Qué es el phishing: cómo reconocer correos falsos
Explicamos las señales que delatan un correo de phishing, qué hacer si ha hecho clic y las formas prácticas de formar a los empleados frente a estos ataques.
Aurora YazılımEquipo editorial
6 min de lectura
La respuesta a qué es el phishing: es un ataque de suplantación que, mediante correos, SMS o mensajes que parecen proceder de una entidad o una persona de confianza, intenta engañar al usuario para obtener contraseñas, datos de tarjeta o transferencias de dinero. Un lenguaje que crea urgencia, dominios falsos de aspecto parecido, adjuntos inesperados y enlaces que piden iniciar sesión son las señales más habituales.
¿Cómo funciona un ataque de phishing?
«Phishing» toma su nombre de la palabra inglesa fishing (pescar): el atacante lanza un anzuelo a muchas personas y espera a que alguien pique; por eso se conoce también como ataque de suplantación. Más que de un fallo técnico, se aprovecha de la psicología humana; el miedo, la curiosidad, la urgencia y la confianza en la autoridad son las palancas más usadas.
El escenario típico es este: llega un mensaje que parece de un banco, una empresa de mensajería, un servicio de la administración electrónica o el propio director de la empresa. El mensaje le pide que haga clic en un enlace, abra un adjunto o haga un pago urgente. El enlace lleva a una página de acceso falsa, copia exacta de la real, y los datos introducidos van directamente al atacante.
Los atacantes ya no tienen que enviar mensajes llenos de faltas de ortografía y fáciles de detectar. Gracias a las herramientas de inteligencia artificial, producir un texto fluido y personalizado es más fácil. Por eso hay que fijarse no en la gramática, sino en lo que pide el mensaje.
Tipos de phishing
El tipo más caro para las empresas suele ser el fraude de instrucciones de pago. El atacante suplanta el correo de un proveedor, dice «ha cambiado nuestra cuenta bancaria» y consigue que el siguiente pago se haga a su cuenta. No hay software malicioso; solo un mensaje convincente.
| Tipo | ¿Cómo llega? | Objetivo típico |
|---|---|---|
| Phishing masivo | El mismo correo a miles de personas | Contraseñas y datos de tarjeta |
| Phishing dirigido (spear phishing) | Correo personalizado con el nombre, el cargo y el socio de la persona | Cuentas de la empresa |
| Fraude del CEO / de proveedores | Petición de pago haciéndose pasar por un directivo o un proveedor | Equipo de contabilidad y finanzas |
| Smishing | Aviso por SMS de envío, multa o reembolso | Datos de tarjeta, instalación de aplicaciones |
| Vishing | Llamada telefónica en nombre de un banco o de un organismo oficial | Código de verificación, transferencia |
| Phishing con QR | Código QR falso en un cartel, un correo o una factura | Página falsa de pago y de acceso |
¿Cómo reconocer un correo falso?
Una sola señal no siempre basta; cuando se juntan varias, deben sonar las alarmas. En el momento en que sospeche, el mejor reflejo es detenerse y verificar el mensaje con el remitente por otro canal.
- Urgencia y amenaza: «si no actúa en 24 horas, su cuenta será cerrada»
- La dirección del remitente no coincide con el nombre que aparece o se diferencia en una sola letra (0rnek.com en lugar de ornek.com)
- La dirección que aparece al pasar el cursor sobre el enlace no tiene relación con la entidad del mensaje
- Un aviso de factura, envío o premio que no esperaba
- Un mensaje que pide contraseña, datos de tarjeta o un código de verificación
- Un documento que le pide ejecutar macros o un adjunto de archivo comprimido con contraseña
- Un saludo genérico («Estimado cliente») o un estilo poco habitual
¿Qué hacer si ha hecho clic?
A todos nos puede pillar un día en un momento de descuido. Lo importante es actuar con rapidez y calma, y comunicarlo de inmediato en lugar de ocultarlo. Un incidente detectado a tiempo suele quedar en un pequeño contratiempo.
- Si ha introducido su contraseña en la página falsa, cambie de inmediato la contraseña de esa cuenta en el sitio real
- Cambie también las demás cuentas en las que use la misma contraseña
- Si ha introducido datos de tarjeta, llame a su banco y haga bloquear la tarjeta
- Si ha abierto un adjunto, desconecte el dispositivo de la red y avise al responsable de informática
- Cierre las sesiones de sus cuentas y active la verificación en dos pasos
- Comunique el incidente dentro del equipo; el mismo mensaje puede haber llegado a otras personas
Capas de protección más allá de la contraseña
La medida técnica más sólida contra el phishing es conseguir que una contraseña robada no sirva por sí sola. La verificación en dos pasos dificulta el acceso del atacante aunque se haya hecho con la contraseña. Un paso aún más avanzado, el acceso sin contraseña con passkey, no puede usarse nunca en sitios falsos porque funciona vinculado al dominio.
