El phishing no ataca firewalls ni antivirus: ataca la prisa. Un correo que aparenta ser del banco, del SAT, de un cliente o de la misma área de TI pide una contraseña, un pago o un adjunto, y la víctima coopera porque el mensaje parece legítimo y urgente. Por eso sigue siendo la puerta de entrada más común a empresas de todos los tamaños, incluidas las que ya invirtieron en seguridad.
Detectarlo no requiere ser experto: requiere una lista corta de señales y un procedimiento para cuando alguien ya hizo clic. Ambas cosas caben en una hoja, y las dos juntas bajan el riesgo más que cualquier compra de último momento.
Cinco señales de correo fraudulento
Toda la detección se resume en mirar antes de actuar. Las señales que más se repiten:
- El remitente tiene un dominio parecido al real, pero no idéntico: un guion de más, una letra cambiada o el dominio correcto seguido de otra terminación
- La urgencia o la amenaza: "tu cuenta se bloquea hoy", "hay un cargo pendiente", "responde en una hora"
- Se pide un dato que nunca se pide por correo: contraseña, código de verificación, datos bancarios o CURP
- El adjunto es inesperado y tiene formato peligroso: .zip, .html o documento de Office con macros
- El saludo es genérico o el texto tiene errores que el remitente real no cometería
Una sola señal puede ser un error humano del emisor; dos o más, casi siempre son intento. Lo importante es no verificar haciendo clic: la verificación es sobre el remitente y el enlace, sin abrir nada.
Suplantación de dominio y dirección engañosa
El recurso más efectivo del atacante es que la pantalla del correo muestra el nombre, no el dominio completo. "Soporte Tecnoha" puede venir de soporte@tecnoha-mxicco.com, y a la velocidad del día la diferencia casi nadie la ve. La verificación correcta es pasar el cursor sobre el nombre del remitente y leer la dirección real, y sobre el enlace para ver la URL antes de hacer clic.
Los dominios trampa se registran baratos y duran lo que dura la campaña. Un filtro de correo corporativo bloquea muchos antes de que lleguen, pero la revisión del remitente sigue siendo la defensa que no depende de ninguna configuración. La guía general de prevención de ciberataques ubica el phishing dentro del plan completo de seguridad.
Protocolo cuando alguien ya hizo clic
Lo primero que hay que eliminar es el miedo a reportar: si el empleado oculta el error por vergüenza, la empresa pierde las horas en las que el problema todavía se puede contener. El protocolo correcto es corto y conocido por todos: cambiar la contraseña afectada desde otro equipo, cerrar la sesión en todos los dispositivos, avisar a sistemas de inmediato y revisar el equipo con el antivirus.
Si se descargó un archivo o se instalaron credenciales en la banca o el ERP, el paso siguiente es revisar movimientos posteriores y rotar accesos. Con un plan escrito, el área de TI sabe qué hacer sin improvisar, y cada incidente queda documentado como aprendizaje del equipo.
Capacitación breve para el personal
Los simulacros mensuales de phishing enseñan más que cualquier curso anual: un correo falso controlado, medición de cuántos cayeron y cuántos reportaron, y una retroalimentación de cinco minutos. La métrica que importa no es castigar, es subir la tasa de reporte: un empleado que reporta el correo raro en dos minutos es el objetivo.
La capacitación se concentra en las cinco señales y en el botón o el correo de reporte. Nada de módulos largos: lo que no cabe en diez minutos, no se recuerda cuando el correo real llegue.
Controles que reducen el riesgo
Del lado técnico, cuatro medidas cubren la mayoría de los intentos: filtrado de correo con protección contra suplantación de marca, autenticación de dos pasos en todas las cuentas, configuración de SPF, DKIM y DMARC para que nadie envíe correo con el dominio de la empresa, y restricción de macros en documentos de Office recibidos por correo.
El segundo factor es el cierre más eficaz: aunque la contraseña se filtre, el atacante no entra. Cómo implementarlo sin frenar al usuario está en autenticación de dos pasos, y la base del resto se cubre en la guía básica de ciberseguridad para PyMEs.
El phishing se combata con dos minutos de revisión y un protocolo escrito: mirar el dominio, no hacer clic bajo presión, reportar de inmediato y cambiar contraseñas si ya se cayó. Sumado al filtro de correo y al segundo factor, el riesgo deja de depender del día de suerte del atacante.
