Un correo que parece enviado por un proveedor, una factura con un cambio de cuenta bancaria o una solicitud urgente del director general pueden detener una operación en cuestión de minutos. Saber cómo prevenir phishing en empresas no consiste únicamente en bloquear mensajes sospechosos: implica proteger pagos, credenciales, datos de clientes y la capacidad de trabajar con normalidad cuando alguien hace clic donde no debía.
El phishing sigue siendo uno de los caminos más utilizados para iniciar un fraude financiero, tomar control de una cuenta de Microsoft 365 o abrir la puerta a un ransomware. El atacante no necesita vulnerar un servidor desde fuera si puede convencer a una persona para que entregue su contraseña o autorice una transferencia. Por eso, la protección debe combinar tecnología, procesos y decisiones claras.
El phishing es un riesgo operativo, no solo un problema de TI
Para dirección, el impacto del phishing se mide en dinero perdido, facturas manipuladas, información confidencial expuesta, interrupciones y daño reputacional. Para TI, se traduce en credenciales comprometidas, sesiones de correo secuestradas, dispositivos infectados y horas dedicadas a contener un incidente que podría haberse evitado.
Los ataques actuales son más creíbles que los correos masivos de hace unos años. Imitan dominios, firmas corporativas, cadenas de conversación reales y el lenguaje de proveedores o entidades financieras. También aprovechan periodos de presión operativa: cierres de mes, pagos a proveedores, vacaciones, campañas comerciales o incorporaciones de personal.
La pregunta útil no es si una empresa recibirá un intento de phishing, sino qué ocurrirá cuando llegue uno bien construido. Si la respuesta depende solo de que un empleado detecte el engaño, la organización está asumiendo un riesgo innecesario.
Cómo prevenir phishing en empresas con capas de protección
Una estrategia eficaz no se apoya en una única herramienta ni en una sesión anual de formación. Debe crear barreras antes de que el mensaje llegue al usuario, reducir las posibilidades de que una credencial robada sea útil y permitir una respuesta rápida si el ataque supera algún control.
Proteja el correo antes de que llegue a la bandeja de entrada
El correo electrónico necesita controles específicos contra suplantación de identidad, enlaces maliciosos, adjuntos peligrosos y campañas de fraude dirigidas. Un servicio de protección de correo debe analizar la reputación del remitente, validar dominios, detectar patrones anómalos y poner en cuarentena los mensajes de riesgo antes de que entren en circulación.
También es necesario configurar correctamente los mecanismos de autenticación del dominio: SPF, DKIM y DMARC. No eliminan todos los ataques, pero dificultan que terceros envíen correos aparentando ser su empresa. Esto protege tanto a la organización como a sus clientes y proveedores.
El filtrado no debe ser excesivamente agresivo sin supervisión. Una regla mal configurada puede bloquear pedidos, facturas legítimas o comunicaciones críticas. Por ello, conviene definir responsables de revisión, políticas de cuarentena y reportes que permitan ajustar la protección sin frenar el negocio.
Haga que una contraseña robada no sea suficiente
Muchas campañas de phishing buscan acceder a correo corporativo, plataformas de colaboración, CRM, VPN o aplicaciones financieras. La autenticación multifactor reduce de forma drástica el valor de una contraseña obtenida mediante engaño, especialmente cuando se aplican políticas de acceso condicional.
No todos los métodos de segundo factor ofrecen la misma protección. Los códigos por SMS pueden ser válidos como punto de partida, pero aplicaciones de autenticación, notificaciones protegidas y llaves físicas ofrecen una defensa superior frente a ataques sofisticados. La elección depende del nivel de riesgo, la movilidad de los equipos y las aplicaciones que maneja cada perfil.
La política debe contemplar cuentas privilegiadas, administradores de Microsoft 365, personal financiero y dirección. Estos perfiles son objetivos prioritarios porque una sola cuenta comprometida puede permitir aprobar pagos, crear reglas de reenvío ocultas o acceder a información sensible.
Forme a las personas con casos que reconozcan
La concienciación funciona cuando se conecta con decisiones reales de trabajo. Decir a la plantilla que “tenga cuidado” no cambia conductas bajo presión. Es más útil mostrar cómo detectar una modificación fraudulenta de cuenta bancaria, una invitación falsa de Microsoft 365, un supuesto currículum con malware o un mensaje del director general que exige confidencialidad y urgencia.
La formación debe ser breve, recurrente y adaptada a las áreas. Finanzas necesita aprender a validar instrucciones de pago. Recursos Humanos debe identificar archivos sospechosos en procesos de selección. Ventas debe proteger accesos a CRM y datos de clientes. Dirección necesita conocer los riesgos de la suplantación ejecutiva, también llamada BEC.
