La mayoría de los incidentes en pymes no empiezan con un ataque sofisticado, sino con un correo bien hecho y una persona con prisa. Un clic en un enlace, una contraseña escrita donde no debía o una transferencia a la cuenta equivocada.
La buena noticia es que el phishing casi siempre deja pistas. Si tu equipo sabe dónde mirar, la mayoría se queda en un intento.
Las señales que lo delatan
- Urgencia. “Tu cuenta se bloqueará hoy”, “hay que pagar antes de las 12”. Las prisas son la herramienta principal del estafador.
- El remitente no cuadra. El nombre parece correcto, pero la dirección real es de otro dominio o tiene una letra cambiada.
- Enlaces que no van donde dicen. Antes de hacer clic, pasa el ratón por encima y mira la dirección real. En el móvil, mantén pulsado el enlace.
- Adjuntos que no esperabas, sobre todo facturas, comprimidos o documentos que te piden “habilitar contenido”.
- Peticiones de contraseña. Una página que imita el acceso a Microsoft 365 o a tu banco es una de las trampas más comunes.
- Cambios de cuenta bancaria. Un proveedor que “ha cambiado de banco” por correo es motivo para llamar antes de pagar.
- El jefe con prisas. Un mensaje de un directivo pidiendo una transferencia urgente o tarjetas regalo, fuera de los canales habituales.
No solo llega por correo: los SMS, los WhatsApp y las llamadas que se hacen pasar por el banco o por un proveedor siguen exactamente el mismo patrón.
Si alguien ya ha hecho clic
- No borres el mensaje y avisa enseguida a quien lleve la informática.
- Si escribiste una contraseña, cámbiala cuanto antes desde otro dispositivo y revisa que tenga la verificación en dos pasos activa.
- Si descargaste algo, desconecta el equipo de la red, pero no lo apagues.
- Si se hizo un pago, llama al banco inmediatamente: cuanto antes, más posibilidades de pararlo.
Avisar rápido no es un fracaso: lo que de verdad hace daño es callarlo por vergüenza.
Cómo preparar a tu empresa
- Verificación en dos pasos en el correo y en las herramientas importantes. Aunque roben una contraseña, no les basta.
- Doble confirmación de pagos por otro canal, sobre todo si cambia la cuenta de destino.
- SPF, DKIM y DMARC bien configurados, para que no puedan usar tu propio dominio para engañar a tus clientes. Lo explicamos en ¿alguien puede enviar correos en nombre de tu empresa?.
- Formación práctica, con ejemplos reales. Un equipo que ha visto trampas de verdad las reconoce mucho mejor.
En nuestros talleres de ciberseguridad trabajamos con ejemplos reales de phishing adaptados a las herramientas que usa tu equipo. Pide información y te enviamos una propuesta.
Cuéntanos cómo trabajáis y te decimos por dónde empezar. Sin compromiso.