Recibes un correo de tu banco que dice que tu cuenta será suspendida en 24 horas. Otro, de un proveedor, trae una factura que no esperabas. Un tercero llega a nombre de tu jefe y pide una gestión urgente y confidencial. Los tres pueden ser reales, y los tres pueden ser un fraude.
Si manejas correo en el trabajo, aquí aprenderás cómo identificar un correo de phishing: qué es, qué señales delatan un mensaje falso, qué variantes llegan a las oficinas, cómo verificar antes de actuar y qué hacer si ya pulsaste un enlace.
Cómo identificar un correo de phishing: qué es y por qué funciona
El phishing es un engaño que usa mensajes falsos, casi siempre correos, para que la víctima entregue contraseñas, datos bancarios o acceso a su equipo. Quien lo envía se hace pasar por un banco, un proveedor, una autoridad o un jefe, y busca que actúes rápido, sin verificar. Esa prisa es lo que hace funcionar el fraude.
Una cuenta robada puede dar acceso a datos de clientes y de la empresa. Si todavía estás aprendiendo a manejar el equipo, la guía de informática básica para el trabajo ordena la base de este tema, y si aún no tienes cuenta propia, la guía sobre cómo crear un correo electrónico para buscar trabajo explica cómo abrir una.
Las señales de alerta de un correo fraudulento
Los correos fraudulentos comparten un puñado de señales que se repiten. El Instituto Nacional de Ciberseguridad de España señala que el primer filtro de seguridad debe ser siempre el remitente y el canal de comunicación, según su sección de avisos sobre phishing. Ese filtro se completa con las demás señales de la tabla.
Seis señales de alerta de un correo de phishing
Ninguna señal es infalible por sí sola, y la verificación por otro canal pesa más que cualquier detalle visual.
Un matiz que conviene conocer: ninguna de estas señales es infalible por sí sola. Un correo falso bien hecho puede tener buen remitente aparente y buena redacción. Por eso la verificación por otro canal pesa más que cualquier detalle visual.
Un ejemplo ficticio, anotado
Ejemplo ficticio, escrito para este artículo. Ningún banco real aparece en él.
De: Seguridad Banco Ejemplo <alertas@banco-ejemplo-seguridad.com>
Asunto: URGENTE: su cuenta será suspendida
Estimado cliente: detectamos actividad inusual. Verifique sus datos en las próximas 24 horas con el botón de abajo o su cuenta será bloqueada. [Verificar ahora]
Cinco detalles delatan el fraude. El dominio "banco-ejemplo-seguridad.com" agrega palabras al nombre de la entidad y no coincide con su sitio oficial. El asunto crea urgencia y amenaza con suspender la cuenta. El saludo es genérico, "estimado cliente", cuando una entidad real suele usar tu nombre. El botón, al pasar el cursor, apuntaría a una dirección distinta. Y el mensaje pide que verifiques tus datos, algo que un banco no hace por correo.
Soy auxiliar contable. Me llega un correo del "gerente" que pide hacer una transferencia urgente y no avisar a nadie. ¿Qué hago?
No hagas la transferencia ni respondas al correo. Llama al gerente por un canal que ya conozcas, como su teléfono interno, y confirma. Avisa al área de tecnología y conserva el mensaje. Un pedido urgente y secreto de dinero es una señal clásica de fraude.
Pregunta de la práctica
Variantes de phishing que llegan al trabajo
El phishing no llega solo como un correo del banco. En las oficinas aparecen variantes que aprovechan la rutina de cada puesto. La tabla reúne las más comunes.
Variantes de phishing que llegan al trabajo
Toda variante se verifica por un canal que ya conoces, nunca por el que trae el mensaje.
Las ofertas de trabajo falsas por correo merecen atención especial para quien busca empleo. Un mensaje que promete una vacante sin entrevista, que pide dinero o que solicita documentos de identidad antes de contratar es una señal de alerta. Antes de enviar tu currículum o tus datos, verifica la empresa; la guía sobre cómo enviar un currículum por correo explica la precaución de comprobar la dirección de destino.
