Recibimos correos de phishing: cómo se leen y qué hacer si alguien ya cayó
Un correo fraudulento no se detecta por intuición: se detecta leyendo el encabezado y comparando el dominio del remitente carácter por carácter. Esta página te enseña esa lectura, distingue los tres tipos de suplantación que existen, y te da el orden exacto de la primera hora cuando alguien de tu oficina ya entregó la contraseña o aprobó un aviso en el teléfono.
Por qué el filtro deja pasar algunos y por qué es normal
Ningún filtro atrapa todo. Los mensajes que llegan a tu bandeja son justamente los que el filtro no pudo decidir: sin adjunto, sin enlace conocido como malicioso, escritos en buen español, enviados desde un dominio limpio recién registrado o desde el buzón real de un proveedor al que ya le robaron la cuenta. Ese último caso es el peor, porque el correo es auténtico: pasa todas las comprobaciones de autenticación, viene del servidor correcto y continúa una conversación que ya existía. Por eso la defensa no puede depender solo del filtro. Tiene tres capas: bloquear lo evidente en el borde, enseñar a la gente a reconocer el patrón de urgencia y dinero, y tener un procedimiento escrito para la hora siguiente al clic. La tercera capa es la que casi nadie prepara y la única que decide cuánto cuesta el incidente.
Cómo se lee un correo sospechoso, en seis comprobaciones
Compara el nombre visible con la dirección real
El nombre para mostrar es texto libre: cualquiera puede escribir el nombre de tu gerente. En el celular casi siempre se oculta la dirección; ábrelo y muéstrala completa. Si el nombre dice una cosa y el dominio dice otra, ya terminaste el análisis.
Lee el dominio carácter por carácter, de derecha a izquierda
Empieza por la extensión y sube. Busca letras cambiadas por parecidas, un guion añadido, una letra doble o un dominio legítimo puesto como subdominio de otro. Un dominio bajo un servicio gratuito no es lo mismo que uno propio, y el nombre de la empresa dentro del texto de la dirección no autentica nada.
Mira a dónde responde de verdad
Revisa Reply-To y Return-Path. El truco más rentable del fraude por correo es un mensaje que parece del proveedor y responde a un buzón controlado por el atacante. Si Reply-To apunta a un dominio distinto del remitente, trátalo como fraude hasta demostrar lo contrario.
Revisa la autenticación en el encabezado
En Authentication-Results busca dmarc=. Un dmarc=fail sobre un dominio conocido es señal fuerte de suplantación directa. Pero cuidado: un dmarc=pass no limpia el mensaje, porque el atacante puede tener un dominio propio bien configurado. Autenticado quiere decir «es quien dice ser», no «es de fiar».
Pasa el ratón sobre el enlace antes de pulsar
El texto visible del enlace y su destino real son cosas distintas. Mira el dominio del destino, no la ruta: lo que importa está justo antes de la primera barra. Desconfía de acortadores, de redirecciones encadenadas y de cualquier enlace que pida iniciar sesión para «ver un documento».
Verifica el pedido por otro canal, siempre
Si el mensaje pide cambiar una cuenta bancaria, pagar una factura urgente o comprar tarjetas de regalo, llama al número que ya tenías registrado. Nunca al que viene en el correo. Esta única regla evita la mayoría de los fraudes de transferencia.
Las tres suplantaciones, y por qué se combaten distinto
Suplantación del dominio exacto. El atacante escribe desde tu propio dominio. Es la más fácil de cortar: una política DMARC en reject hace que el servidor del destinatario lo rechace antes de entregarlo. Si tu dominio todavía está en p=none, esto sigue abierto; el camino completo está en mis correos llegan a spam.
Dominio parecido. Registran un dominio nuevo que se lee igual a golpe de vista: una letra sustituida por otra de forma similar, un guion de más, una extensión distinta. DMARC no puede hacer nada contra esto, porque el dominio es del atacante y está perfectamente configurado. Se combate marcando visualmente el correo externo, vigilando registros parecidos al tuyo y con reglas que avisen cuando un remitente externo usa el nombre de un directivo.
Nombre para mostrar falso. Ni siquiera intentan el dominio: escriben desde una cuenta gratuita y ponen el nombre del gerente en el campo visible. Funciona porque el teléfono muestra el nombre y esconde la dirección. Se combate con una regla en el servidor de correo y con formación.
Y encima de las tres está el fraude del director: no hay malware ni enlace, solo un mensaje breve pidiendo discreción y una transferencia urgente. El control que lo detiene no es técnico, es un procedimiento: todo cambio de datos bancarios de un proveedor se confirma por teléfono al contacto que ya estaba en el sistema, y toda transferencia sobre un monto acordado necesita dos personas.
