El phishing es un tipo de fraude en el que un atacante se hace pasar por alguien de confianza, como un banco, un proveedor o un directivo, para que una persona entregue contraseñas, datos o dinero. Llega sobre todo por correo, pero también por SMS, mensajería y llamadas. Para protegerte hacen falta controles técnicos y personas entrenadas para reconocerlo.
Esta guía explica los tipos de phishing más comunes, cómo identificarlos y qué medidas conviene aplicar en una empresa.
Qué es el phishing y por qué funciona
El phishing funciona porque ataca a las personas, no a los sistemas. En lugar de buscar una falla técnica, el atacante busca un momento de prisa, confianza o miedo. Un mensaje que parece venir del banco, de la jefatura o del proveedor habitual tiene más probabilidades de recibir una respuesta rápida que uno de un desconocido.
El objetivo cambia según el caso:
- Robar credenciales: que la víctima ingrese su usuario y contraseña en una página falsa.
- Instalar malware: que abra un archivo adjunto o descargue un programa.
- Obtener un pago: que alguien transfiera dinero a una cuenta controlada por el atacante.
- Conseguir información: datos de clientes, nóminas o documentos internos que luego se usan en otros ataques.
Una sola cuenta de correo comprometida puede ser el punto de entrada para ataques más graves, como el ransomware o el fraude a proveedores.
Tipos comunes de phishing
Phishing por correo electrónico
Es la forma más extendida. El atacante envía un correo que imita a una marca o servicio conocido: una notificación de entrega, un aviso de contraseña vencida, una factura pendiente o un documento compartido. Puede enviarse de forma masiva o dirigida a personas concretas, lo que se conoce como spear phishing.
Phishing por SMS y mensajería
También llamado smishing. Llega como un mensaje de texto o por aplicaciones de mensajería, con un enlace corto y un tono urgente: un paquete retenido, una cuenta bloqueada, un premio por reclamar. En el teléfono es más difícil revisar a dónde lleva un enlace, y eso lo vuelve efectivo.
Suplantación de proveedores y directivos
En este caso el atacante se hace pasar por alguien con quien la empresa ya trabaja. Un correo que parece del gerente general pide una transferencia urgente y confidencial. Otro, que parece de un proveedor, informa que cambió su cuenta bancaria. A veces el atacante usa un dominio casi idéntico al real; otras veces escribe desde una cuenta legítima que ya comprometió, lo que hace el engaño mucho más creíble.
Páginas falsas
Muchos ataques terminan en una página que imita el inicio de sesión de un servicio conocido, como el correo corporativo o la banca en línea. La página puede verse idéntica a la original. Lo que cambia es la dirección, que suele tener una letra distinta, un dominio extra o una ruta extraña.
Cómo reconocer un intento de phishing
Ninguna señal es definitiva por sí sola, pero varias juntas deberían generar sospecha:
- Urgencia o presión: “tu cuenta se cerrará hoy”, “necesito esto en una hora”.
- Remitente que no cuadra: el nombre visible es correcto, pero la dirección real es otra o viene de un dominio parecido.
- Solicitudes fuera de lo normal: cambio de cuenta bancaria, compra de tarjetas de regalo, envío de credenciales por correo.
- Enlaces que no coinciden: al pasar el cursor sobre el enlace, la dirección no corresponde al sitio que dice ser.
- Archivos inesperados: adjuntos que no pediste, sobre todo comprimidos o documentos que piden habilitar macros.
- Tono o forma distintos: un proveedor que siempre escribe de una manera y de pronto cambia de estilo, firma o idioma.
La regla práctica es simple: si un mensaje pide dinero, credenciales o datos sensibles, se confirma por otro canal antes de actuar, por ejemplo llamando al número que ya tienes registrado del contacto.
Cómo proteger a tu empresa del phishing
La protección contra el phishing se construye por capas. Cada una reduce lo que llega a la siguiente.
Filtro antispam y protección del correo
Un filtro antispam analiza los mensajes antes de que lleguen al buzón. Revisa la reputación del remitente, el contenido, los enlaces y los adjuntos, y bloquea o pone en cuarentena lo sospechoso. Algunas soluciones también reescriben los enlaces para verificarlos en el momento del clic o abren los adjuntos en un entorno aislado. Esta capa detiene buena parte del phishing masivo, aunque no todo.