Cómo verificar antes de actuar
Verificar toma pocos minutos y evita la mayoría de los fraudes. Hay cuatro hábitos. Primero, no uses ningún enlace ni teléfono del mensaje: escribe tú la dirección oficial en el navegador o llama a un número que ya conocías. Segundo, busca el nombre de la entidad o de la oferta para comprobar que existe; la guía sobre cómo buscar información en Google explica cómo verificar la fuente de lo que encuentras. Tercero, pregunta a un compañero o al área de tecnología. Cuarto, si el correo es de un contacto conocido pero pide algo raro, confírmalo por otro medio, porque su cuenta pudo ser robada.
Nunca respondas al correo para preguntar si es real. El INCIBE advierte que responder confirma al delincuente que la cuenta está activa y le facilita continuar con el engaño.
Qué hacer si ya hiciste clic
Pulsar un enlace no siempre implica un daño, pero conviene actuar de inmediato si ingresaste datos o descargaste un archivo. Estos pasos reducen el riesgo:
- Desconecta el equipo de internet si descargaste un archivo.
- Cambia las contraseñas de las cuentas afectadas, empezando por el correo, y hazlo desde otro dispositivo si puedes.
- Activa la verificación en dos pasos en las cuentas que lo permitan.
- Avisa al área de tecnología o a tu jefe, aunque te dé vergüenza: el aviso rápido limita el daño.
- Si entregaste datos bancarios, contacta de inmediato a tu banco por su línea oficial.
- Reporta el correo como phishing desde tu servicio de correo y ante el canal oficial de tu país.
Los canales de denuncia dependen del país. En España, el INCIBE atiende en la línea gratuita 017. En Chile, el equipo de respuesta ante incidentes del Gobierno (CSIRT) publica su información en csirt.gob.cl. En Colombia, una alerta oficial recomendó reportar ante la Unidad de Delitos Informáticos de la DIJIN de la Policía Nacional o el CAI Virtual.
Para reducir el riesgo a futuro, la guía sobre buenas prácticas de seguridad informática reúne la lista de verificación de contraseñas, actualizaciones y antivirus.
Errores comunes frente al phishing
Algunos errores se repiten incluso entre personas con experiencia. La tabla los reúne.
Errores frecuentes frente al phishing
Detenerse, verificar por otro canal y avisar a tiempo evita la mayor parte del daño de un fraude.
Preguntas frecuentes
¿Qué es el phishing?
El phishing es un fraude que usa mensajes falsos para obtener contraseñas, datos bancarios o acceso a un equipo. El mensaje imita a una entidad conocida y crea urgencia para que la víctima actúe sin verificar. Llega por correo, pero también por mensajes de texto y por WhatsApp.
¿Cómo sé si un enlace de un correo es seguro?
Sin pulsarlo, pasa el cursor por encima y observa la dirección real en la parte inferior de la ventana. Si no coincide con el texto del enlace o con el dominio oficial, no lo uses. Escribe tú la dirección oficial en el navegador.
¿Qué hago si recibo un correo sospechoso en el trabajo?
No lo abras si es un adjunto, no pulses enlaces y no respondas. Avisa al área de tecnología, reenvíale el mensaje si te lo piden y bórralo. Ese aviso permite proteger a tus compañeros, que pueden haber recibido el mismo correo.
¿El curso de informática de Certhana enseña a detectar fraudes por correo?
Sí. El curso de informática de Certhana Academy incluye un proyecto de detección de fraudes por correo con ejemplos de oficina. El curso es gratuito; la certificación, la tutoría personalizada y la revisión de proyectos son opcionales.
Conclusión
Identificar un correo de phishing se reduce a un hábito: detenerse antes de actuar. Revisa el remitente y el dominio, desconfía de la urgencia, comprueba los enlaces y verifica por otro canal. Si ya pulsaste, actúa rápido: cambia tus contraseñas, avisa y reporta.