La primera hora: alguien hizo clic y entregó la contraseña
Minuto 0 a 5: corta la sesión, no solo la contraseña
Cambiar la contraseña no basta y es el error más repetido. El atacante ya tiene una sesión abierta con un testigo válido, y ese testigo sigue funcionando aunque la contraseña cambie. Revoca todas las sesiones activas de la cuenta y después restablece la contraseña. Si el buzón está comprometido, no envíes la nueva contraseña por correo.
Minuto 5 a 15: revisa los métodos de autenticación
Un atacante que lleva más de unos minutos dentro casi siempre registra su propio método de segundo factor: una aplicación o un número de teléfono nuevos. Obliga a volver a registrarlos y borra todos los que no reconozcas. Si dejas el suyo, vuelve a entrar mañana con la contraseña nueva.
Minuto 15 a 30: caza las reglas del buzón
Este es el truco clásico y el que más gente pasa por alto. El atacante crea una regla que reenvía a una dirección externa, o que mueve a una carpeta poco visible todo lo que contenga palabras como factura, banco o transferencia. Así puede leer y responder sin que el dueño vea nada. Revisa reglas, reenvío automático del buzón y permisos delegados.
Minuto 30 a 45: mira los registros de inicio de sesión
Busca accesos desde países o proveedores de red que no correspondan, y sobre todo entradas correctas con segundo factor desde una ubicación imposible. Anota fecha, hora y dirección: eso define el intervalo del incidente y te dice qué otros buzones revisar.
Minuto 45 a 60: mide el alcance y avisa
Revisa qué se envió desde esa cuenta durante el intervalo, qué archivos se descargaron y a qué aplicaciones se dio consentimiento. Avisa a los contactos con los que el atacante escribió: el siguiente objetivo suele ser el proveedor o el cliente al final del hilo.
Después: cierra el hueco, no solo el incidente
Escribe qué pasó, por dónde entró y qué control faltaba. Si el mismo correo llegó a diez buzones, búscalo y bórralo de todos. Y revisa si esa contraseña se usaba en otros sistemas, porque entonces el incidente no termina en el correo.
Señales que valen y señales que ya no valen
- Vale: el nombre visible y el dominio no coinciden, o el mensaje viene de un dominio gratuito con el nombre de un directivo.
- Vale: Reply-To apunta a un dominio distinto del remitente. Es el indicio más rentable y el más rápido de comprobar.
- Vale: el dominio se registró hace días. Un proveedor de diez años no estrena dominio para mandarte una factura.
- Vale: piden iniciar sesión para ver un documento, y el destino solo imita el sitio del proveedor.
- Vale: urgencia, confidencialidad y dinero en el mismo mensaje. Ese trío es el patrón del fraude de transferencia.
- Vale: un hilo real que de pronto cambia el número de cuenta. Suele ser un buzón ajeno ya comprometido.
- Ya no vale: faltas de ortografía. Las campañas actuales llegan bien escritas y en español correcto.
- Ya no vale: el candado del navegador. Un certificado válido lo obtiene cualquiera en minutos y gratis.
- Ya no vale: «tiene segundo factor activado». Existen ataques que roban la sesión ya autenticada.
Por qué el segundo factor no te salva de todo
El segundo factor detiene el robo de contraseñas a granel, y por eso hay que activarlo en todos lados. Pero existe una familia de ataques que lo atraviesa sin romperlo.
El atacante levanta una página que actúa de intermediaria entre la víctima y el servicio real. La víctima ve la pantalla auténtica, porque es la auténtica: la página del atacante reenvía cada petición al proveedor y devuelve cada respuesta. La víctima escribe su contraseña, aprueba el segundo factor y entra. Todo funcionó. Lo que el atacante se lleva no es la contraseña: es el testigo de sesión que el servicio emitió después de autenticar correctamente. Con él entra desde su propio equipo sin volver a pasar por ningún factor.
- Cambiar la contraseña no expulsa a nadie. Hay que revocar las sesiones. Ese es el motivo del primer paso del procedimiento de arriba.
- Los factores resistentes son los que se ligan al dominio, como las llaves físicas y las credenciales sin contraseña. Un código de seis dígitos o un aviso de aprobación se pueden retransmitir; una credencial ligada al dominio, no.
- Vigila el comportamiento, no solo el acceso. Un mismo buzón visto desde dos países en diez minutos es un indicio, aunque las dos entradas estén autenticadas.
Lo que se configura en el borde y lo que se enseña a la gente
Los controles técnicos reducen el volumen y hacen que el resto sea manejable. Se aplican una vez y trabajan solos.
- Marca visualmente todo correo que venga de fuera de la organización. Es barato y desarma el nombre para mostrar falso.
- Bloquea la ejecución de macros en documentos que llegaron de internet, y prefiere el enlace al adjunto.
- Deshabilita el reenvío automático hacia dominios externos y pide autorización para cada excepción.
