Un correo que parece enviado por un proveedor, una factura pendiente o una petición urgente del gerente puede bastar para paralizar una empresa. Proteger correo corporativo del phishing no consiste solo en instalar un filtro antispam: exige combinar tecnología, procedimientos claros y formación para que una decisión precipitada no termine en fraude, robo de datos o ransomware.
En una asesoría, una clínica o una empresa de logística, el correo concentra información especialmente sensible: facturas, nóminas, contratos, datos bancarios, historiales de clientes y accesos a plataformas. Por eso los delincuentes lo utilizan como puerta de entrada. No necesitan forzar una puerta si consiguen que alguien les entregue la llave.
Por qué el phishing afecta tanto a las pymes
El phishing ha dejado de ser aquel mensaje mal redactado que prometía un premio. Ahora suele copiar el diseño de Microsoft 365, Google Workspace, bancos, agencias de transporte, proveedores o incluso de un compañero de trabajo. Los mensajes pueden llegar desde cuentas reales comprometidas, lo que hace que parezcan todavía más creíbles.
El objetivo puede ser robar una contraseña, conseguir un pago fraudulento o instalar software malicioso. Un caso habitual es el cambio de cuenta bancaria de un proveedor: el atacante suplanta su dirección de correo, envía una factura aparentemente correcta y solicita que los próximos pagos se realicen a otra cuenta. Si administración no verifica el cambio por teléfono mediante un número conocido, la pérdida puede ser inmediata.
También son frecuentes los avisos falsos de buzón lleno, documentos compartidos o caducidad de contraseña. Al pulsar el enlace, el empleado llega a una página casi idéntica a la de su servicio de correo e introduce sus credenciales. A partir de ahí, el atacante puede leer mensajes, crear reglas para ocultar respuestas, suplantar a la empresa y buscar información para nuevos fraudes.
1. Proteja las cuentas con autenticación multifactor
Una contraseña, por compleja que sea, ya no debe ser la única barrera de acceso. La autenticación multifactor añade una segunda comprobación, normalmente mediante una aplicación de autenticación o una llave de seguridad. Así, si un usuario cae en una web fraudulenta y entrega su contraseña, el acceso seguirá bloqueado salvo que el atacante supere esa segunda verificación.
No todas las opciones ofrecen el mismo nivel de seguridad. Los códigos enviados por SMS mejoran la protección frente a una contraseña aislada, pero una aplicación de autenticación o una llave física suelen ser alternativas más seguras. Para cuentas de dirección, administración, recursos humanos y usuarios con permisos elevados, conviene aplicar medidas más estrictas y revisar periódicamente sus accesos.
La autenticación multifactor puede generar alguna consulta inicial del equipo, sobre todo al cambiar de móvil o incorporar a un trabajador. Es un pequeño coste operativo frente al impacto de perder el control del correo corporativo.
2. Configure una protección de correo adaptada a la empresa
Los filtros básicos incluidos en una plataforma de correo ayudan, pero no siempre son suficientes para una empresa que recibe facturas, documentos compartidos y comunicaciones externas a diario. Una protección corporativa bien configurada analiza enlaces, archivos adjuntos, remitentes y patrones de suplantación antes de que el mensaje llegue a la bandeja de entrada.
La configuración debe ajustarse a la actividad real. Un despacho profesional puede necesitar recibir archivos adjuntos de clientes, mientras que una empresa industrial puede trabajar con proveedores que comparten planos o presupuestos. Bloquearlo todo reduce riesgos, pero también puede frenar el trabajo. El criterio correcto es filtrar lo peligroso, poner en cuarentena lo dudoso y permitir una revisión rápida cuando un correo legítimo queda retenido.
También es recomendable aplicar controles que impidan la suplantación del dominio de la propia empresa. Estas configuraciones ayudan a que otros servidores detecten correos falsos enviados en nombre de su organización y reducen el riesgo de que un cliente reciba un fraude aparentemente remitido desde su empresa.
3. Forme al equipo con ejemplos que reconozca
La formación más útil no se basa en pedir a los empleados que desconfíen de todo. Debe enseñarles a detectar señales concretas: una urgencia inusual, un remitente parecido pero no idéntico, una petición de datos o pagos fuera del procedimiento, un enlace que dirige a otra dirección o un archivo inesperado.
El mensaje puede ser técnicamente perfecto y llegar desde un contacto conocido. Por eso la pregunta clave no es solo «¿parece un correo real?», sino «¿esta solicitud encaja con la forma habitual de trabajar?». Si un proveedor cambia sus datos bancarios, si gerencia pide una transferencia extraordinaria o si un empleado solicita credenciales, hay que confirmar por un canal independiente.
