El 80% de los ciberataques que afectan a empresas empiezan con un email. No con un hackeo sofisticado, no con código malicioso que explota un servidor — con alguien del equipo que hace clic donde no debía.
El phishing lleva décadas siendo la técnica más efectiva porque ataca el eslabón más difícil de parchear: las personas.
Qué es exactamente el phishing
El phishing es un engaño por email (o SMS, o llamada) en el que el atacante se hace pasar por alguien de confianza — tu banco, Correos, la Agencia Tributaria, tu proveedor de hosting, o incluso tu propio jefe — para conseguir que hagas algo: hacer clic en un enlace, descargar un archivo, introducir tus credenciales o transferir dinero.
Lo que ha cambiado en los últimos años es la calidad de los engaños. Los emails con faltas de ortografía y logos pixelados siguen existiendo, pero los ataques dirigidos a empresas son hoy casi indistinguibles de comunicaciones legítimas.
Las señales que delatan un email falso
El dominio del remitente no coincide
El nombre del remitente puede ser «Banco Santander» o «Soporte de Microsoft», pero lo que importa es la dirección real. Haz clic en el nombre del remitente y mira la dirección completa. Un email de [email protected] no es de Microsoft.
El enlace lleva a otro sitio
Antes de hacer clic en cualquier enlace, pasa el ratón por encima sin clicar. En la esquina inferior del navegador o cliente de email aparecerá la URL real de destino. Si el email dice ser de tu banco pero el enlace apunta a bancoseguro-acceso.net, es phishing.
Crea urgencia artificial
«Tu cuenta será bloqueada en 24 horas», «Acción requerida inmediatamente», «Último aviso antes de suspender el servicio». La urgencia es la herramienta principal del phishing — te impide pensar con calma antes de actuar.
Pide credenciales o datos bancarios
Ningún banco, ningún servicio legítimo ni ninguna administración pública te pedirá usuario, contraseña o datos de tarjeta por email. Nunca. Si un email te pide eso, es un ataque.
El saludo es genérico
«Estimado cliente», «Hola usuario», «Dear sir/madam» — cuando una empresa legítima te escribe, suele usar tu nombre. Los ataques masivos de phishing no conocen tu nombre, así que usan fórmulas genéricas.
Un ejemplo real de phishing bien construido
Imagina este escenario: recibes un email del «Servicio de Soporte de Correos» informándote de que tienes un paquete pendiente de recoger. El logo es correcto, la firma parece oficial. Solo debes pagar 1,99 € de gastos de gestión para que te lo entreguen hoy.
El enlace lleva a una web que imita a la perfección la de Correos. Introduces tu tarjeta. En ese momento tienes dos problemas: los 1,99 € que pierdes, y los datos de tu tarjeta que acaban de robar.
Este tipo de ataque ha afectado a decenas de miles de personas en España en los últimos dos años.
Qué hacer si recibes un email sospechoso
- No hagas clic en ningún enlace ni descargues archivos adjuntos
- Verifica el remitente real (no el nombre visible, la dirección completa)
- Si el email parece de una empresa real, accede a su web directamente desde el navegador — nunca desde el enlace del email
- Si tienes dudas, llama a la empresa por el teléfono oficial para confirmar
- Márcalo como spam o phishing en tu cliente de correo para ayudar a filtrar futuros ataques
Por qué esto afecta especialmente a las pymes
Las grandes empresas tienen departamentos de seguridad, filtros avanzados y formación obligatoria para empleados. Las pymes, en la mayoría de casos, no tienen nada de eso.
Un empleado que cae en un phishing puede comprometer credenciales de acceso, datos de clientes, información bancaria o instalar un ransomware que paralice toda la empresa durante días. Y la responsabilidad legal en caso de brecha de datos recae sobre el negocio.
Formar a tu equipo para reconocer un phishing cuesta mucho menos que recuperarse de uno.
Cómo proteger a tu equipo
La tecnología ayuda — filtros de spam, autenticación en dos factores, políticas de contraseñas — pero la primera línea de defensa siempre es el criterio humano. Un equipo que sabe reconocer un ataque es más valioso que cualquier software de seguridad.
