Phishing: cómo reconocer un correo fraudulento

Qué es

El phishing es un mensaje que se hace pasar por alguien de confianza, como un banco, un proveedor, una empresa de paquetería o un compañero, para conseguir contraseñas, datos o dinero. Llega por correo, por SMS, por mensajería o por teléfono.

Señales de alerta

• Urgencia: «su cuenta será bloqueada hoy», «pago pendiente».
• Remitente que no cuadra: el nombre es conocido, pero la dirección real es otra o tiene una letra cambiada.
• Enlaces que llevan a un dominio distinto del que aparentan. En el ordenador, pasa el ratón por encima sin hacer clic.
• Adjuntos inesperados, sobre todo comprimidos o que piden activar macros.
• Peticiones inusuales: cambiar un número de cuenta, comprar tarjetas regalo, enviar una contraseña.
• Un tono o un idioma que no encaja con quien dice ser.

Los mensajes fraudulentos actuales pueden estar muy bien escritos: la ausencia de faltas ya no es garantía.

Los fraudes que más dinero cuestan

• La factura con otra cuenta: un correo, aparentemente de un proveedor habitual, avisa de que ha cambiado de banco.
• El falso director: alguien que se hace pasar por la dirección pide una transferencia urgente y confidencial.
• El falso soporte técnico que pide instalar un programa de acceso remoto.

La defensa es sencilla: verificar por otro canal. Llamar al número de siempre, no al que aparece en el mensaje.

Qué hacer ante la duda

• No hacer clic ni abrir el adjunto.
• Entrar al servicio escribiendo la dirección a mano o desde la app.
• Preguntar a un compañero o al responsable informático.

Si alguien ha caído

1. Avisar de inmediato, sin miedo a la bronca: cada minuto cuenta.
2. Cambiar la contraseña afectada y cerrar sesiones.
3. Si se han dado datos bancarios o se ha hecho un pago, llamar al banco.
4. Si se ha abierto un adjunto, desconectar el equipo de la red.
5. Revisar reglas de reenvío en el correo: es habitual que el atacante las cree.

Medidas técnicas que ayudan

• Doble factor en el correo y en los servicios críticos: aunque roben la contraseña, no entran.
• Gestor de contraseñas: no rellena la clave en una web falsa.
• SPF, DKIM y DMARC en tu dominio, para que no lo suplanten con facilidad.
• Filtro de correo y equipos actualizados.
• Copias de seguridad, por si todo lo demás falla.

La cultura

Un procedimiento escrito para cambios de cuenta bancaria y pagos urgentes, y un ambiente en el que preguntar «¿esto es real?» no esté mal visto, evitan más fraudes que cualquier herramienta.