Señales de phishing que todo empleado debe conocer

Las señales de phishing más claras son la presión y la incongruencia: un mensaje que lo apura a actuar, combinado con algo que no encaja del todo, como un dominio del remitente ligeramente distinto, un enlace que apunta a un lugar inesperado, una solicitud para cambiar datos de pago o una página de inicio de sesión que usted no pidió. Cuando los empleados aprenden a detenerse ante esas señales y a verificar por un canal separado y conocido, la gran mayoría de los intentos de phishing fracasan.

Este artículo está pensado para compartirlo con su equipo. Cubre las señales de alerta, qué hacer en lugar de hacer clic y cómo los gerentes de oficina en el sur de Florida pueden facilitar los reportes.

Por qué el phishing sigue funcionando

El phishing no depende tanto de la habilidad técnica como del momento y la familiaridad. Los atacantes imitan los servicios que su equipo usa a diario: Microsoft 365, Google Workspace, empresas de envíos, bancos, plataformas de firma electrónica e incluso a sus propios proveedores. Un empleado ocupado que responde decenas de correos entre pacientes, clientes o entregas es exactamente la persona para la que se diseñan estos mensajes.

La buena noticia es que los mismos patrones se repiten. Una vez que las personas los conocen, son más fáciles de detectar.

Las señales de alerta

1. Urgencia y presión

Frases como "su cuenta se cerrará hoy", "pago vencido" o "el director necesita esto en la próxima hora" buscan evitar que usted piense con calma. Las organizaciones legítimas rara vez exigen una acción en minutos.

2. La dirección del remitente no coincide

Revise la dirección de correo real, no solo el nombre que aparece. Esté atento a dominios parecidos que cambian letras (rn por m, un cero por una o), agregan palabras como "-secure" o "-billing", o usan un servicio de correo gratuito para lo que dice ser un mensaje de una empresa.

3. Enlaces que llevan a otro lugar

En una computadora, pase el cursor sobre el enlace antes de hacer clic y lea el destino en la barra de estado. En un teléfono, mantenga presionado para ver la vista previa. Si el texto menciona una empresa pero el enlace apunta a un dominio no relacionado, deténgase.

4. Páginas de inicio de sesión inesperadas

Un mensaje que le pide "volver a verificar" su cuenta de Microsoft 365 o Google y luego muestra una página de acceso es uno de los ataques más comunes. Si necesita revisar su cuenta, abra el navegador y vaya directamente al servicio desde un marcador.

5. Cambios en datos de pago o bancarios

El compromiso del correo empresarial suele parecer una factura normal de un proveedor real, pero con nuevos datos bancarios. Toda solicitud para cambiar el destino de un pago debe verificarse por teléfono usando un número que ya tenga registrado, nunca uno que aparezca en el correo.

6. Adjuntos inusuales

Tenga cuidado con adjuntos inesperados, especialmente archivos comprimidos, documentos que piden "habilitar contenido" o macros, y archivos HTML que abren un formulario de acceso.

7. Códigos QR en correos

Los códigos QR trasladan el enlace a su teléfono, donde es más difícil inspeccionarlo y a menudo queda fuera de las herramientas de seguridad de la empresa. Trate un código QR en un correo inesperado con la misma cautela que un enlace.

8. Solicitudes de MFA que usted no inició

Si su teléfono le pide aprobar un inicio de sesión que usted no realizó, rechácelo y repórtelo. Es posible que alguien ya tenga su contraseña.

Tabla de referencia rápida

Señal	Qué hacer
Tono urgente o fecha límite	Tómese un momento y verifique por un canal conocido
Dominio del remitente extraño	Compárelo con correos legítimos anteriores
Enlace que no coincide	No haga clic; vaya al sitio directamente
Solicitud de cambio de pago	Llame al proveedor a un número ya registrado
Solicitud de MFA inesperada	Rechácela y repórtela a TI
Pedido de tarjetas de regalo	Trátelo como fraude hasta confirmarlo en persona o por teléfono

Qué hacer si no está seguro

• No responda al remitente para preguntar si es real.
• Use el botón de reporte en Outlook o Gmail, o reenvíe el mensaje a quien se encargue de TI.
• Verifique de forma independiente llamando a la persona o empresa con datos de contacto en los que ya confía.
• Si hizo clic o ingresó una contraseña, avise a TI de inmediato. Cambiar la contraseña y cerrar las sesiones activas en minutos es mucho más fácil que limpiar después. Nadie debería tener miedo de reportar un error.

Lo que la empresa debe hacer tras bambalinas

La capacitación funciona mejor junto con controles técnicos:

• Publique registros SPF, DKIM y DMARC para que sea más difícil suplantar su propio dominio. Nuestro servicio de correo empresarial se encarga de esa configuración y su monitoreo.
• Active MFA en todas las cuentas de correo, idealmente con métodos resistentes al phishing para los administradores.
• Use filtros de correo que marquen remitentes externos y dominios parecidos.
• Realice sesiones de concientización breves y frecuentes en lugar de una sola presentación anual.
• Establezca una política escrita que exija verificación telefónica para cualquier cambio de pago.

Nuestros servicios de ciberseguridad incluyen capacitación en concientización y configuración de seguridad del correo, en español o en inglés.

Preguntas frecuentes

¿Vale la pena hacer simulaciones de phishing?

Pueden ser útiles cuando son educativas y no punitivas. El objetivo es crear el hábito de detenerse y reportar, no avergonzar a nadie.

¿Los filtros de correo pueden detener todo el phishing?

No. Los filtros atrapan mucho, pero los mensajes bien elaborados y los que provienen de cuentas legítimas comprometidas pueden pasar. El criterio humano sigue siendo una capa importante.

¿Y si el correo viene de la dirección real de un compañero?

Las cuentas sí se comprometen. Si el mensaje de un compañero parece fuera de lo normal, como una solicitud inesperada de archivos o de un pago, confírmelo con esa persona por teléfono o en persona antes de actuar.

Siguiente paso

Si quiere saber qué tan protegidos están su correo y su equipo, solicite una evaluación de TI gratuita. Revisaremos la autenticación de su correo, la cobertura de MFA y su proceso de reporte, y le sugeriremos mejoras prácticas.