El phishing es la forma más habitual de entrar en una empresa. No necesita romper ningún sistema: le basta con que una persona con prisa haga clic, abra un adjunto o escriba su contraseña donde no debe. En 2025, INCIBE gestionó 45.445 casos de fraude online, de los que 25.133 fueron phishing (balance de INCIBE de 2025).

La buena noticia es que casi todos los correos fraudulentos dejan pistas. Esta guía resume las que cualquier persona de la plantilla puede aprender a reconocer.

Las 8 señales que delatan un correo de phishing

  • Un remitente casi igual al de verdad. «rnicrosoft.com» en lugar de «microsoft.com», un guion de más, otra terminación (.co, .net) o una cuenta gratuita para escribir en nombre de un proveedor. Mira la dirección completa, no solo el nombre que aparece.
  • Prisa, miedo o premio. «Última oportunidad», «su cuenta será bloqueada hoy», «tiene un reembolso pendiente». La urgencia busca que actúes antes de pensar.
  • Una petición poco habitual. Cambiar un número de cuenta, pagar una factura que no esperabas, comprar tarjetas regalo o enviar datos personales de clientes o compañeros.
  • Enlaces cuyo destino no coincide. En el ordenador, pasa el ratón por encima sin hacer clic y mira la dirección real. En el móvil, mantén el dedo pulsado sobre el enlace.
  • Adjuntos peligrosos. Dobles extensiones («factura.pdf.exe»), archivos comprimidos con contraseña, documentos que piden «habilitar contenido» o archivos .html que abren un formulario de acceso.
  • Una pantalla de inicio de sesión que llega por correo. «Documento compartido», «buzón lleno», «verifique su cuenta». Entra siempre escribiendo tú la dirección o desde tus favoritos, nunca desde el enlace.
  • Un cambio de tono en una conversación real. Los atacantes que han robado el correo de un proveedor responden dentro de un hilo auténtico con una petición nueva. Que el hilo sea real no significa que el mensaje lo sea.
  • Códigos QR en correos o cartas. El «quishing» esconde el enlace en un QR para que lo abras desde el móvil, donde es más difícil comprobar la dirección.

Los engaños más habituales en pymes

Cambian los nombres y los logotipos, pero los argumentos se repiten:

  • Factura o proveedor falso: una factura vencida, un recargo o un cambio de cuenta bancaria. Es el que más dinero cuesta (lo explico en la guía sobre el fraude del CEO y el cambio de IBAN).
  • Microsoft 365 o Google Workspace: «tiene mensajes retenidos», «un compañero ha compartido un documento». Buscan tu contraseña del correo, que abre la puerta a todo lo demás.
  • Paquetería y SMS: un envío retenido por una pequeña tasa. Llega al móvil de empresa y al personal.
  • Organismos públicos: Agencia Tributaria, Seguridad Social o DGT con multas, notificaciones o devoluciones. Estos organismos no te piden datos bancarios por correo ni por SMS.
  • El jefe con prisa: «Estoy en una reunión, necesito que hagas una transferencia confidencial». Lo veremos en detalle en la guía del fraude del CEO.

Qué hacer si recibes un correo sospechoso

  1. No hagas clic ni respondas. Tampoco reenvíes el correo a compañeros «para ver qué opinan».
  2. Comprueba por otro canal. Llama a la persona o empresa a un teléfono que ya conocías, no al que aparece en el correo.
  3. Avisa. Usa el botón de «notificar phishing» si tu correo lo tiene, o reenvíalo como adjunto a la persona responsable de informática.
  4. Bórralo cuando te confirmen que es fraudulento.

Qué hacer si ya has hecho clic o has escrito tu contraseña

Le pasa a cualquiera, incluso a personas muy preparadas. Lo que marca la diferencia es avisar rápido.

  1. Cambia la contraseña de esa cuenta desde otro dispositivo y, si es posible, cierra todas las sesiones abiertas.
  2. Avisa de inmediato a informática o a tu responsable. Cuanto antes se sepa, menos daño hace.
  3. Si abriste un adjunto o instalaste algo, desconecta el equipo de la red (cable y wifi) y no sigas trabajando con él.
  4. Si diste datos bancarios, llama a tu banco en ese momento.
  5. Si necesitas orientación, la Línea de Ayuda en Ciberseguridad de INCIBE (017) es gratuita y atiende también a empresas.

Cómo entrenar a tu equipo para detectarlo

Leer una lista ayuda, pero lo que de verdad funciona es practicar con ejemplos reales y repetir las comprobaciones hasta que se vuelven automáticas. En el curso de ciberseguridad para empleados de CiberBase, el módulo de phishing e ingeniería social trabaja con correos reales analizados señal a señal, y el examen final comprueba que cada persona sabe reaccionar.