Correo phishing en la empresa: cómo detectarlo, evitarlo y actuar a tiempo

El correo phishing es hoy una de las vías de entrada más habituales para los ciberataques contra empresas. Basta con que un empleado haga clic en un enlace fraudulento o introduzca sus credenciales en una web falsa para que un atacante acceda al correo corporativo, a los datos de clientes o incluso a las cuentas bancarias de la organización.

En esta guía, desde Acción Informática, especialistas en seguridad informática para empresas y partners de Microsoft, te explicamos qué es un correo phishing, cómo reconocerlo, qué medidas técnicas y organizativas reducen el riesgo y qué hacer si alguien de tu equipo ya ha caído en la trampa.

¿Qué es un correo phishing?

Un correo phishing es un email fraudulento que suplanta a una entidad de confianza (un banco, un proveedor, un cliente, un servicio como Microsoft 365 o incluso a un directivo de la propia empresa) con el objetivo de engañar al destinatario para que:

• revele credenciales de acceso, datos bancarios o información confidencial,
• descargue un archivo adjunto que contiene malware o ransomware,
• realice una transferencia o cambie los datos de pago de una factura.

El correo phishing es una técnica de ingeniería social: no explota fallos del software, sino la confianza, la prisa y el desconocimiento de las personas. Por eso sigue siendo tan eficaz, incluso en organizaciones con buenas herramientas de seguridad. Aunque el correo electrónico es su canal principal, también se lanza por SMS (smishing), llamadas (vishing), redes sociales, plataformas de mensajería o códigos QR (quishing).

Correo phishing empresarial: por qué es una amenaza crítica para tu negocio

El correo phishing empresarial va mucho más allá del spam masivo. Los atacantes investigan a la empresa, identifican a quién dirigirse y diseñan mensajes creíbles y personalizados. Las consecuencias de un solo clic pueden incluir pérdidas económicas directas, secuestro de datos, paralización de la actividad, sanciones por incumplimiento del RGPD y daño a la reputación ante clientes y proveedores.

Tipos de correo phishing más comunes en empresas

• Spear phishing. Ataques dirigidos a una persona o departamento concreto, con información real (nombres, proyectos, proveedores) para ganar credibilidad.
• Fraude del CEO y BEC (Business Email Compromise). El atacante se hace pasar por un directivo o por un proveedor habitual y solicita una transferencia urgente o un cambio de cuenta bancaria. Suele dirigirse a administración y finanzas.
• Whaling. Variante del spear phishing enfocada a altos cargos, que tienen acceso a información y decisiones de mayor valor.
• Suplantación de Microsoft 365 y servicios cloud. Correos que simulan avisos de buzón lleno, documentos compartidos en OneDrive o SharePoint o caducidad de contraseña, para robar credenciales corporativas.
• Clone phishing. Se copia un correo legítimo recibido previamente y se sustituye el enlace o el adjunto por uno malicioso.
• Quishing. El enlace malicioso se oculta en un código QR para esquivar los filtros de correo y llevar a la víctima a su móvil, normalmente menos protegido.

Detección de correos electrónicos de phishing: 8 señales de alerta

La detección de correos electrónicos de phishing es cada vez más difícil, porque los atacantes copian logotipos, firmas y formatos reales, y el uso de inteligencia artificial ha eliminado muchos de los errores de redacción que antes los delataban. Aun así, hay señales que conviene revisar siempre:

1. Remitente sospechoso. Dominios con pequeñas variaciones (micros0ft.com, empresa-facturas.com) o un nombre visible que no coincide con la dirección real.
2. Urgencia o amenaza. «Tu cuenta se bloqueará en 24 horas», «pago pendiente hoy». La presión busca que actúes sin comprobar.
3. Enlaces que no llevan a donde dicen. Pasa el cursor sobre el enlace sin hacer clic y comprueba la URL real antes de abrirla.
4. Solicitudes de credenciales o datos bancarios. Ninguna entidad legítima ni tu departamento de IT te pedirá la contraseña por email.
5. Adjuntos inesperados. Facturas, albaranes o documentos que no esperabas, especialmente en formatos comprimidos, con macros o HTML.
6. Cambios en datos de pago. Un proveedor que «ha cambiado de banco» es uno de los ganchos clásicos del fraude BEC. Verifícalo siempre por teléfono con un contacto conocido.
7. Tono o contexto extraño. Un directivo que escribe fuera de horario pidiendo discreción, o un compañero que usa un estilo que no es el suyo.
8. Avisos del propio sistema. Etiquetas como «remitente externo» o avisos de primer contacto en Outlook son una pista valiosa que no debe ignorarse.

