Un correo que aparenta venir de un proveedor, de la dirección general o de Microsoft 365 puede desencadenar una transferencia no autorizada, el robo de credenciales o la entrada de ransomware en cuestión de minutos. Saber cómo detectar correos fraudulentos no debe depender solo de la intuición de cada empleado: es una capacidad operativa que protege la continuidad, la reputación y la información crítica de la empresa.
El phishing ya no se limita a mensajes mal redactados con promesas poco creíbles. Los ataques actuales estudian a la organización, utilizan nombres reales de colaboradores y proveedores, imitan firmas corporativas y aprovechan momentos de presión, como cierres contables, pagos urgentes o cambios de contraseñas. Por eso, la pregunta no es si un mensaje parece sospechoso a primera vista, sino qué validaciones debe realizar una persona antes de abrir un enlace, descargar un archivo o responder.
Cómo detectar correos fraudulentos antes de que causen un incidente
La señal más fiable no suele estar en el diseño del correo, sino en la incoherencia entre lo que el mensaje solicita y el proceso habitual de la empresa. Un proveedor puede pedir una actualización de datos bancarios, por ejemplo, pero ese cambio debe confirmarse por un canal conocido y con el responsable correspondiente. La urgencia no sustituye la validación.
Conviene revisar el remitente completo, no solo el nombre que aparece en pantalla. Un atacante puede mostrar «Dirección Financiera» o el nombre de un proveedor legítimo mientras envía desde un dominio con una letra cambiada, una extensión inusual o una cuenta gratuita. Diferencias como `empresa.com` frente a `ernpresa.com`, donde se sustituye la letra m por las letras r y n, pueden pasar inadvertidas en una lectura rápida.
También hay que valorar el contexto. Un mensaje inesperado que pide iniciar sesión, compartir información confidencial, aprobar un pago o abrir una factura debe tratarse con cautela, aunque parezca proceder de alguien conocido. En los ataques de compromiso de correo corporativo, el delincuente puede haber tomado control de una cuenta real. Que el remitente sea legítimo no garantiza que la petición lo sea.
Señales que requieren una segunda comprobación
Hay indicadores que, por sí solos, no siempre confirman un fraude, pero justifican detener la acción y verificar. Entre ellos se encuentran un tono de urgencia desproporcionado, solicitudes que rompen un procedimiento interno, errores leves de redacción, adjuntos no esperados o enlaces que no coinciden con el sitio al que dicen dirigir.
Antes de pulsar un enlace, pase el cursor por encima y revise la dirección de destino. En móvil, mantenga pulsado el enlace para ver la URL sin abrirla. Desconfíe de dominios con combinaciones extrañas, subdominios largos o direcciones que intentan parecerse a servicios conocidos. Un enlace que dice llevar a Microsoft 365, pero dirige a una web ajena, busca normalmente capturar credenciales.
Los archivos adjuntos también requieren criterio. Documentos que solicitan habilitar macros, archivos comprimidos inesperados o formatos ejecutables son especialmente delicados. Un archivo aparentemente administrativo puede instalar malware al abrirse o activar una cadena que termina en ransomware. Si el documento es necesario para el negocio, confírmelo con el emisor mediante un teléfono o canal ya registrado, no respondiendo al propio correo sospechoso.
El fraude de correo no siempre se detecta por la ortografía
Durante años se enseñó a identificar phishing por sus faltas de ortografía. Sigue siendo una señal útil, pero ya no basta. Los atacantes utilizan herramientas de traducción, plantillas corporativas y mensajes generados con un nivel de redacción convincente. En empresas con operaciones internacionales, incluso pueden adaptar el tono a cada país, área o proveedor.
El fraude más costoso suele ser el que imita una conversación real. Un delincuente puede responder dentro de una cadena existente, copiar firmas, referencias de facturas y datos de contacto. Su objetivo es hacer que el destinatario baje la guardia. Por eso, los equipos financieros, comerciales, de recursos humanos y de TI deben tener procedimientos específicos para validar cambios de cuenta bancaria, pagos extraordinarios, altas de usuarios y solicitudes de datos personales.
Un control sencillo y eficaz consiste en separar la recepción de una instrucción de su autorización. Si llega una petición de pago por correo, la confirmación debe ocurrir por llamada a un número conocido, un flujo de aprobación en la plataforma corporativa o una comprobación con un segundo responsable. Este pequeño retraso es asumible frente al coste de un pago fraudulento o una cuenta comprometida.
