¿Qué es el phishing y cómo proteger a mis empleados?

El phishing es un fraude por el que alguien se hace pasar por una persona o una entidad de confianza - un banco, un proveedor, Microsoft o incluso un compañero - para que tú o tus empleados entreguéis información sensible (contraseñas, datos bancarios) o hagáis algo perjudicial, como abrir un archivo con malware o pagar una factura falsa. Casi siempre llega por correo electrónico, y la forma eficaz de proteger a tu equipo es combinar tres cosas: filtros técnicos que frenen la mayoría de los mensajes, autenticación multifactor que limite el daño si alguien pica y formación para que las personas sepan reconocer el engaño. Hacerlo bien evita el caso más caro de todos - una transferencia fraudulenta, un secuestro de cuentas o una parada de actividad - por una fracción de lo que cuesta el incidente. En este artículo te explicamos, paso a paso, cómo funciona, qué señales lo delatan, qué medidas tomar (y cuánto cuestan, de forma orientativa) y qué hacer si alguien ya ha caído.

Cómo funciona el phishing

El phishing no ataca a tus sistemas: ataca a las personas que los usan. La lógica es siempre parecida. El atacante envía un mensaje que parece legítimo, despierta una emoción - urgencia, miedo, curiosidad o ganas de ayudar - y empuja a la víctima a actuar deprisa, sin pensar. Esa prisa es la clave: cuando no nos paramos a comprobar, bajamos la guardia.

A partir de ahí, el engaño puede tomar varias formas. El correo puede pedir que «verifiques tu cuenta» en una web falsa que copia la pantalla de acceso real, de modo que al escribir tu usuario y contraseña se los estás entregando al atacante. Otras veces el mensaje incluye un adjunto que, al abrirse, instala software malicioso. Y en los casos más elaborados, el llamado spear phishing, el delincuente investiga a la empresa y suplanta a un directivo o a un proveedor real para ordenar una transferencia o un cambio de datos bancarios. Existen también variantes por SMS (smishing) y por teléfono (vishing), pero el patrón de fondo no cambia.

Un ejemplo muy frecuente en pymes es el fraude del CEO: administración recibe un correo que parece del gerente, con un tono creíble y cierta urgencia («estoy en una reunión, necesito que adelantes este pago hoy mismo y no puedo hablar ahora»). Otra variante habitual es el fraude del proveedor: alguien intercepta o imita la cadena de correos con un proveedor real y, justo cuando toca pagar una factura legítima, envía un mensaje avisando de un «cambio de número de cuenta». Si nadie verifica ese cambio por teléfono, el dinero acaba en la cuenta del estafador. Ninguno de estos casos requiere romper un sistema: basta con un correo bien escrito y una persona con prisa.

Señales que delatan un correo de phishing

La buena noticia es que la mayoría de estos mensajes deja pistas. Estas son las que conviene enseñar a todo el equipo:

• Urgencia o amenaza: «tu cuenta se bloqueará en 24 horas», «pago pendiente», «responde ya». La presión por actuar rápido es la señal más habitual.
• Remitente que no cuadra: el nombre visible parece correcto, pero la dirección real es rara o tiene un dominio ligeramente distinto al auténtico.
• Enlaces sospechosos: al pasar el ratón por encima (sin hacer clic), la dirección no coincide con la web oficial o usa dominios extraños.
• Saludos genéricos y errores: «Estimado cliente», faltas de ortografía o frases mal traducidas, aunque cada vez son más raras.
• Peticiones inusuales: solicitar credenciales, datos bancarios o una transferencia urgente por un canal poco habitual.
• Adjuntos inesperados: facturas, presupuestos o «documentos importantes» que no esperabas, sobre todo si piden activar contenido.

Conviene ser honesto en un punto: las campañas actuales, a veces apoyadas en inteligencia artificial, son cada vez más convincentes y pueden no tener ninguna falta de ortografía. Por eso ninguna señal aislada es definitiva, y la regla de oro sigue siendo la misma: ante la duda, no hacer clic y verificar por otro canal.

