Un correo que parece enviado por el director general, solicita una transferencia urgente y menciona una negociación real no suele ser un ataque masivo. Es phishing dirigido, y su efectividad depende de que alguien actúe antes de verificar. Saber cómo detectar phishing dirigido debe ser una capacidad operativa para Dirección, Finanzas, Recursos Humanos, Ventas y TI, no una responsabilidad aislada del área técnica.
Este tipo de fraude puede detener una operación, exponer datos confidenciales o abrir la puerta a ransomware. El atacante no necesita vulnerar un servidor para causar daño: le basta con convencer a una persona con acceso a información, pagos o cuentas de Microsoft 365.
Qué distingue al phishing dirigido de un correo malicioso común
El phishing masivo suele ser fácil de identificar: errores evidentes, mensajes genéricos y remitentes extraños. El phishing dirigido, también conocido como spear phishing, se prepara con información pública, filtraciones previas, perfiles de redes profesionales, sitios web corporativos o conversaciones comprometidas.
Por eso puede incluir el nombre de un cliente, el cargo correcto de un directivo, una factura esperada o referencias a un proyecto en curso. En algunos casos, el fraude se presenta como BEC, o compromiso de correo empresarial: el delincuente suplanta o toma control de una cuenta para solicitar cambios de cuenta bancaria, pagos, compra de tarjetas o envío de información sensible.
La diferencia no es solo técnica. Un correo dirigido explota la confianza y los procesos internos. Si una empresa autoriza pagos por correo sin una segunda validación, el atacante buscará exactamente ese punto débil. Si los equipos comparten demasiada información sobre proveedores y proyectos, tendrá material para construir un mensaje convincente.
Cómo detectar phishing dirigido antes de que se convierta en incidente
La señal decisiva rara vez está en un solo detalle. Está en una combinación de contexto, urgencia y una solicitud que rompe el proceso normal de la empresa. Un mensaje puede verse impecable y aun así ser fraudulento.
Revise el remitente completo, no solo el nombre visible
Un atacante puede mostrar el nombre de un director, proveedor o banco mientras utiliza un dominio casi idéntico al legítimo. Una letra sustituida, un guion adicional o una extensión diferente pueden pasar desapercibidos en una pantalla móvil. También puede utilizar una cuenta real comprometida, lo que vuelve insuficiente revisar únicamente la dirección.
Cuando el mensaje proviene de una cuenta conocida, observe si el estilo de redacción, el horario, la firma o la petición son congruentes con intercambios anteriores. Un cambio de cuenta bancaria solicitado desde un correo habitual sigue requiriendo confirmación por un canal distinto.
Identifique la presión diseñada para reducir el juicio
Las frases como “es confidencial”, “no llame”, “resuelva esto en la próxima hora” o “el director está en una reunión” buscan impedir la validación. La urgencia puede ser legítima en una operación, pero nunca debe sustituir un control.
Desconfíe especialmente cuando se solicitan transferencias, credenciales, archivos de empleados, datos de clientes, cambios de beneficiarios o acceso a documentos. El riesgo aumenta si el correo pide mantener la acción fuera de los flujos habituales de aprobación.
Lea la solicitud, no solo el texto del correo
Un enlace puede dirigir a una pantalla de inicio de sesión idéntica a Microsoft 365, SharePoint o un portal bancario. Antes de ingresar usuario y contraseña, verifique el dominio en la barra de direcciones y evite acceder desde vínculos inesperados. Es preferible abrir el navegador y entrar al servicio desde la dirección conocida o mediante el acceso corporativo habitual.
Con los archivos adjuntos aplica el mismo criterio. Un archivo con apariencia de factura, cotización o currículum puede contener enlaces, macros o instrucciones para habilitar contenido. Si no esperaba el documento, confírmelo antes de abrirlo, incluso si parece venir de un contacto real.
Busque incongruencias con el proceso operativo
El phishing dirigido funciona porque conoce parte de la realidad de la empresa, no porque la conoce por completo. Ese margen deja pistas: una solicitud enviada a la persona equivocada, un monto fuera de patrón, un proveedor no registrado o una instrucción que contradice la política de autorización.
Cuatro alertas merecen detener la acción de inmediato:
- Solicitudes de pago, cambio bancario o compra fuera del flujo de aprobación establecido.
- Peticiones de contraseña, códigos MFA o datos sensibles por correo, mensaje o llamada inesperada.
