Cómo reconocer el phishing: 10 señales habituales y qué hacer de inmediato

En este artículo descubrirá cómo reconocer el phishing, cuáles son las tácticas más frecuentes y qué medidas resultan útiles en la empresa.

¿Qué es el phishing?

El phishing consiste en intentar obtener credenciales de acceso, datos de pago o información interna mediante correos, mensajes o sitios web falsificados. Entre sus objetivos habituales figuran las cuentas de correo, los servicios en la nube, como Microsoft 365, los portales de clientes y los procesos de pago y facturación.

Cómo detectar el phishing: 10 señales de alerta

1) El nombre del remitente resulta conocido, pero su dirección no

A menudo el nombre que se muestra es correcto, pero la dirección de correo presenta pequeñas alteraciones: letras intercambiadas, caracteres adicionales o un dominio incorrecto. Compruebe la dirección real del remitente, no solo su nombre.

2) Prisas o amenazas

«Actúe inmediatamente», «su cuenta será bloqueada» o «último aviso»: crear una sensación de urgencia es una táctica habitual para impedir que la persona se detenga a pensar.

3) Un enlace o botón inesperado

Los correos de phishing suelen llevar a páginas de inicio de sesión falsas. Acceda a los sitios importantes escribiendo su dirección en el navegador, en lugar de utilizar enlaces recibidos por correo.

4) Una solicitud para «confirmar rápidamente» el acceso

«Su contraseña va a caducar», «confirme el acceso» o «autorice el documento»: cuando le pidan que inicie sesión, utilice la vía habitual, como un marcador conocido o la dirección del servicio, y no el enlace del mensaje.

5) Un archivo adjunto inesperado

Los archivos ZIP, los documentos de Office o los adjuntos presentados como facturas sin un contexto claro pueden ser peligrosos. Abra un archivo adjunto solo cuando su contenido resulte coherente con el contexto y realmente lo estuviera esperando.

6) Una petición inusual de un remitente conocido

Si un supuesto compañero solicita de repente credenciales, autorizaciones o pagos, actúe con precaución. Cuando una cuenta ha sido comprometida, los mensajes pueden parecer completamente auténticos.

7) Detalles que no encajan

El saludo, la firma, el estilo de redacción, los nombres de proyectos o los departamentos parecen casi correctos, pero algo no encaja. Una señal aislada no siempre es concluyente; lo importante es valorar el conjunto.

8) Una URL extraña

Fíjese en el dominio: ¿corresponde realmente a la organización? ¿Contiene errores ortográficos, palabras añadidas o terminaciones poco habituales? En una página de inicio de sesión, el dominio importa más que un diseño atractivo.

9) Una petición relacionada con dinero: nuevo IBAN, nueva cuenta o nueva factura

El fraude en facturas y autorizaciones de pago puede resultar especialmente costoso. Los cambios de datos bancarios deben seguir siempre un procedimiento claro, preferiblemente con una llamada de verificación a través de un contacto ya conocido.

10) «Eres la única persona que puede resolverlo rápidamente»

La ingeniería social se aprovecha de la disposición a ayudar, el estrés y las relaciones jerárquicas. Cuando algo resulta extraño, una breve consulta por teléfono o chat suele ser la forma más sencilla de aclararlo.

Correos de phishing: ejemplos habituales

Entre los mensajes más frecuentes están «su contraseña va a caducar», «aviso de seguridad de Microsoft 365», «documento pendiente de autorización» o «no se ha podido entregar su paquete». Más que el pretexto concreto, importa la combinación de presión, enlace o adjunto y una acción inusual. Por eso conviene practicar la detección del phishing hasta convertirla en una rutina.

Ha detectado el phishing después de hacer clic: qué hacer de inmediato

Si ya ha hecho clic, hay que actuar con rapidez. Es importante contar con un procedimiento claro que pueda aplicarse sin tener que debatir cada paso.

No haga más clics ni introduzca datos y comunique el incidente de inmediato por el canal interno establecido. Si ha introducido credenciales, cambie la contraseña cuanto antes accediendo por la vía habitual. Revise también la autenticación multifactor y las sesiones activas. En la empresa, resulta útil recopilar los mensajes sospechosos de forma centralizada, comprobar las reglas y los reenvíos del buzón y avisar rápidamente al resto del personal si la campaña sigue activa.

Cómo reducir de forma duradera los riesgos del phishing en la empresa

Los filtros técnicos ayudan, pero las medidas más eficaces también forman parte del trabajo diario: procedimientos claros de autorización, un canal sencillo para comunicar incidentes, recordatorios breves y periódicos de concienciación en lugar de una única formación obligatoria, y una cultura sin culpabilización. Así, reconocer el phishing se convierte en un hábito y no en una excepción.

Para abordar el tema de manera sistemática, Verisite ayuda a reducir los riesgos de phishing con medidas prácticas, establecer canales sencillos de comunicación de incidentes y concienciar al personal para que aplique lo aprendido en su trabajo diario.

Lista rápida: detectar el phishing en 15 segundos

¿Encaja realmente el remitente? ¿Me están presionando? ¿El enlace o el adjunto es inesperado? ¿Me piden que inicie sesión o autorice un pago? ¿Una consulta por otro canal permitiría aclararlo de inmediato? Ante una sospecha, comunique el mensaje en lugar de hacer clic.

Podemos revisar juntos su procedimiento actual de notificación y las vías de ataque habituales para definir medidas concretas que pueda aplicar de inmediato.

Encontrará más información, en alemán, en la Verbraucherzentrale y en la Oficina Federal alemana de Seguridad de la Información (BSI).