Medidas técnicas: filtros y autenticación multifactor

Las personas son la última línea de defensa, no la única. Buena parte de los correos fraudulentos se pueden frenar antes de que lleguen a la bandeja de entrada, y el daño de los que llegan se puede limitar. Estas son las medidas técnicas que más aportan:

• Filtros antiphishing y antispam: las soluciones de correo modernas analizan los mensajes y bloquean o marcan los sospechosos. Una configuración adecuada del filtrado, junto con la protección de los dispositivos, reduce notablemente lo que llega al usuario.
• Autenticación multifactor (MFA): es probablemente la medida con mejor relación entre esfuerzo y protección. Aunque roben una contraseña, sin el segundo factor no pueden entrar. No es infalible - hay técnicas para sortearla - , pero eleva muchísimo el listón para el atacante.
• Autenticación del dominio de correo: los estándares que verifican que un correo proviene realmente de quien dice (SPF, DKIM y DMARC) dificultan que suplanten tu propio dominio para engañar a clientes y empleados.
• Equipos y software al día: mantener los dispositivos protegidos y actualizados evita que un adjunto malicioso encuentre la puerta abierta.

Estas piezas trabajan mejor juntas y bien configuradas. En 3L Systems abordamos esta capa desde dos servicios complementarios: la protección de equipos, para blindar los dispositivos y el correo, y la gestión de identidades y accesos, donde se implanta la MFA y se controla quién entra a qué. Implantarlas requiere análisis y configuración profesional: no basta con «activar una casilla». El valor de trabajar con un partner no está en vender más licencias, sino en configurar lo que ya tienes (muchas pymes pagan Microsoft 365 sin aprovechar la mitad de su seguridad), priorizar lo que de verdad reduce riesgo y dejar el sistema mantenido en el tiempo, no abandonado tras la puesta en marcha.

¿Cuánto cuesta protegerse? (orientativo)

Es la primera pregunta razonable. No hay un precio único porque depende del número de usuarios, de las herramientas que ya tengas contratadas y del nivel de servicio gestionado que necesites. Aun así, para que te hagas una idea de órdenes de magnitud - cifras orientativas, no presupuestos cerrados - :

• Activar y configurar MFA y políticas básicas sobre una cuenta de Microsoft 365 o Google Workspace que ya tengas: suele ser un trabajo puntual de pocas jornadas de consultoría, no una gran inversión. Bien hecho, es de lo más rentable que existe en seguridad.
• Protección de equipos gestionada (antimalware avanzado, monitorización y actualizaciones): habitualmente se contrata como cuota mensual por dispositivo, en un rango de pocas decenas de euros al mes por equipo según el nivel.
• Formación y simulaciones de phishing: desde una sesión presencial puntual hasta un programa continuo con campañas periódicas, el coste escala con el número de empleados y la frecuencia.

La cifra exacta sale de un diagnóstico breve. Pero el marco mental útil es comparar ese gasto, casi siempre modesto, con el coste de un solo incidente serio: el importe de una transferencia fraudulenta no se recupera, y los días de actividad parada o de datos secuestrados pesan mucho más que cualquier cuota mensual.

La formación: tu mejor cortafuegos

Ninguna herramienta sustituye a un equipo que sabe reconocer el engaño. La tecnología detiene la mayoría de los intentos, pero los más sofisticados siguen llegando a alguien, y ahí decide la persona. Por eso la formación no es un extra, es parte de la defensa.

Una buena concienciación es práctica y continua, no una charla anual que se olvida. Funciona mejor cuando se repite con regularidad, se apoya en ejemplos reales y se acompaña de simulaciones de phishing controladas, que permiten medir y mejorar sin castigar a nadie. El objetivo no es que la gente tenga miedo a su correo, sino que adquiera el reflejo de dudar y comprobar. Y, sobre todo, hay que crear una cultura en la que avisar de un error no se penalice: si quien ha hecho clic teme la bronca y se calla, el problema crece en silencio.

¿Cómo saber si tu formación está funcionando? Tres criterios sencillos: que la tasa de clics en las simulaciones baje campaña tras campaña, que aumenten los reportes de correos sospechosos (que la gente avise es buena señal, no mala), y que los roles de mayor riesgo - dirección, finanzas y administración, que manejan pagos - reciban formación específica, porque son el objetivo del fraude del CEO y del proveedor. Si quieres profundizar en cómo montar un programa que cale, lo desarrollamos en nuestro artículo sobre formación y concienciación en ciberseguridad.

Qué hacer si alguien pica

Asume que, tarde o temprano, alguien hará clic. Lo que marca la diferencia entre un susto y un incidente serio es la rapidez y el orden de la respuesta. Conviene tener este procedimiento decidido antes de necesitarlo:

• Avisar de inmediato a la persona o equipo responsable de informática, sin esperar y sin miedo a la reprimenda.
• Cambiar la contraseña afectada y cerrar las sesiones abiertas de esa cuenta.
• Revisar la cuenta en busca de reglas de reenvío automático, accesos desde lugares extraños o cambios que no haya hecho el usuario.
• Comprobar el equipo si se abrió un adjunto, para descartar malware.
• Avisar a quien corresponda (por ejemplo, al banco si se entregaron datos bancarios) y valorar la denuncia si hay fraude.
• Aprender del caso: entender qué falló ayuda a evitar que se repita.