Autenticación multifactor
La autenticación multifactor (MFA) pide un segundo factor además de la contraseña, como un código en una aplicación o una llave física. Si un usuario entrega su contraseña en una página falsa, el atacante todavía necesita ese segundo factor. Conviene activarla en el correo, en el acceso remoto y en las aplicaciones en la nube. Plataformas como Microsoft 365 y Google Workspace la incluyen; revisa cómo está configurada en tu correo y colaboración.
SPF, DKIM y DMARC
Estos tres registros de DNS ayudan a que nadie envíe correos haciéndose pasar por tu dominio. SPF declara qué servidores pueden enviar en tu nombre, DKIM firma cada mensaje y DMARC indica qué hacer con los correos que fallan esas pruebas. Bien configurados, protegen a tus clientes y proveedores de correos falsos con tu nombre.
Protección en los equipos
Si un archivo malicioso llega a abrirse, la siguiente barrera está en el equipo. Una solución de protección de endpoints con capacidades EDR puede detectar comportamientos anómalos y aislar el equipo antes de que el problema se extienda.
Capacitación continua
Las personas son parte de la defensa. Una capacitación práctica enseña a reconocer señales de phishing con ejemplos reales del día a día de la empresa. Funciona mejor cuando es periódica y breve que cuando es una charla única al año. Las simulaciones controladas ayudan a medir el avance sin castigar a nadie.
Procedimiento para reportar
Todo el equipo debe saber a quién avisar y cómo reenviar un mensaje sospechoso, incluso si ya hizo clic. Un reporte temprano permite bloquear el mismo correo en otros buzones y cambiar contraseñas a tiempo. Si reportar un error trae sanciones, la gente lo oculta.
Qué hacer si alguien cayó en el engaño
Actuar rápido limita el daño. Los pasos básicos son:
- Cambiar la contraseña de la cuenta afectada y cerrar las sesiones abiertas.
- Revisar reglas de reenvío o filtros creados en el buzón, un truco común de los atacantes.
- Revisar si se enviaron correos desde esa cuenta a clientes o proveedores.
- Si hubo un pago, contactar de inmediato al banco.
- Analizar el equipo si se abrió un adjunto o se descargó algo.
Cómo te ayuda SyncTech frente al phishing
En SyncTech implementamos soluciones de antispam y protección de endpoints, revisamos la configuración de SPF, DKIM y DMARC de tu dominio y te ayudamos a activar la autenticación multifactor en tus plataformas de correo. También ofrecemos capacitación técnica para tu equipo. Si prefieres empezar por un diagnóstico de tu correo, podemos hacerlo con una auditoría.
Si quieres revisar qué tan expuesta está tu empresa al phishing, conversemos.
Preguntas frecuentes
¿Qué es el phishing?
El phishing es un tipo de fraude en el que un atacante se hace pasar por una persona o entidad de confianza para engañar a la víctima. El objetivo suele ser robar contraseñas, datos bancarios o conseguir que alguien haga un pago o abra un archivo malicioso.
¿Un filtro antispam detiene todo el phishing?
No. Un filtro antispam bloquea una gran parte de los mensajes maliciosos, pero algunos logran pasar, sobre todo los que se envían desde cuentas legítimas comprometidas. Por eso se combina con autenticación multifactor, capacitación y un procedimiento claro para reportar.
¿Qué hago si hice clic en un enlace de phishing?
Avisa de inmediato al área de TI o a tu proveedor de soporte. Si ingresaste una contraseña, cámbiala desde un equipo confiable y revisa que la autenticación multifactor esté activa. Mientras antes se reporte, más fácil es contener el daño.
¿Qué son SPF, DKIM y DMARC?
Son estándares de autenticación de correo. SPF indica qué servidores pueden enviar correo en nombre de tu dominio, DKIM firma los mensajes para comprobar que no fueron alterados y DMARC define qué hacer con los correos que no pasan esas verificaciones. Juntos dificultan que suplanten tu dominio.