Phishing sin faltas de ortografía: proteger decisiones, además del correo

Un correo bien redactado puede ser fraudulento y un mensaje auténtico puede contener errores. Basar la formación en detectar faltas de ortografía deja fuera ataques que copian conversaciones, firmas y tono profesional. Durante periodos con suplencias y vacaciones, interesa reforzar las decisiones que el mensaje intenta provocar: iniciar sesión, abrir un archivo, compartir información o cambiar una instrucción de pago. Ahí es donde los controles pueden interrumpir el engaño.

Reconocer la acción de riesgo

En lugar de pedir a cada persona que investigue cabeceras técnicas, explica qué acciones necesitan una verificación adicional. Un cambio de cuenta bancaria, una petición urgente de credenciales o una invitación inesperada a compartir documentos merecen un procedimiento claro. La urgencia y la supuesta autoridad del remitente no deberían permitir saltarse ese proceso, especialmente cuando la solicitud afecta a dinero o accesos.

Las recomendaciones del NCSC organizan la defensa frente al phishing en varias capas. Esa visión evita colocar toda la responsabilidad en quien abre el correo. Filtrado, configuración, facilidad para informar y respuesta deben trabajar juntos. Para una empresa pequeña, la mejora más inmediata puede ser acordar cómo confirmar una solicitud sensible y quién sustituye al responsable cuando está ausente.

Confirmar por un canal conocido

Si llega un cambio de datos de pago, utiliza un contacto previamente validado, no el teléfono incluido en el propio mensaje. La persona que confirma debe conocer qué detalle comprobar y dónde registrar el resultado. Una llamada apresurada al número del atacante ofrece una falsa sensación de seguridad. El procedimiento también tiene que funcionar con proveedores nuevos, donde todavía no existe una relación consolidada.

Un ejemplo ficticio ayuda a practicarlo: durante una suplencia, una supuesta asesoría pide enviar documentación a una dirección diferente. El empleado comprueba la petición con el contacto registrado y descubre que no se ha solicitado. El control útil no fue adivinar el fraude por el diseño del correo, sino separar la solicitud de su verificación y dejar constancia del cambio rechazado.

Reducir lo que un clic puede provocar

Configura la protección del correo y revisa la autenticación del dominio con el proveedor correspondiente. SPF, DKIM y DMARC ayudan a combatir determinadas formas de suplantación, aunque no detienen todos los mensajes maliciosos ni una cuenta legítima comprometida. Su implantación debe considerar todas las plataformas que envían correo en nombre de la empresa para evitar bloquear comunicaciones válidas.

• Accede a servicios habituales desde marcadores o aplicaciones conocidas cuando recibas una solicitud inesperada.
• No compartas códigos de autenticación ni apruebes peticiones de acceso que no hayas iniciado.
• Confirma cambios de pagos y datos sensibles mediante un contacto independiente.
• Utiliza el canal interno de aviso aunque ya hayas abierto el archivo o introducido información.

Hacer fácil la notificación

El canal de aviso debe ser visible y rápido. Un botón en el cliente de correo o una dirección de seguridad conocida puede reducir el tiempo hasta que el equipo técnico investiga. Explica qué información enviar y evita exigir un relato perfecto. La persona puede recordar solo una parte de lo sucedido; obtener pronto ese contexto suele ser más útil que esperar una descripción completa.

También importa la respuesta de la organización. Si el primer mensaje que recibe quien avisa es una reprimenda, otros compañeros pueden ocultar errores futuros. Agradece el aviso, da instrucciones concretas y comunica cuándo puede continuar trabajando. Las simulaciones internas deberían evaluar la claridad del proceso y sus obstáculos, sin convertir los resultados individuales en una clasificación pública de culpables.

Responder según lo que se ha expuesto

Abrir un correo no equivale a ejecutar un archivo ni a entregar una contraseña. El equipo técnico debe distinguir esos escenarios para actuar de forma proporcionada. Si hubo acceso fraudulento, revisa sesiones, métodos de recuperación, reglas del buzón y permisos concedidos a aplicaciones. Si se realizó un pago, coordina de inmediato con el área responsable y sus canales establecidos, conservando los mensajes y los datos de la operación.

Medir el tiempo hasta que alguien avisa

El número de clics de una campaña de formación cuenta solo una parte. Observa cuánto tarda una persona en informar, si soporte puede localizar el mensaje y si las decisiones sensibles mantienen su verificación durante las suplencias. El objetivo es que una solicitud convincente encuentre varias barreras razonables. Esa combinación protege mejor que pedir atención permanente a empleados que también necesitan realizar su trabajo habitual.