Las simulaciones periódicas de phishing pueden ser útiles si se plantean como aprendizaje, no como una sanción. El objetivo es identificar qué tipos de engaño afectan más al negocio y reforzar hábitos. Una sesión breve, ejemplos propios del sector y un protocolo sencillo suelen funcionar mejor que un curso largo una vez al año.
4. Establezca un procedimiento para pagos y datos sensibles
Muchos ataques no buscan instalar virus. Buscan que alguien autorice un pago. La protección técnica reduce mensajes maliciosos, pero no sustituye un proceso financiero bien definido.
Los cambios de cuenta bancaria, las transferencias urgentes y las solicitudes de datos personales deben requerir una verificación adicional. No basta con responder al mismo correo, porque la cuenta del proveedor puede estar comprometida. Se debe llamar al contacto habitual usando un número previamente validado o confirmar la operación desde el canal acordado.
En negocios pequeños, donde una persona puede gestionar compras, facturación y pagos, este control parece más difícil. Aun así, puede implantarse una doble validación para operaciones por encima de un importe determinado o para cualquier modificación de datos bancarios. Es una medida sencilla con un efecto directo sobre el riesgo de fraude.
5. Limite permisos y vigile las reglas de correo
No todos los usuarios necesitan el mismo acceso. Las cuentas de administración global, las direcciones compartidas y los buzones de gerencia requieren especial atención. Cuantos menos privilegios tenga cada usuario, menor será el daño si una cuenta se ve comprometida.
Tras un robo de credenciales, es habitual que el atacante cree reglas para reenviar correos a una dirección externa o mover mensajes a carpetas ocultas. Así puede seguir conversaciones de facturación sin ser detectado. Revisar reglas de reenvío, inicios de sesión inusuales, accesos desde ubicaciones extrañas y cambios de configuración permite descubrir incidentes que de otro modo pasan desapercibidos durante semanas.
La monitorización no consiste en revisar manualmente cada buzón. Bien gestionada, genera alertas ante comportamientos anómalos y permite actuar antes de que la suplantación alcance a clientes o proveedores.
6. Mantenga equipos y copias de seguridad preparados
Un archivo adjunto malicioso puede aprovechar una vulnerabilidad del equipo o intentar cifrar archivos compartidos. Mantener Windows, navegadores, programas de ofimática y antivirus actualizados reduce las oportunidades del atacante. También conviene evitar que los usuarios trabajen siempre con permisos de administrador local.
Las copias de seguridad siguen siendo esenciales, pero deben estar verificadas y protegidas frente al propio ataque. Una copia conectada permanentemente a la red puede cifrarse junto con los datos originales. La empresa necesita saber qué información se respalda, con qué frecuencia, dónde se guarda y cuánto tardaría en recuperar la actividad.
En una clínica, por ejemplo, no basta con recuperar documentos varios días después. Hay que valorar si se puede atender, acceder a agendas y retomar la facturación sin una parada prolongada. La continuidad de negocio se prepara antes del incidente, no mientras el equipo está bloqueado.
7. Sepa qué hacer si alguien pulsa un enlace
La rapidez es decisiva. Si un trabajador sospecha que ha introducido su contraseña en una página falsa o ha abierto un archivo peligroso, debe avisar sin miedo a represalias. Ocultar el error por vergüenza da tiempo al atacante.
El protocolo inicial debe incluir desconectar el equipo de la red si hay indicios de infección, cambiar la contraseña desde un dispositivo seguro, cerrar sesiones activas, revisar reglas de reenvío y comprobar si se han enviado mensajes fraudulentos desde la cuenta. Si existen pagos en curso o conversaciones sensibles, hay que advertir de inmediato a las personas afectadas.
No conviene limitarse a cambiar la contraseña y dar el incidente por cerrado. Es necesario revisar el alcance: qué correos se han leído, qué archivos se han descargado, qué dispositivos accedieron a la cuenta y si existen otras cuentas comprometidas. Un análisis profesional evita que el problema reaparezca días después.
8. Convierta el correo en una parte de su mantenimiento IT
Proteger el correo corporativo del phishing no es una acción puntual. Las amenazas cambian, se incorporan empleados, se abren nuevas cuentas y los procedimientos de la empresa evolucionan. La protección necesita revisiones periódicas, tanto de la configuración técnica como de los hábitos de trabajo.
En RSI ayudamos a empresas a revisar Microsoft 365, Google Workspace, filtros de correo, accesos, copias de seguridad y protocolos de respuesta. El objetivo no es añadir herramientas sin criterio, sino reducir el riesgo real sin complicar el trabajo de administración, dirección y equipos operativos.
La señal de que una empresa está bien preparada no es que nunca reciba correos maliciosos. Es que, cuando lleguen, el filtro los detenga en la mayoría de los casos y el equipo sepa reconocer, verificar y comunicar los que consigan pasar.
