Qué es el phishing empresarial y por qué debería importarte
El phishing empresarial es una técnica de ingeniería social en la que los ciberdelincuentes suplantan la identidad de personas, empresas o instituciones de confianza para engañar a los empleados de una organización y robar credenciales, dinero o información sensible. A diferencia del phishing masivo tradicional, en el ámbito corporativo los ataques suelen ser mucho más sofisticados y personalizados.
Lo digo por experiencia. En Grupo Novalca hemos acompañado a decenas de clientes tras incidentes de seguridad, y el patrón se repite una y otra vez: el ataque casi nunca entra por el firewall. Entra por un empleado que tenía prisa, un correo que parecía legítimo y una falta de entrenamiento. Según estudios del sector, más del 90% de los ciberataques a empresas comienzan con un correo de phishing.
Los tipos más comunes de phishing empresarial
Phishing genérico por correo electrónico
Es el más conocido: correos que simulan ser de bancos, proveedores de software o servicios de correo, pidiendo al usuario verificar su cuenta o hacer clic en un enlace. Parecen burdos, sí. Pero siguen funcionando porque se envían a miles de direcciones a la vez; con que unos pocos piquen, al atacante le sale la cuenta.
Spear phishing: el ataque dirigido
Aquí el atacante investiga a la empresa: nombres de directivos, proyectos en curso, proveedores habituales. El correo resultante es tan personalizado que resulta muy difícil distinguirlo de una comunicación real. Por ejemplo, un correo que menciona una factura pendiente del proveedor con el que justamente cerraste un trato la semana pasada. Inquietante, ¿verdad?
BEC: Business Email Compromise
Uno de los fraudes más costosos que existen. El atacante suplanta a un directivo (por ejemplo, el CEO) y pide a un empleado de finanzas que realice una transferencia urgente y confidencial. En España y México, la Guardia Civil y el FBI reportan pérdidas millonarias anuales por esta modalidad. Suelen usar dominios muy parecidos al legítimo, como «empresa-corp.com» en lugar de «empresacorp.com». Un guion de diferencia. Fácil de pasar por alto.
Smishing y vishing
Variantes por SMS y llamadas telefónicas. Un caso habitual: alguien se hace pasar por el departamento de IT y pide al empleado sus credenciales «para resolver un problema técnico urgente».
Señales para detectar un correo de phishing
Entrenar al equipo empieza por enseñarles a identificar los indicadores clásicos de un intento de phishing:
- Urgencia artificial: frases como «actúa en las próximas 2 horas» o «tu cuenta será bloqueada». El atacante busca que no pienses.
- Remitentes sospechosos: revisa siempre el dominio completo del correo, no solo el nombre que aparece.
- Enlaces disfrazados: pasa el cursor sobre el enlace antes de hacer clic y comprueba la URL real de destino.
- Adjuntos inesperados: especialmente archivos .exe, .zip o documentos de Office que piden «habilitar macros».
- Errores de redacción: traducciones forzadas, faltas de ortografía o un tono que no encaja con la persona que suplanta.
- Peticiones de datos o pagos: ninguna entidad legítima pide contraseñas por correo. Ninguna.
Cómo entrenar a tu equipo: un plan práctico
1. Formación inicial obligatoria
Todo empleado, desde prácticas hasta dirección, debe recibir una sesión de concienciación al incorporarse. No hace falta que sea extensa: 60-90 minutos con ejemplos reales, capturas de correos de phishing y casos de empresas afectadas funcionan mejor que la teoría abstracta.
2. Simulacros de phishing periódicos
Existen plataformas que permiten enviar correos de phishing simulados a tu propio equipo y medir quién hace clic. La clave está en cómo gestionas los resultados: nunca como castigo, sino como oportunidad de aprendizaje. En nuestra experiencia, tras 3-4 simulacros espaciados en el tiempo, la tasa de clics cae de un 30% inicial a menos del 5%. Los datos hablan solos.
3. Protocolo de reporte claro
El empleado debe saber exactamente qué hacer si sospecha de un correo: a quién notificar (un buzón tipo [email protected]), en cuánto tiempo, y la garantía de que reportar un error no tendrá consecuencias negativas. Porque un equipo que teme reportar es un equipo que oculta incidentes. Y eso, en seguridad, es lo peor que puede pasar.
4. Verificación para operaciones sensibles
Establece una regla de oro: ninguna transferencia bancaria o cambio de datos de proveedor se ejecuta con un solo canal de comunicación. Si llega una petición de pago por correo, se confirma por teléfono llamando a un número conocido (no el que figura en el correo sospechoso). Este simple protocolo habría evitado la mayoría de fraudes BEC que hemos visto.
5. Cultura de seguridad continua
La concienciación no es un evento anual, es un hábito. Microformaciones mensuales de 5 minutos, recordatorios visuales y celebrar cuando alguien detecta y reporta un intento real refuerzan el comportamiento correcto.
Consejo clave: el eslabón más fuerte no es la tecnología, es una plantilla entrenada. Un empleado que duda y verifica antes de hacer clic vale más que cualquier antivirus.
El error de creer que tu empresa es demasiado pequeña
Uno de los mitos más peligrosos que escucho en pymes es ese de «atacan a las grandes, no a nosotros». La realidad es justo la contraria: los atacantes automatizan sus campañas y las pymes son objetivo ideal porque suelen tener menos defensas. Además, si formas parte de la cadena de suministro de una empresa mayor, eres la puerta de entrada hacia ella. Y hay un ángulo que muchos olvidan: la seguridad de tu negocio es también un argumento comercial, porque cada vez más clientes exigen garantías de ciberseguridad a sus proveedores.
¿Cuál es la diferencia entre phishing y spear phishing?
El phishing es masivo y genérico; el spear phishing está dirigido a una persona concreta de la organización, con información previamente investigada, lo que lo hace mucho más creíble y peligroso.
¿Cada cuánto conviene hacer simulacros de phishing?
Lo recomendable es al menos cada trimestre, variando los escenarios (facturas, directivos, soporte técnico) para que el equipo no se acostumbre a un solo patrón.
¿La tecnología puede reemplazar la formación?
No. Los filtros de correo y las soluciones de seguridad reducen enormemente el volumen de ataques, pero el phishing que supera los filtros solo puede detenerlo una persona formada.
Conclusión: tu equipo es tu mejor firewall humano
El phishing empresarial no se combate solo con software; se combate con personas que saben reconocer las señales de alerta y tienen claro qué hacer cuando algo no encaja. La buena noticia es que entrenar a tu equipo no requiere un presupuesto enorme. Requiere constancia, ejemplos reales y una cultura donde reportar un error sea tan natural como enviar un correo.
En Grupo Novalca hemos visto cómo empresas que empezaron con simulacros básicos terminaron reduciendo drásticamente su riesgo de incidentes en pocos meses. Si aún no has entrenado a tu equipo, mi recomendación es sencilla: empieza este mismo mes con una sesión de concienciación y un primer simulacro. El coste de prevenir es siempre mucho menor que el coste de recuperar datos, dinero y reputación tras un ataque. Tu negocio y tus clientes te lo agradecerán.