Recibe un mensaje de "su banco" que le pide confirmar sus datos con urgencia. O una factura de un proveedor con un IBAN nuevo. O un aviso de que su buzón está lleno y se bloqueará hoy mismo. Parece real, pero puede ser phishing: un email falso pensado para robar contraseñas, datos bancarios o dinero.
En una pequeña empresa basta un clic despistado para causar un perjuicio serio. La buena noticia es que la mayoría de estos correos tienen señales que se reconocen en pocos segundos, siempre que sepa dónde mirar.
1. El remitente y los destinatarios no cuadran
No se fije solo en el nombre que aparece: mire la dirección completa. Un correo del "BBVA" enviado desde bbva-soporte@gmail.com, o de "Correos" enviado desde correos-envios.info, es falso. Desconfíe también de los dominios casi idénticos al verdadero, con una letra cambiada o de más, como aiod0.pt en lugar de aiodo.pt. Y recuerde que muchas entidades ni siquiera envían este tipo de mensajes por email: ante la duda, compruebe en su web oficial qué direcciones utilizan.
Fíjese también en a dónde va la respuesta. Al pulsar "Responder", la dirección que aparece en el campo "Para" debe ser la misma del remitente. Si el correo dice venir de su proveedor pero la respuesta se dirige a otra dirección (el llamado reply-to), es una señal clásica de fraude, sobre todo en peticiones de pago.
Por último, compruebe a quién se ha enviado. Un aviso sobre "su cuenta" o "su factura" debería ser solo para usted. Si llega a decenas de destinatarios visibles, o con "Undisclosed recipients" (destinatarios ocultos) en el campo "Para", se ha enviado de forma masiva y no es un mensaje personal.
Consejo: en el móvil, toque el nombre del remitente para ver la dirección real.
Consejo avanzado: algunos programas de correo muestran, en los detalles del mensaje, un campo "List-ID". Indica que el email se ha enviado a una lista de distribución, como una newsletter. Es normal en una newsletter, pero si el mensaje parece personal, como una factura o un aviso sobre su cuenta, desconfíe.
2. Mete prisa o amenaza
"Su cuenta se suspenderá en 24 horas." "Último aviso." "Pago pendiente, evite la sanción." La urgencia es el arma preferida de quien hace phishing, porque quien tiene prisa no comprueba nada. Un banco, Hacienda o un proveedor serio no le obligan a resolverlo todo en los próximos minutos a través de un enlace.
3. Los enlaces llevan a otro sitio
Antes de hacer clic, pase el ratón por encima del enlace (en el ordenador) o mantenga el dedo pulsado sobre él (en el móvil) para ver la dirección real. Si el texto dice agenciatributaria.gob.es pero el enlace apunta a una dirección extraña, no haga clic. Ante la duda, escriba usted mismo la dirección de la web en el navegador o use la aplicación oficial.
4. Pide datos, códigos o pagos
Ninguna entidad seria le pedirá por email su contraseña, el código que ha recibido por SMS ni los datos completos de su tarjeta.
Preste especial atención a un caso muy habitual en las empresas: el correo de un "proveedor" o "cliente" que dice que ha cambiado de IBAN. Antes de pagar, confírmelo siempre por teléfono, llamando a un número que ya tuviera, y nunca al número que aparece en el propio correo.
5. Trae un adjunto que no esperaba
Facturas, pedidos, "documentos escaneados" o archivos comprimidos (.zip) que no ha pedido son una forma clásica de instalar virus. Si no esperaba el adjunto, no lo abra: contacte primero con quien supuestamente lo ha enviado y compruébelo.
¿Y las faltas de ortografía?
Durante años fueron la señal más fácil de detectar. Hoy, con los traductores automáticos y la inteligencia artificial, muchos correos falsos están bien escritos. Las faltas siguen siendo una alerta, pero un texto correcto ya no garantiza nada.
He hecho clic. ¿Y ahora qué?
Le puede pasar a cualquiera. Lo importante es actuar rápido:
- Cambie la contraseña de la cuenta afectada y de las demás en las que use la misma.
- Si ha facilitado datos bancarios, llame enseguida a su banco y pida que bloqueen la tarjeta o la operación.
- Active la verificación en dos pasos en el correo y en las cuentas más importantes.
- Avise a su equipo y a sus contactos, sobre todo si el correo se ha enviado desde su cuenta.
- Informe del caso al INCIBE, el Instituto Nacional de Ciberseguridad, que también atiende consultas en el teléfono gratuito 017.
Cómo proteger el correo de su empresa
- Use contraseñas distintas en cada servicio y un gestor de contraseñas. Para crear contraseñas robustas, puede usar nuestro generador de contraseñas.
- Active la verificación en dos pasos siempre que pueda.
- Use un correo con el dominio de la empresa (nombre@suempresa.es) en lugar de cuentas gratuitas: transmite confianza y es más fácil de proteger.
- Asegúrese de que el dominio tiene configurados los registros SPF, DKIM y DMARC: ayudan a impedir que alguien envíe correos falsos en nombre de su empresa. Puede comprobarlo en segundos con nuestro verificador del correo del dominio.
- Mantenga el ordenador y el móvil actualizados.
- Hable de esto con su equipo. Cinco minutos de conversación evitan muchos problemas.
¿Necesita ayuda?
En aiodo ayudamos a pequeñas empresas a tener una web y un correo profesional, con dominio propio y la configuración adecuada. Si tiene dudas sobre la seguridad del correo de su empresa, o ha recibido un mensaje sospechoso y no sabe qué hacer, hable con nosotros.
