de accesos: dar a cada empleado únicamente los permisos que necesita para realizar su trabajo.
Configuración del dominio de correo: revisar mecanismos como SPF, DKIM y DMARC, que ayudan a proteger el dominio frente a determinados tipos de suplantación.
Actualizaciones y mantenimiento: mantener actualizados los sistemas, navegadores y aplicaciones que utiliza la empresa.
Ninguna medida garantiza que todos los ataques vayan a bloquearse, la protección debe adaptarse a las herramientas, las cuentas y las necesidades de cada organización.
Utiliza Aplicaciones como Acronis para realizar copias de seguridad en la nube:
¿Y si al hacer clic en un correo se cifran todos tus datos? ¿Cuál es el plan B?
Las copias de seguridad permiten conservar varias versiones de la información y recuperarlas cuando se producen incidentes de este tipo.