Un correo que parece enviado por un proveedor puede pedir un cambio de cuenta bancaria, incluir una factura aparentemente correcta o solicitar acceso urgente a Microsoft 365. Basta con que una persona actúe con prisa para que el fraude entre en la empresa. Aplicar mejores prácticas de seguridad del correo no consiste solo en instalar un filtro antispam: exige combinar tecnología, procedimientos claros y formación útil para el equipo.
Para una asesoría, clínica, despacho profesional, comercio o empresa industrial, el correo electrónico concentra información sensible, pagos, contratos, datos de clientes y accesos a otras plataformas. Protegerlo es una medida directa de continuidad de negocio.
Por qué el correo sigue siendo la puerta de entrada preferida
Los ciberdelincuentes no siempre intentan vulnerar un servidor. A menudo buscan el camino más sencillo: convencer a un empleado para que entregue su contraseña, abra un archivo malicioso o autorice un pago. Este tipo de engaño se conoce como phishing y puede adoptar muchas formas.
En una gestoría, por ejemplo, un atacante puede suplantar a un cliente y enviar documentación con un archivo infectado. En una constructora, puede hacerse pasar por un proveedor para modificar los datos de una transferencia. En una clínica, un correo que aparenta venir del departamento de administración puede solicitar credenciales de acceso a una plataforma de gestión.
El problema no es que el personal cometa errores por falta de interés. Los correos fraudulentos están mejor redactados, aprovechan fechas de cierre, campañas de impuestos, vacaciones o facturas pendientes, y crean una sensación de urgencia. La seguridad debe diseñarse para detectar esos intentos antes de que se conviertan en una parada, una pérdida económica o una brecha de datos.
Mejores prácticas de seguridad del correo en la empresa
Proteja las cuentas con doble factor de autenticación
La contraseña por sí sola ya no es una barrera suficiente. Si un empleado la introduce en una página falsa, el atacante puede acceder al correo desde cualquier lugar. El doble factor de autenticación añade una segunda comprobación, normalmente desde una aplicación de autenticación o una llave de seguridad.
Esta medida reduce de forma notable los accesos no autorizados a Microsoft 365, Google Workspace y otros servicios en la nube. Conviene priorizar las cuentas con más privilegios: gerencia, administración, contabilidad, recursos humanos y responsables de sistemas. También hay que evitar que los códigos de verificación se compartan por teléfono, chat o correo. Ningún proveedor legítimo debe pedirlos.
Establezca contraseñas únicas y controle las cuentas antiguas
Una contraseña reutilizada en varios servicios puede comprometer el correo corporativo aunque el fallo se haya producido en una web ajena a la empresa. Cada cuenta debe tener una contraseña única, larga y gestionada con una herramienta corporativa adecuada.
Tan relevante como crear buenas contraseñas es retirar accesos cuando una persona cambia de puesto o deja la organización. Las cuentas de exempleados, buzones compartidos sin responsable y permisos acumulados son riesgos habituales. Una revisión trimestral de usuarios, licencias, reenvíos automáticos y permisos de buzones ayuda a detectar estas situaciones antes de que generen un incidente.
Configure SPF, DKIM y DMARC correctamente
Estos tres controles técnicos sirven para que los servidores receptores puedan comprobar si un correo enviado en nombre de su dominio es legítimo. No eliminan todos los fraudes, pero dificultan que terceros suplanten la dirección de su empresa para engañar a clientes, proveedores o empleados.
SPF indica qué servidores están autorizados a enviar correo. DKIM añade una firma que permite verificar que el mensaje no ha sido alterado. DMARC define qué debe hacerse cuando esas validaciones fallan y permite recibir informes sobre intentos de suplantación.
La configuración debe revisarse con cuidado. Una política demasiado estricta sin validar previamente todos los sistemas que envían correos -como una aplicación de facturación, una web, un CRM o una plataforma de reservas- puede bloquear mensajes legítimos. El objetivo es avanzar por fases: inventariar los envíos, monitorizar, corregir errores y aplicar una política de protección más firme.
Filtre el correo antes de que llegue a la bandeja de entrada
Un servicio de protección de correo empresarial debe analizar adjuntos, enlaces, remitentes y patrones de comportamiento. Es especialmente útil que pueda abrir archivos sospechosos en un entorno aislado, detectar enlaces que redirigen a páginas falsas y bloquear campañas de phishing conocidas.