- Publica DMARC en una política que rechace, para cerrar la suplantación de tu propio dominio.
- Filtra en el borde el acceso a categorías de riesgo y a dominios recién registrados; esto se hace en el cortafuegos, como explicamos en firewall para empresas.
- Registra los inicios de sesión y guárdalos. Sin registros no hay investigación posible.
Lo que no se resuelve con configuración se resuelve con práctica. Un simulacro trimestral con un mensaje realista mide algo útil: cuánta gente pulsa, cuánta entrega credenciales y, sobre todo, cuántos avisan. La cifra que importa no es el porcentaje de clics sino el tiempo hasta el primer aviso, porque de él depende todo lo demás. Un simulacro que termina en regaño consigue que la próxima vez nadie avise; eso empeora tu seguridad en lugar de mejorarla.
Hasta dónde llega tu equipo y cuándo entra un tercero
Lo hace tu gente hoy mismo: activar el segundo factor en todos los buzones, marcar el correo externo, deshabilitar el reenvío automático externo, escribir en una hoja el procedimiento de la primera hora y pegarlo donde se vea, y acordar la regla de que ningún cambio de cuenta bancaria se acepta por correo.
Conviene llamar cuando ya hubo un acceso confirmado y hay que medir el alcance, cuando el fraude llegó a una transferencia, cuando el correo comprometido es el de dirección o contabilidad, o cuando hace falta dejar montada la vigilancia de inicios de sesión y la retención de registros.
Vijor Networks trabaja desde 2009 en Ciudad de Panamá y es una empresa familiar. Si hay datos personales de terceros comprometidos, en Panamá aplica la Ley 81 de 2019 de protección de datos personales, con su reglamento y la autoridad nacional correspondiente: consulta el plazo y la forma exacta de la notificación con tu asesor legal antes de comunicar nada.
Sigue por aquí:
Preguntas frecuentes sobre correos fraudulentos
Abrí el correo pero no pulsé nada. ¿Estoy en riesgo?
Abrir un mensaje casi nunca basta por sí solo en un cliente actualizado. Lo que hace daño es pulsar el enlace y escribir credenciales, abrir un adjunto y habilitar contenido, o responder. Si solo lo abriste, repórtalo y bórralo: si las imágenes se cargaron, el remitente ya sabe que la dirección está viva.
¿Cómo sé si el remitente es realmente mi proveedor?
No lo confirmes por correo. Llama al número que ya tenías registrado antes de este mensaje, nunca al que aparece en él. Si el hilo es real y solo cambió el número de cuenta, sospecha más todavía: los buzones comprometidos de proveedores son el vector más eficaz que existe, porque el correo es auténtico y pasa todas las comprobaciones técnicas.
Un empleado entregó su contraseña. ¿Qué hago primero?
Revocar las sesiones activas antes que nada, y después restablecer la contraseña. Ese orden importa: si solo cambias la contraseña, el atacante sigue dentro con la sesión que ya tenía. Luego revisa métodos de segundo factor registrados, reglas del buzón, reenvíos y registros de inicio de sesión. El procedimiento completo está en la sección de la primera hora de esta página.
¿Por qué revisar las reglas del buzón es tan importante?
Porque es la forma más silenciosa de quedarse dentro. Una regla que reenvía a una dirección externa o que archiva todo lo que mencione facturas deja al atacante leyendo la correspondencia sin volver a entrar. Sobrevive al cambio de contraseña y no genera ninguna alerta visible. Si revisas una sola cosa después de un incidente, que sea esta.
¿Sirven los simulacros de phishing?
Sirven si miden lo correcto y no se usan para castigar. El indicador útil es el tiempo hasta el primer reporte, no el porcentaje de clics: un incidente detectado en cinco minutos cuesta mucho menos que uno detectado en tres días. Felicita a quien reporta y usa el resultado para ajustar controles.
Tenemos segundo factor. ¿Aun así pueden entrar?
Sí, con ataques que actúan de intermediarios y roban la sesión ya autenticada en lugar de la contraseña. El segundo factor sigue siendo obligatorio porque detiene casi todo lo demás, pero conviene subir a factores ligados al dominio, como llaves físicas o credenciales sin contraseña, en las cuentas de dirección, finanzas y administración de sistemas.
¿Debo denunciar el intento aunque no haya pérdida?
Regístralo internamente siempre, con el encabezado completo guardado. Si hubo transferencia, avisa al banco de inmediato, porque la posibilidad de detener los fondos cae con cada hora. Si hay datos personales de terceros implicados, revisa con tu asesor legal las obligaciones de notificación que aplican en Panamá.
Preparemos la primera hora antes de que la necesites
Revisamos filtros, políticas del buzón y registros, y dejamos escrito el procedimiento que tu equipo va a seguir.