Cuando el incidente es grave - un fraude consumado, un secuestro de datos o un acceso no autorizado a sistemas - , conviene contar con ayuda especializada para contenerlo y recuperar la normalidad sin perder pruebas por el camino. Tener definida de antemano una respuesta ante incidentes evita la improvisación en el peor momento. Y si estás empezando de cero y no sabes por dónde priorizar, te puede orientar nuestra guía sobre ciberseguridad para pymes: por dónde empezar.

En resumen

El phishing es, ante todo, un engaño a las personas, y se combate en tres frentes a la vez: tecnología que filtra y limita el daño, formación que crea el reflejo de dudar, y un plan de respuesta para reaccionar rápido cuando algo falla. Ninguna medida por sí sola basta, la protección real está en la combinación. Si no estás seguro de cómo está tu empresa en alguno de estos frentes, lo más sensato es revisarlo con alguien que lo vea a diario.

En 3L Systems hacemos exactamente eso: un diagnóstico breve y sin compromiso en el que miramos tu correo, tus accesos y la concienciación de tu equipo, y te decimos con claridad qué está bien, qué falta y qué priorizar primero - con un orden de inversión realista. Sin tecnicismos y sin venderte lo que no necesitas. Cuéntanos tu caso y reserva una llamada: en una conversación corta sabrás por dónde empezar.

Preguntas frecuentes

¿Cuál es la diferencia entre phishing, spear phishing y smishing?

El phishing es el engaño genérico por correo a muchos destinatarios a la vez. El spear phishing es dirigido: el atacante personaliza el mensaje para una persona o empresa concreta, a menudo suplantando a un compañero o a un directivo. El smishing es lo mismo pero por SMS o mensajería, y el vishing por llamada telefónica. Todos comparten la misma lógica: suplantar a alguien de confianza para que hagas algo con prisa.

¿La autenticación multifactor (MFA) evita el phishing?

La MFA reduce mucho el riesgo, porque aunque roben la contraseña necesitan también el segundo factor para entrar. No es infalible: existen técnicas para sortearla, como la fatiga de notificaciones o el robo de sesión. Por eso conviene combinarla con métodos resistentes al phishing y con filtros y formación. Aun así, activar MFA es de las medidas más eficaces y rentables que puede tomar una empresa.

¿Qué hago si un empleado ha hecho clic o ha introducido sus credenciales?

Lo primero es que avise cuanto antes, sin miedo a la regañina. Después se cambia la contraseña afectada, se cierran las sesiones abiertas, se revisa si hay reglas de reenvío o accesos extraños y se comprueba el equipo. Cuanto antes se actúe, menor es el daño. Tener un procedimiento de respuesta definido de antemano marca la diferencia entre un susto y un incidente grave.

¿Es obligatorio formar a los empleados en ciberseguridad?

Distintos marcos de protección de datos y seguridad de la información esperan que las empresas adopten medidas razonables, y la formación y concienciación del personal suele considerarse una de ellas. Más allá de la obligación formal, es simplemente sensato: la mayoría de los incidentes empiezan por un correo. Conviene revisar tu caso concreto con asesoramiento profesional para saber qué te aplica.

¿Las empresas pequeñas también son objetivo del phishing?

Sí. Buena parte de las campañas son automáticas y no distinguen el tamaño de la empresa: lanzan miles de correos y esperan a que alguien pique. Además, las pymes suelen tener menos defensas, lo que las convierte en un objetivo cómodo. No hace falta ser una gran corporación para sufrir un fraude por correo o un secuestro de cuentas.

¿Cuánto cuesta proteger a una empresa frente al phishing?

Depende del número de usuarios, de las herramientas que ya tengas y del nivel de servicio gestionado, así que no hay un precio único. Como orientación: activar y configurar bien la MFA sobre una cuenta de Microsoft 365 o Google Workspace que ya tengas suele ser un trabajo puntual y muy rentable, la protección de equipos gestionada se contrata habitualmente como cuota mensual por dispositivo, y la formación con simulaciones escala con el número de empleados. Son cifras orientativas: la real sale de un diagnóstico breve y casi siempre es modesta frente al coste de un solo incidente serio.