Qué hacer si un empleado recibe un correo sospechoso
El primer paso es no interactuar. No se debe abrir el adjunto, pulsar enlaces, responder ni reenviar el mensaje a compañeros para pedir opinión si eso puede propagar el riesgo. La acción correcta es reportarlo al área de TI o al canal interno definido para incidentes.
Si el empleado ya introdujo sus credenciales en una página sospechosa, debe avisar de inmediato. Retrasar el reporte por miedo a haber cometido un error da tiempo al atacante para acceder al correo, crear reglas de reenvío, revisar conversaciones y lanzar fraudes desde una cuenta legítima. La respuesta debe incluir el cambio de contraseña, el cierre de sesiones activas, la revisión de reglas de buzón y la comprobación de accesos inusuales.
Cuando se ha abierto un archivo sospechoso, el equipo afectado debe aislarse de la red si existe la posibilidad de infección. El área de TI necesita revisar el endpoint, los registros de actividad y el alcance del incidente antes de devolverlo a operación. Aquí, disponer de EDR o MDR puede marcar una diferencia relevante: permite detectar comportamientos anómalos y responder antes de que el problema se extienda a servidores, recursos compartidos o copias de seguridad.
La tecnología reduce el riesgo, pero no elimina la necesidad de procesos
Una protección de correo bien configurada filtra suplantaciones, enlaces maliciosos, adjuntos peligrosos y campañas de phishing conocidas antes de que lleguen a la bandeja de entrada. La autenticación multifactor añade una capa crítica: aunque una contraseña sea robada, el atacante encuentra una barrera adicional para acceder a la cuenta.
Sin embargo, ningún filtro detiene todos los mensajes. Algunos ataques proceden de cuentas legítimas comprometidas; otros son tan nuevos que todavía no aparecen en listas de reputación. Por eso, la protección debe combinar tecnología, formación práctica y reglas de negocio claras.
En una organización de 25 a 500 equipos, el enfoque adecuado depende de su exposición. Una empresa con alto volumen de pagos necesita controles reforzados para el área financiera. Una compañía que gestiona datos personales o información contractual debe priorizar la protección de Microsoft 365, la clasificación de información y los respaldos cifrados. Un negocio con personal móvil requiere que la seguridad acompañe también a los dispositivos fuera de la oficina.
La formación más útil no consiste en enviar una presentación una vez al año. Debe partir de casos cercanos a la operación: una factura alterada, un falso aviso de expiración de contraseña, una solicitud de cambio de cuenta bancaria o un mensaje que suplanta a dirección. Medir cuántos correos se reportan, cuánto tarda TI en responder y qué áreas concentran más intentos ayuda a convertir la concienciación en una mejora verificable.
Controles que conviene revisar en dirección y TI
La dirección necesita visibilidad sobre los riesgos sin entrar en cada detalle técnico. Un informe ejecutivo debería mostrar intentos bloqueados, cuentas con autenticación multifactor, dispositivos desprotegidos, incidentes reportados y tiempo de respuesta. Estos datos permiten priorizar inversión y corregir fallos antes de que afecten a clientes u operaciones.
Desde TI, conviene revisar la configuración de SPF, DKIM y DMARC en los dominios corporativos. Estas tecnologías ayudan a reducir la suplantación del dominio propio, aunque no impiden que terceros utilicen dominios parecidos. También es necesario controlar privilegios administrativos, revisar reglas de reenvío externas y mantener una política de acceso basada en el mínimo privilegio.
Los respaldos forman parte de la respuesta al fraude porque un correo malicioso puede ser la puerta de entrada a un cifrado masivo de información. Las copias deben estar verificadas, protegidas y probadas mediante ejercicios de recuperación. Tener un respaldo sin comprobar su restauración no garantiza continuidad operativa.
RealNet aborda este riesgo desde una combinación de protección de correo, defensa de endpoints, respaldo y acompañamiento operativo, porque una alerta aislada solo aporta valor cuando existe un proceso claro para investigarla y responder.
La mejor defensa frente a un correo fraudulento no es pedir a las personas que desconfíen de todo, sino darles criterios sencillos, canales de reporte y la certeza de que detenerse a verificar es una decisión correcta de negocio. Cada correo reportado a tiempo puede ser un incidente que nunca llega a afectar a la empresa.