- Archivos y enlaces que llegan sin contexto o con una justificación demasiado urgente.
- Instrucciones de confidencialidad que buscan aislar a quien recibe el mensaje de sus supervisores o del área de TI.
La verificación debe ocurrir fuera del correo
Responder al mismo correo no confirma nada: si la cuenta fue comprometida, la respuesta llegará al atacante. La validación debe hacerse mediante un número conocido, una llamada a través del directorio interno, una videollamada o el canal de mensajería corporativa que ya utiliza la organización.
En Finanzas, el control efectivo es una verificación de dos personas para movimientos sensibles y cambios de datos bancarios. En Recursos Humanos, es confirmar por canales autorizados cualquier solicitud de expedientes, datos fiscales o información de nómina. En TI, es prohibir que las credenciales, códigos de autenticación multifactor o accesos administrativos se compartan por correo.
Este proceso puede parecer lento ante una petición urgente. Sin embargo, unos minutos de validación son mucho menos costosos que recuperar fondos, contener una cuenta comprometida o comunicar una filtración a clientes. La agilidad real proviene de contar con procesos claros, no de eliminar controles.
La capacitación ayuda, pero no es suficiente
Capacitar al personal para reconocer correos sospechosos es necesario, pero trasladar toda la responsabilidad al usuario deja a la empresa expuesta. Las personas trabajan bajo presión, atienden clientes y toman decisiones con información incompleta. La prevención debe estar respaldada por controles técnicos y procesos de respuesta.
Una estrategia razonable combina protección avanzada de correo para analizar suplantación, enlaces y adjuntos; autenticación multifactor resistente a intentos de robo de sesión; y políticas de acceso basadas en el nivel de riesgo. También requiere EDR o MDR en endpoints para detectar comportamientos posteriores, como la ejecución de archivos maliciosos o conexiones inusuales.
Para cuentas de dirección, finanzas y administración de Microsoft 365 conviene aplicar controles reforzados. Son perfiles especialmente atractivos por su capacidad para autorizar pagos, consultar información crítica o enviar instrucciones creíbles a otros colaboradores. La protección debe considerar tanto el correo entrante como reglas de reenvío sospechosas, inicios de sesión anómalos y cambios no autorizados en buzones.
No hay nada 100% seguro. Aun así, cerca del 95% de la seguridad recae en la prevención: cultura de verificación, configuración correcta, monitoreo continuo y capacidad de responder rápido. Ahí es donde una empresa reduce de forma tangible su superficie de riesgo.
Qué hacer si alguien hizo clic o compartió información
El peor momento para buscar culpables es durante un incidente. Si una persona abrió un enlace, descargó un archivo o ingresó sus credenciales, debe reportarlo de inmediato. Retrasar el aviso por temor puede convertir un acceso aislado en una intrusión de mayor alcance.
TI debe actuar con un protocolo definido: aislar el equipo si hay indicios de infección, revocar sesiones activas, restablecer contraseñas, revisar registros de acceso y reglas de correo, y analizar si existieron reenvíos, descargas o movimientos laterales. Si se afectó una cuenta con privilegios, la investigación debe ampliar el alcance hacia aplicaciones conectadas, archivos compartidos y sistemas críticos.
También es necesario conservar evidencia. El correo original, encabezados, archivos adjuntos, hora de recepción y acciones realizadas permiten entender el vector de ataque y ajustar controles. Un buen reporte ejecutivo no se limita a decir que el correo fue bloqueado o eliminado: identifica qué proceso se intentó vulnerar, qué datos estuvieron en riesgo y qué medida evitará la repetición.
Convierta la prevención en un indicador de continuidad
La pregunta para Dirección no debería ser si la empresa recibirá correos fraudulentos. Los recibirá. La pregunta útil es si cada área sabe detener una solicitud atípica sin frenar la operación legítima.
Mida reportes de correos sospechosos, intentos bloqueados, tiempo de respuesta, cuentas con MFA activo, excepciones de acceso y cumplimiento de validaciones para pagos. Estas métricas muestran si la protección funciona en la práctica y dónde persisten decisiones expuestas.
RealNet acompaña este trabajo desde el diagnóstico de correo, identidades y endpoints hasta la implementación y revisión continua. Seguridad y confianza se construyen cuando la tecnología, las personas y los procesos responden como un solo equipo. El próximo correo convincente puede llegar en cualquier momento; una organización preparada sabe verificar antes de actuar.