Ante la duda, la regla es sencilla: no hagas clic, no respondas y consulta con tu equipo de IT por un canal distinto al correo.

Cómo evitar el correo phishing en tu empresa: medidas técnicas y organizativas

Confiar solo en que los empleados detecten cada correo phishing no es suficiente. La protección eficaz combina tecnología, procedimientos y formación.

Autenticación del dominio: SPF, DKIM y DMARC

Estos tres protocolos permiten verificar que los correos que dicen venir de tu dominio son legítimos y dificultan que los atacantes suplanten tu empresa ante clientes y proveedores. Una política DMARC bien configurada es hoy un requisito básico para cualquier organización.

Protección avanzada del correo en Microsoft 365

Si tu empresa trabaja con Microsoft 365, Microsoft Defender for Office 365 añade capas de protección específicas contra el phishing: análisis de enlaces en el momento del clic (Safe Links), apertura de adjuntos en entornos aislados (Safe Attachments), políticas antisuplantación para directivos y dominios propios, e investigación y respuesta automatizada ante incidentes. Configurarlo correctamente marca una gran diferencia frente a la protección por defecto.

Autenticación multifactor y acceso condicional

Aunque un atacante robe una contraseña, la autenticación multifactor (MFA) le impide entrar con ella. Combinada con políticas de acceso condicional en Microsoft Entra ID, permite bloquear inicios de sesión desde ubicaciones o dispositivos no autorizados.

Formación y simulacros de phishing

La concienciación en ciberseguridad convierte a los empleados en la primera línea de defensa. Las campañas de simulación de phishing, como las que permite Microsoft Defender, ayudan a medir el nivel de riesgo real de la plantilla y a reforzar la formación donde más se necesita.

Procedimientos internos claros

Define por escrito cómo se validan las transferencias, los cambios de datos bancarios de proveedores y las peticiones urgentes de dirección. Una doble verificación telefónica evita la mayoría de fraudes BEC.

Actualizaciones, antimalware y copias de seguridad

Mantener sistemas y aplicaciones actualizados, contar con protección de endpoints y disponer de copias de seguridad aisladas reduce el impacto si un adjunto malicioso consigue ejecutarse.

¿Qué hacer si has hecho clic en un correo phishing?

Actuar en los primeros minutos limita el daño. Si alguien de tu equipo ha abierto un enlace o adjunto sospechoso:

1. Desconecta el equipo de la red si se ha descargado o ejecutado un archivo.
2. Cambia inmediatamente la contraseña de la cuenta afectada desde otro dispositivo y revisa que la MFA esté activa.
3. Avisa al departamento de IT o a tu proveedor de soporte para que revise accesos, reglas de reenvío del buzón y actividad sospechosa.
4. Reporta el correo con el botón de notificación de Outlook para que se bloqueen mensajes similares.
5. Informa a tu banco si se han facilitado datos financieros o se ha realizado una transferencia.
6. Valora la notificación a la Agencia Española de Protección de Datos si hay datos personales comprometidos, y consulta los recursos de INCIBE (línea 017).

Protege tu empresa del correo phishing con Acción Informática

El phishing empresarial evoluciona cada mes, y la diferencia entre un susto y un incidente grave suele estar en la preparación previa. En Acción Informática ayudamos a las empresas a blindar su correo corporativo con una estrategia completa: auditoría de seguridad, configuración avanzada de Microsoft 365 y Defender, implantación de MFA y DMARC, formación y simulacros para la plantilla, y soporte ante incidentes.

¿Quieres saber cómo de expuesta está tu empresa? Contacta con nuestro equipo y te ayudamos a evaluar tu protección frente al correo phishing.