El gestor de contraseñas también ofrece una protección silenciosa: el autorrelleno solo se activa en el dominio registrado. Si el gestor no propone la contraseña, tome en serio la posibilidad de que la dirección sea falsa. Para contraseñas únicas, consulte nuestra guía de cómo crear contraseñas seguras.
¿Cómo formar a los empleados?
Como el phishing es un problema humano, gran parte de la solución también está en las personas. Pero una presentación larga y única se olvida en pocas semanas. La formación eficaz es breve, periódica y práctica.
El objetivo de la formación no es culpar al empleado, sino conseguir que comunique rápidamente cualquier situación sospechosa. El empleado que se equivoca pero avisa enseguida es quien detiene el ataque a tiempo; ese comportamiento debe premiarse.
- Sesiones de 15–20 minutos varias veces al año, apoyadas en ejemplos reales
- Un único canal, sencillo, para comunicar los correos sospechosos
- En pagos y cambios de cuenta, regla de doble comprobación por teléfono desde un número conocido
- Una breve orientación de seguridad para los empleados que se incorporan
- Ejemplos actuales de phishing compartidos con el equipo
Reglas adicionales para el equipo de contabilidad
Todo correo que comunique un cambio de cuenta bancaria debe verificarse llamando al número de teléfono registrado. Para el primer pago a un nuevo IBAN puede exigirse la aprobación de una segunda persona autorizada. Estas dos reglas sencillas son de los obstáculos más eficaces contra el fraude de instrucciones de pago. También es importante que las reglas estén por escrito; ante un mensaje apresurado de un «directivo», el empleado no teme hacer la verificación alegando la regla. Lo que más confianza da al atacante es la idea de que nadie se atreverá a cuestionar a un superior.
Proteja su dominio de la suplantación
Los atacantes pueden intentar engañar no solo a usted, sino también a sus clientes en su nombre. Definir correctamente los registros SPF, DKIM y DMARC de su dominio corporativo ayuda a que los correos falsos enviados en su nombre sean rechazados por los servidores de destino o acaben en la carpeta de spam.
Un camino seguro es empezar la política DMARC en modo de supervisión y, tras revisar los informes, endurecerla paso a paso. La dirección del proveedor en los registros depende del servicio de correo que utilice.
ornek.com. TXT v=spf1 include:_spf.eposta-saglayicisi.com ~all
_dmarc.ornek.com. TXT v=DMARC1; p=none; rua=mailto:dmarc@ornek.comMedidas en su sitio web
Para reducir el riesgo de que sus clientes se topen con páginas falsas, su propio sitio también debe transmitir confianza. Que todas las páginas se abran por HTTPS, que se use un único dominio coherente y que las páginas de acceso tengan un diseño sencillo y familiar facilitan al usuario ver la diferencia. En una plataforma e-commerce, que las plantillas de los correos enviados a los clientes sean coherentes ayuda además a distinguir con más facilidad los mensajes falsos.
En las soluciones de software desarrolladas a medida para la empresa pueden diseñarse desde el principio la verificación en dos pasos para los accesos de administrador, el límite de duración de sesión y los avisos de inicio de sesión sospechoso. Mantener actualizado su sitio actual y auditar con regularidad el certificado y los ajustes de conexión forman parte del mantenimiento incluido en la gestión de velocidad y rendimiento.
Si se topa con un sitio falso, puede denunciarlo ante USOM, el centro nacional turco de respuesta a incidentes cibernéticos, e informar también a la entidad suplantada por su canal oficial.
Preguntas frecuentes
01¿Es peligroso solo abrir el correo?
En un cliente de correo actual, abrir y leer el mensaje por sí solo no suele suponer un peligro. El verdadero riesgo está en hacer clic en el enlace, abrir el adjunto o introducir los datos que se piden; aun así, mantener desactivada la carga remota de imágenes es una medida adicional.
02¿Dónde debo denunciar un correo fraudulento?
Envíelo al canal de notificación definido en la empresa y use la función de denuncia de phishing de su cliente de correo. Si llegó en nombre de un banco o de una entidad, avise por los canales oficiales de esa entidad; los sitios falsos puede denunciarlos a USOM (el centro nacional turco de respuesta a incidentes cibernéticos).
03¿Impide el antivirus el phishing?
El software de seguridad y los filtros de correo pueden detectar sitios falsos conocidos y adjuntos maliciosos, pero no siempre reconocen una página falsa recién creada. Por eso las medidas técnicas deben ir acompañadas de hábitos de uso atentos.
Como el phishing apunta a la atención humana más que a fallos técnicos, la defensa más eficaz es combinar empleados concienciados, verificación en dos pasos y protección del dominio. Aurora Yazılım diseña desde el principio el acceso seguro y la autorización en soluciones de software a medida de su empresa, y en los proyectos de web corporativa trata como estándar el HTTPS, el dominio coherente y los formularios seguros. Si tiene dudas, contacte con nosotros desde nuestra página de contacto.
