El phishing es, con diferencia, la puerta de entrada más habitual de los ciberataques a pequeños negocios. No hace falta que un delincuente sea un experto informático: basta con que un empleado o el propio dueño del negocio haga clic en el enlace equivocado o facilite una contraseña sin darse cuenta de que el correo era falso. En esta guía te explicamos cómo funciona, cómo identificarlo y qué hacer si crees que ya has caído.
Qué es el phishing exactamente
El phishing es una técnica de fraude en la que un atacante se hace pasar por una entidad de confianza —tu banco, un proveedor habitual, Hacienda, Correos, o incluso un compañero de trabajo— con el objetivo de que le facilites datos sensibles (contraseñas, datos de pago) o hagas clic en un enlace que instala malware en tu equipo.
El nombre viene de «fishing» (pescar, en inglés): el atacante lanza el «anzuelo» (el correo falso) esperando que alguien pique.
Por qué el phishing funciona tan bien contra pequeños negocios
No es una cuestión de falta de inteligencia de quien cae en la trampa: los correos de phishing actuales están diseñados con mucho cuidado, usando logos reales, lenguaje corporativo creíble y, sobre todo, apelando a la urgencia y al miedo («tu cuenta será bloqueada en 24 horas», «factura pendiente de pago inmediato»). En un negocio pequeño, donde una sola persona gestiona el correo, las facturas y la atención al cliente al mismo tiempo, es fácil que un correo así se cuele entre la avalancha de tareas del día.
Las señales que delatan un correo de phishing
Aunque cada vez son más sofisticados, la mayoría de los correos de phishing comparten alguna de estas señales:
1. Urgencia artificial. Frases como «actúa ahora», «tu cuenta será suspendida» o «pago pendiente urgente» buscan que actúes sin pensar.
2. Remitente que no coincide exactamente. El nombre mostrado puede parecer legítimo, pero al fijarte en la dirección de correo completa (no solo el nombre visible), suele haber pequeñas diferencias: dominios mal escritos, letras cambiadas o extensiones extrañas.
3. Enlaces que no llevan donde dicen. Antes de hacer clic, pasa el cursor por encima del enlace (sin pulsar) para ver la URL real a la que apunta. Si no coincide con la web oficial de la empresa, es una señal de alarma clara.
4. Errores de redacción o formato extraño. Aunque cada vez son menos frecuentes gracias a herramientas de traducción e IA, todavía es habitual encontrar fallos gramaticales o un diseño que no coincide exactamente con las comunicaciones reales de esa empresa.
5. Peticiones inusuales. Ninguna entidad seria te pedirá tu contraseña completa por correo, ni un banco te pedirá que confirmes tu tarjeta de crédito completa a través de un enlace.
6. Archivos adjuntos inesperados. Especialmente peligrosos si son archivos comprimidos (.zip), ejecutables (.exe) o documentos de Office que piden «habilitar macros» para verse correctamente.
Ejemplo típico de correo de phishing dirigido a negocios
Un caso muy habitual: un correo que simula venir de un proveedor con el que trabajas habitualmente, informando de un «cambio de cuenta bancaria» para el próximo pago, y pidiendo que actualices tus datos de pago para la siguiente factura. Si actúas sin verificar por otro canal (una llamada directa a tu contacto habitual), puedes acabar haciendo una transferencia real a la cuenta del atacante.
Este tipo concreto de fraude, cuando además suplanta a un responsable o directivo, se conoce como «fraude del CEO» y merece un tratamiento aparte por su gravedad económica.
Qué hacer si sospechas que un correo es phishing
- No hagas clic en ningún enlace ni descargues ningún adjunto.
- Verifica por otro canal. Llama al remitente supuesto (banco, proveedor, compañero) usando un teléfono que ya tenías guardado, no uno que aparezca en el correo sospechoso.
- No respondas al correo. Responder confirma al atacante que tu dirección está activa.
- Marca el correo como phishing/spam en tu cliente de correo, para ayudar a filtrarlo en el futuro.
- Avisa al resto de tu equipo si el correo simula venir de dentro de la empresa, ya que probablemente hayan recibido el mismo intento.
Qué hacer si ya has hecho clic o facilitado datos
Si crees que ya has caído en un intento de phishing:
- Cambia inmediatamente la contraseña del servicio afectado, y de cualquier otro servicio donde uses la misma contraseña.
- Activa la autenticación de dos factores si aún no la tenías activada.
- Si has facilitado datos bancarios, contacta con tu banco de inmediato para bloquear movimientos sospechosos.
- Revisa si el correo comprometido ha enviado mensajes a tus contactos sin tu conocimiento.
- Si el ataque afecta a datos de clientes, revisa tus obligaciones de notificación bajo el RGPD.
Cómo proteger a tu negocio del phishing de forma preventiva
- Activa filtros anti-phishing en tu correo corporativo (la mayoría de proveedores de correo empresarial los incluyen o los ofrecen como complemento).
- Forma a tu equipo, aunque sea de forma breve, en reconocer estas señales.
- Establece como norma interna verificar siempre por un segundo canal cualquier cambio de cuenta bancaria o petición de pago urgente.
- Realiza simulacros de phishing periódicos si tu equipo tiene varios empleados, para detectar quién necesita más formación.
Conclusión
El phishing sigue siendo, año tras año, la principal puerta de entrada de los ciberataques a pequeños negocios, precisamente porque no depende de vulnerabilidades técnicas sino de un momento de despiste humano. La buena noticia es que, con unas pocas señales de alarma bien interiorizadas y un protocolo sencillo de verificación, la mayoría de los intentos se pueden detectar antes de causar ningún daño.