Las simulaciones de phishing pueden aportar datos valiosos si se utilizan para aprender y no para señalar públicamente a quien falla. El objetivo es identificar patrones, reforzar hábitos y facilitar que los empleados informen de un mensaje dudoso sin temor a quedar mal. Una cultura de reporte temprano reduce el tiempo de exposición.
Establezca un proceso de verificación para pagos y cambios sensibles
El phishing más costoso no siempre instala malware. A menudo consigue que una persona autorice una transferencia a una cuenta controlada por el atacante. Por eso, cualquier cambio de datos bancarios, alta de un proveedor o instrucción urgente de pago debe verificarse por un canal distinto al correo que lo solicita.
La llamada de comprobación debe realizarse a un número registrado previamente, no al incluido en el mensaje. Además, las aprobaciones deben respetar una segregación de funciones: quien solicita el cambio no debería ser la única persona que lo valida y ejecuta. Estas medidas añaden unos minutos al proceso, pero evitan pérdidas que rara vez se recuperan por completo.
Es recomendable documentar importes, tipos de solicitud y circunstancias que obligan a una doble validación. Las excepciones son especialmente peligrosas cuando se justifican por urgencia o por una aparente petición de un directivo.
Prepare la respuesta antes de que ocurra el incidente
Un empleado que sospecha de un correo debe saber exactamente qué hacer. Debe poder reportarlo con un mecanismo sencillo, sin reenviarlo a decenas de personas ni borrar evidencias. TI o el proveedor de servicios administrados necesita recibir la alerta, analizar el alcance y actuar con criterios definidos.
Si una credencial ha sido entregada, las primeras acciones suelen incluir el restablecimiento de contraseña, la revocación de sesiones activas, la revisión de reglas de reenvío y delegaciones de correo, y la comprobación de inicios de sesión inusuales. Si hubo un adjunto ejecutado, será necesario investigar el endpoint con herramientas EDR o MDR para confirmar si existe actividad maliciosa y contenerla.
El plan de respuesta debe asignar responsables de TI, finanzas, legal y comunicación. No todos los incidentes requieren el mismo nivel de escalado, pero esperar a tener certeza absoluta puede ampliar el daño. Es preferible aislar una cuenta de forma controlada que permitir a un atacante mantener acceso durante días.
Proteja los equipos y garantice la recuperación
El phishing puede ser el primer paso de un ransomware. Por eso, la defensa del correo debe complementarse con protección de endpoints, parcheado, control de privilegios y monitorización de comportamientos sospechosos. Un antivirus tradicional por sí solo puede no detectar técnicas nuevas, movimientos laterales o cifrado malicioso en fase inicial.
Los respaldos también forman parte de la prevención práctica. Una copia cifrada, verificada y separada del entorno principal permite recuperar información si un ataque logra afectar sistemas críticos. La clave está en probar la restauración: un respaldo que nunca se ha restaurado es una promesa, no una garantía de continuidad.
Para entornos Microsoft 365, conviene valorar una estrategia específica de copia de correo, OneDrive, SharePoint y Teams. La retención nativa no sustituye necesariamente un respaldo diseñado para recuperar datos ante borrado malicioso, errores de usuario o secuestro de cuentas.
Mida el riesgo para decidir dónde invertir
La prevención mejora cuando se convierte en un indicador de gestión. Dirección no necesita revisar cada correo bloqueado, pero sí conocer tendencias: intentos de suplantación detenidos, cuentas con multifactor pendiente, tasa de reporte de mensajes sospechosos, usuarios con mayor exposición y tiempo de respuesta ante incidentes.
Estos datos ayudan a priorizar. Una empresa con una plantilla móvil puede necesitar reforzar el acceso condicional. Una organización con muchos pagos a proveedores debe revisar sus flujos de autorización. Otra que recibe documentación externa a diario quizá requiera controles adicionales sobre adjuntos y aislamiento de navegación.
En RealNet, el enfoque parte del diagnóstico de la operación y de los activos que no pueden detenerse. La tecnología se configura para responder a un riesgo concreto, se acompaña con soporte especializado y se revisa con métricas. No se trata de acumular licencias, sino de mantener protegidas las decisiones que sostienen el negocio.
La medida más valiosa es lograr que cada persona pueda detenerse, verificar y reportar ante una petición inusual, mientras la organización dispone de controles que la respaldan. Esa combinación convierte un correo engañoso en un incidente contenido, no en una crisis operativa.
