El correo que parece de tu banco (o de un proveedor): cómo detectar el phishing que apunta a tu empresa

Llega un correo. El logo es correcto, el tono es serio y el asunto mete prisa: «Detectada actividad sospechosa en su cuenta», «Factura pendiente de pago», «Actualice sus datos antes de 24 horas». Todo parece normal… hasta que alguien de tu equipo hace clic, introduce una contraseña o paga una factura que nunca debió pagar.

Eso es phishing, y no es un problema de particulares despistados: es una de las principales vías por las que las empresas pierden dinero y datos. Peor aún, muchos de estos correos están hechos específicamente para engañar a negocios como el tuyo.

Aquí te explicamos, sin tecnicismos, cómo reconocerlo, qué hacer si lo recibes y por qué la mejor defensa combina un equipo humano formado y una protección profesional.

Qué es el phishing (y por qué funciona tan bien)

El phishing es un engaño por correo (también por SMS o mensajería) en el que alguien se hace pasar por una empresa o persona de confianza —tu banco, un proveedor, una administración, incluso tu jefe— para que hagas algo perjudicial: revelar una contraseña, hacer un pago o abrir un archivo con malware.

Su fuerza no está en la tecnología, sino en la psicología. Estos correos juegan siempre con las mismas palancas:

• La urgencia: «actúa ya o habrá consecuencias».
• La autoridad: parece venir de alguien a quien no llevas la contraria.
• La rutina: imita algo que haces cada día, como pagar una factura.

Cuando esas tres cosas se juntan, la persona actúa por inercia, sin pararse a comprobar. Y ahí está el problema.

Por qué tu empresa es un objetivo (aunque sea pequeña)

Muchos dueños piensan: «¿Quién va a fijarse en mi negocio?». La realidad es la contraria. Las pymes son un objetivo preferente porque:

• Suelen tener menos barreras de seguridad que una gran empresa.
• Manejan dinero y datos de clientes igual que cualquier otra.
• A menudo nadie ha formado al equipo para reconocer estos engaños.

Además, no hace falta engañar al dueño. Basta con que un solo empleado —administración, atención al cliente, quien sea— caiga una vez. Una contraseña filtrada o una factura pagada de más pueden costar mucho más que cualquier medida de protección.

Cómo reconocer un correo de phishing: las señales clave

La buena noticia es que casi todos los correos fraudulentos comparten pistas. Enséñaselas a tu equipo y detectaréis la mayoría al vuelo:

• La dirección real del remitente no cuadra. El nombre puede poner «Banco X», pero el correo de verdad es una dirección rara o de un dominio que no es el oficial.
• Meten prisa o amenazan. «Su cuenta será bloqueada», «última oportunidad», «responda hoy mismo».
• Piden datos o acciones sensibles. Contraseñas, datos bancarios, un pago urgente, «confirmar» tus credenciales.
• Enlaces que no llevan donde dicen. Al pasar el ratón por encima (sin hacer clic), la dirección real no coincide con la que aparece.
• Archivos adjuntos inesperados. Facturas, presupuestos o «documentos importantes» que no esperabas.
• Detalles que chirrían. Faltas de ortografía, un saludo genérico («Estimado cliente»), un logo algo distinto.
• Un cambio en algo importante. «Hemos cambiado nuestro número de cuenta, haga el próximo pago aquí».

Ese último punto merece una mención aparte, porque es uno de los fraudes más caros que sufren las empresas.

Cuidado especial: el proveedor que «cambia de cuenta» y el fraude del CEO

Dos variantes de phishing golpean directamente al bolsillo de las pymes:

• La factura del proveedor con la cuenta cambiada. Un correo que parece de un proveedor habitual avisa de un «nuevo número de cuenta». Si pagas ahí, el dinero va directo al estafador.
• El fraude del CEO. Un correo que aparenta venir de la dirección de la empresa pide a administración una transferencia «urgente y confidencial». El empleado, por no contradecir al jefe, la hace.

En ambos casos la defensa es la misma y es sencilla: ante cualquier cambio de datos bancarios o pago urgente, verificar por otro canal (una llamada de teléfono al número de siempre) antes de mover un solo euro.

La regla que no falla

Igual que en otros engaños dirigidos a personas, hay un hábito que corta de raíz la mayoría de estos ataques:

Ante un correo que pide datos, dinero o urgencia, no actúes desde el propio correo. Verifica por un canal independiente.

Es decir: no pulses el enlace del correo ni respondas a él. Entra tú directamente a la web del banco escribiendo la dirección, o llama al proveedor al teléfono que ya tenías. Si el correo era real, no pierdes nada. Si era falso, acabas de evitar el problema.

Qué hacer si recibes (o si ya picaste) un phishing

Si sospechas de un correo:

1. No hagas clic en enlaces ni abras adjuntos.
2. No respondas ni reenvíes el correo a compañeros «por si acaso».
3. Verifica por un canal aparte si es necesario.
4. Avisa al responsable de informática y elimínalo.

Si alguien ya hizo clic o introdujo datos:

1. Cambia de inmediato la contraseña afectada y las que fueran iguales en otros sitios.
2. Si se introdujeron datos bancarios, avisa al banco cuanto antes.
3. Si se hizo un pago, contacta ya con el banco: a veces se puede frenar.
4. Desconecta el equipo de la red si se abrió un archivo sospechoso y contacta con un profesional.

La clave es la rapidez y la ausencia de vergüenza. Ocultar el error por miedo a la bronca es lo que convierte un susto en un desastre.

Por qué la formación y la protección van juntas

Aquí está el punto de fondo. Ningún programa, por bueno que sea, filtra el 100% de los correos fraudulentos, porque estos ataques están diseñados para engañar a la persona, no a la máquina. Y ninguna formación evita que, algún día, un correo especialmente logrado llegue a la bandeja de entrada.

Por eso la defensa real tiene dos mitades:

• Formación práctica para que todo tu equipo reconozca estos engaños de un vistazo y sepa exactamente qué hacer.
• Protección profesional del correo y los equipos, que filtre la mayor parte de los ataques antes de que lleguen a una persona.

Una sola de las dos deja la puerta entreabierta. Las dos juntas cierran el paso a la inmensa mayoría de los intentos.

Protege a tu equipo antes de que un correo os cueste caro

El phishing funciona porque cuenta con que nadie ha enseñado a tu equipo a reconocerlo y con que tus sistemas no están preparados para filtrarlo. Las dos cosas tienen solución.

En Bytechip ayudamos a autónomos, pymes y empresas a blindar su correo y a preparar a sus equipos frente a estos engaños, con protección profesional y formación adaptada a gente no técnica. Así, cuando llegue el correo trampa —porque llegará—, tu negocio estará listo.

Si quieres que un descuido deje de ser un riesgo para tu empresa, hablemos.

Pide tu presupuesto.