Un correo que parece enviado por un proveedor, una factura con el importe habitual y un enlace a una supuesta carpeta compartida. Eso basta para que una pyme pierda el control de una cuenta de correo, envíe pagos a un IBAN fraudulento o exponga datos de clientes. Las mejores medidas contra phishing no consisten en instalar una herramienta y olvidarse: combinan configuración técnica, procedimientos claros y personas capaces de detenerse antes de hacer clic.
El phishing no ataca solo a grandes compañías. De hecho, un negocio pequeño suele ser un objetivo práctico porque utiliza correo corporativo, gestiona pagos, no tiene un departamento de IT dedicado y trabaja con prisas. Una clínica recibe resultados y presupuestos; un taller, pedidos de piezas; una constructora, documentación de obra y facturas. El atacante no necesita conocer toda la empresa. Solo necesita que alguien interprete un mensaje creíble como una tarea urgente.
Por qué el phishing sigue funcionando
La mayoría de los fraudes no entran rompiendo una contraseña compleja. Entran aprovechando una acción cotidiana: abrir un adjunto, iniciar sesión en una página clonada o responder a una petición aparentemente interna. Los mensajes han mejorado. Ya no siempre contienen faltas evidentes ni proceden de direcciones absurdas.
También existe el fraude de suplantación entre proveedores y clientes. Un delincuente puede hacerse pasar por un contacto conocido y solicitar un cambio de cuenta bancaria, adelantar una factura o pedir documentación. Si antes ha comprometido el buzón de ese contacto, incluso podrá responder dentro de una conversación real. Por eso revisar únicamente el remitente ya no es suficiente.
El riesgo cambia según la operación. Una empresa que gestiona transferencias tiene que blindar la validación de pagos. Una inmobiliaria debe proteger datos personales y accesos a documentos. Un comercio con varios empleados necesita evitar que una cuenta compartida convierta un error individual en un problema de todos. La medida correcta depende del punto por el que circula información sensible y dinero.
Mejores medidas contra phishing: el orden que reduce riesgo
No conviene empezar por una sesión genérica de concienciación si las cuentas no tienen autenticación multifactor. Tampoco sirve activar controles técnicos y permitir que cualquier empleado confirme por correo un cambio de IBAN. Hay que priorizar las barreras que impiden el acceso, detectan el engaño y limitan el impacto si alguien cae.
1. Activar autenticación multifactor en todas las cuentas críticas
El correo corporativo es la prioridad. Desde ahí se recuperan contraseñas, se consultan conversaciones con proveedores y se envían mensajes con identidad legítima. La autenticación multifactor añade una segunda comprobación al inicio de sesión. Una contraseña robada deja de ser suficiente en muchos casos.
No todas las opciones ofrecen el mismo nivel de protección. Un código por SMS mejora claramente el acceso basado solo en contraseña, pero una aplicación autenticadora o una llave física suele resistir mejor ciertos intentos de engaño. Para gerencia, administración, finanzas y cuentas con permisos elevados, conviene revisar qué método se usa y cómo se recupera el acceso cuando cambia un teléfono.
La multifactor no elimina el phishing por sí sola. Hay páginas falsas que intentan capturar también el código temporal. Por eso debe acompañarse de formación y, cuando el proveedor lo permita, de métodos resistentes a la suplantación.
2. Eliminar cuentas compartidas y reducir permisos
Una cuenta tipo administracion@ o ventas@ utilizada por varias personas impide saber quién abrió un enlace, respondió a un mensaje o descargó un archivo. Además, cuando alguien deja la empresa, cambiar esa contraseña afecta a todo el equipo y a menudo se pospone.
Cada persona debe tener su usuario individual y solo los accesos necesarios para trabajar. Las cuentas genéricas pueden mantenerse como buzones compartidos o direcciones de recepción, pero no como una identidad con contraseña repartida por WhatsApp o escrita en un documento.
Este principio también aplica a carpetas, aplicaciones de facturación, paneles web y servicios de almacenamiento. Dar permisos de administrador por comodidad amplía el daño posible si esa cuenta es comprometida. Menos privilegios no hacen invulnerable a la empresa, pero sí reducen el alcance de un error.
3. Configurar SPF, DKIM y DMARC en el dominio
Estas tres configuraciones ayudan a que los servidores de correo comprueben si un mensaje enviado en nombre de su dominio está autorizado. No bloquean todos los fraudes, porque un atacante puede usar otro dominio parecido o comprometer un buzón legítimo. Pero reducen una vía habitual de suplantación y mejoran la trazabilidad del correo saliente.