Aun así, ningún filtro acierta el cien por cien. La configuración debe equilibrar seguridad y operativa. Una clínica no puede dejar de recibir resultados o documentación urgente porque el filtro sea excesivamente agresivo. Por eso es recomendable contar con cuarentenas revisables, reglas ajustadas al negocio y un procedimiento rápido para liberar un mensaje legítimo cuando sea necesario.
Desconfíe de los pagos urgentes y verifique por otro canal
La suplantación de directivos y proveedores es uno de los fraudes más costosos para una pyme. El mensaje suele parecer sencillo: “Necesito que hagas esta transferencia hoy” o “Hemos cambiado nuestra cuenta bancaria”. A veces el atacante ha analizado previamente la relación entre ambas empresas y usa nombres, firmas y facturas reales.
La mejor defensa es un procedimiento. Cualquier cambio de cuenta bancaria, solicitud de pago no prevista o instrucción urgente debe verificarse mediante una llamada a un teléfono conocido, no al número incluido en el correo sospechoso. Para pagos relevantes, conviene implantar una segunda aprobación. Puede añadir unos minutos al proceso, pero evita que una sola persona autorice una transferencia irreversible bajo presión.
Forme al equipo con casos que reconozca
Decir al personal que tenga cuidado no es suficiente. La formación funciona cuando muestra ejemplos cercanos: una factura falsa, un aviso de contraseña caducada, un supuesto mensaje de la agencia tributaria o un correo de un cliente con un enlace a documentos compartidos.
El equipo debe aprender a detenerse ante señales concretas: dominios parecidos pero no idénticos, errores sutiles en la dirección del remitente, enlaces que no coinciden con el texto visible, adjuntos inesperados, peticiones de credenciales y mensajes que fuerzan una respuesta inmediata. También necesita saber qué hacer: no borrar necesariamente el mensaje, no reenviarlo a compañeros y comunicarlo al responsable designado o al soporte IT.
Las simulaciones periódicas pueden ayudar, siempre que se utilicen para mejorar y no para señalar a quien se equivoca. El objetivo es crear un hábito de consulta rápida. Un empleado que pregunta antes de abrir un archivo está protegiendo a toda la organización.
Proteja también los datos que salen por correo
La seguridad no se limita a evitar mensajes maliciosos. Muchas empresas envían por correo presupuestos, nóminas, historiales, documentos fiscales, contratos o información bancaria. Si esos datos se envían al destinatario equivocado o quedan expuestos en un buzón comprometido, el impacto puede ser serio.
Defina qué tipo de información puede enviarse por correo y cuándo debe emplearse un sistema alternativo, como un portal seguro o un archivo protegido con contraseña comunicada por otro canal. En sectores con datos personales sensibles, como clínicas, asesorías y despachos, esta norma debe estar especialmente clara.
También es útil activar avisos ante envíos masivos, reenvíos automáticos hacia direcciones externas y creación de reglas sospechosas. Un atacante que logra entrar en un buzón suele crear una regla para ocultar respuestas o copiar mensajes hacia fuera. Detectarlo pronto limita el alcance del incidente.
Copias de seguridad y respuesta cuando algo falla
Si una cuenta es comprometida, cada minuto cuenta. La empresa debe saber quién puede bloquear sesiones, restablecer credenciales, revisar reglas de buzón, retirar correos maliciosos de otras bandejas y comunicar el incidente a los afectados. Dejar estas decisiones para el momento de la crisis alarga la interrupción y aumenta el riesgo.
Las copias de seguridad de correo y Microsoft 365 son otra capa necesaria. La retención estándar de una plataforma no siempre cubre un borrado accidental, un ataque de ransomware o la necesidad de recuperar información antigua. La copia debe ser independiente, verificarse periódicamente y permitir recuperar tanto mensajes como calendarios, contactos y archivos asociados.
En RSI ayudamos a empresas a revisar la protección de su correo, configurar controles de acceso, reforzar Microsoft 365 y definir una respuesta práctica ante incidentes. No se trata de añadir herramientas sin criterio, sino de cerrar los puntos débiles que realmente pueden detener la actividad.
La mejor señal de que su correo está bien protegido no es que nunca llegue un mensaje sospechoso. Es que su equipo sabe detectarlo, los sistemas lo frenan cuando pueden y la empresa tiene un plan claro para actuar si alguien pulsa donde no debía.
