Cómo reconocer un correo de phishing en 30 segundos

El phishing sigue siendo la puerta de entrada de la mayoría de incidentes en pequeñas empresas. No hace falta un antivirus nuevo para frenarlo: hace falta que la persona que recibe el correo se pare treinta segundos antes de hacer clic. Estas son las cinco comprobaciones que enseño, en el orden en que conviene hacerlas.

1. ¿Te mete prisa o miedo?

Casi todos los fraudes juegan con la urgencia: «su cuenta será bloqueada en 24 horas», «factura impagada», «paquete retenido en aduanas», «necesito que hagas esta transferencia hoy, estoy en una reunión». La prisa sirve para que no pienses.

Si un correo te pide actuar ya, esa es la primera señal para hacer justo lo contrario: pararte.

2. Mira la dirección real del remitente

El nombre que aparece («Banco Santander», «Correos», «Javier») lo puede escribir cualquiera. Lo que importa es la dirección que hay detrás. Pulsa sobre el nombre o pasa el ratón por encima y fíjate en el dominio, lo que va después de la @:

• avisos@santander.es.verificacion-clientes.com no es del banco: el dominio real es verificacion-clientes.com.
• facturas@prove3dor.com en lugar de proveedor.com: una letra cambiada es suficiente para engañar a la vista.
• Un compañero de trabajo que de repente te escribe desde una cuenta de Gmail.

3. Pasa el ratón por encima del enlace, sin pulsar

En el ordenador, al dejar el puntero sobre un botón o enlace, el navegador o el programa de correo muestra la dirección real a la que lleva. En el móvil, mantén pulsado el enlace para verla sin abrirla.

Si el texto dice «Acceder a mi cuenta» y la dirección no es la web oficial que conoces, no entres. Ante la duda, escribe tú la dirección de siempre en el navegador o abre la aplicación oficial.

4. Desconfía de los adjuntos que no esperabas

Facturas en ZIP, documentos de Office que piden «habilitar contenido», PDF que te llevan a «ver el documento en línea»… Si no esperabas ese archivo, confirma con quien supuestamente lo envía por otro canal antes de abrirlo.

5. Si pide dinero o contraseñas, verifica por otro canal

Ninguna empresa seria te pide la contraseña por correo. Y cualquier petición de pago fuera de lo habitual, sobre todo un cambio de número de cuenta de un proveedor, se confirma por teléfono, llamando al número que ya teníais, nunca al que aparece en el propio correo. Esta sola norma frena el fraude del CEO y el de facturas falsas, que son de los que más dinero cuestan a las pymes.

¿Y si ya he hecho clic?

Pasa a cualquiera. Lo importante es actuar rápido y sin vergüenza:

1. Avisa ya a quien lleve la informática. Cuanto antes, menos daño.
2. Si escribiste una contraseña, cámbiala desde la web oficial y activa la verificación en dos pasos si no la tenías. Cambia también esa contraseña en cualquier otro servicio donde la repitieras.
3. Si diste datos bancarios, llama al banco por el número oficial para bloquear la tarjeta o la operación.
4. Si abriste un adjunto, desconecta el equipo de la red (cable y wifi) y no lo apagues hasta que alguien lo revise.
5. Si necesitas ayuda, el 017 de INCIBE atiende gratis a empresas y particulares.

Para llevarlo a tu equipo

Imprime estas cinco preguntas y ponlas cerca de quien gestiona facturas y pagos. Y si quieres saber cómo de preparada está tu empresa en conjunto, haz la checklist de ciberseguridad para pymes. Lleva una tarde y te dice por dónde empezar.