La parte delicada es hacerlo sin romper comunicaciones legítimas. Es frecuente que una empresa envíe formularios web, facturas o campañas desde plataformas externas que también deben quedar autorizadas. Por eso no basta con copiar un registro técnico: hay que inventariar los servicios que mandan correo con el dominio, validar su configuración y aplicar una política de DMARC de forma progresiva.
4. Crear un procedimiento para pagos y cambios bancarios
El correo no debe ser el único canal para aprobar un cambio de cuenta bancaria. Esta regla es sencilla y evita una parte relevante del fraude de proveedor: si llega una petición de cambio de IBAN, se confirma por teléfono usando un número ya registrado en la empresa, no el que figura en el correo recibido.
En operaciones con importes relevantes, conviene separar la petición, la comprobación y la autorización final. No se trata de montar burocracia para cada compra pequeña, sino de definir umbrales y excepciones. Un proceso de dos minutos puede ahorrar una transferencia imposible de recuperar.
El equipo debe saber que una solicitud urgente no justifica saltarse el procedimiento. De hecho, la urgencia artificial es una de las señales más frecuentes: “paga antes de las 12”, “el director está en una reunión”, “no llames, estoy de viaje”.
5. Entrenar con casos que se parecen a su trabajo
Decir a un equipo “no pinchéis enlaces sospechosos” produce poco cambio. Es más útil enseñar ejemplos adaptados a las tareas reales: una renovación de licencia, una solicitud de presupuesto, un aviso de mensajería, una factura de material o un documento compartido.
La formación debe explicar qué hacer, no solo qué evitar. Ante un correo dudoso, la persona puede revisar el dominio completo del remitente, pasar el cursor sobre el enlace sin abrirlo, entrar al servicio desde su marcador habitual y confirmar una petición sensible por otro canal. Si ya ha introducido credenciales, debe comunicarlo sin miedo a ser culpado para cambiar la contraseña y revisar la cuenta cuanto antes.
Las simulaciones pueden ser útiles si se usan para detectar patrones de formación, no para avergonzar a empleados. En una empresa de más de diez personas, conviene medir qué tipos de mensajes generan más dudas y ajustar la formación. En un negocio pequeño, una sesión breve y un protocolo visible suelen aportar más que una plataforma compleja que nadie consulta.
Qué revisar cuando el correo ya parece comprometido
Una cuenta comprometida no siempre envía miles de mensajes. A veces el atacante crea una regla para reenviar correos a una dirección externa, oculta conversaciones o espera a que llegue una factura interesante. Por eso hay señales operativas que merecen revisión: avisos de inicio de sesión desconocidos, reglas de buzón que nadie creó, mensajes enviados que el usuario no reconoce o peticiones extrañas recibidas por clientes y proveedores.
La primera reacción debe ser contener el acceso: cambiar la contraseña desde un equipo confiable, cerrar sesiones activas, revisar métodos de recuperación y comprobar reglas de reenvío. Después hay que identificar qué información pudo quedar expuesta y avisar a los contactos afectados si se enviaron mensajes desde la cuenta. Borrar el correo fraudulento sin revisar el origen deja la puerta abierta.
Aquí aparece un error frecuente: confiar en que la copia de seguridad resuelve el incidente. Las copias son necesarias para recuperar información y sostener la continuidad del negocio, pero no corrigen una cuenta de correo que sigue en manos de un tercero ni anulan una transferencia autorizada de forma fraudulenta.
La revisión técnica evita medidas de escaparate
Comprar licencias sin revisar cómo se usan suele producir una falsa sensación de seguridad. Una pyme necesita una foto concreta: qué cuentas existen, cuáles tienen multifactor, qué dominios envían correo, quién administra los servicios, qué equipos almacenan credenciales y cómo se validan los pagos.
En WebPC, una auditoría de factor humano y de superficie expuesta parte precisamente de ese mapa. No es vigilancia 24/7 ni una promesa de que no habrá incidentes. Es un diagnóstico de los huecos verificables, un informe ejecutivo priorizado y acompañamiento para cerrar los fallos que tienen sentido para la operación.
La mejor defensa contra phishing no es la más vistosa ni la que acumula más herramientas. Es la que permite a una persona detectar una anomalía, a la empresa verificar una operación sensible y al responsable corregir un acceso débil antes de que se convierta en una pérdida.
