Los correos electrónicos siguen siendo una de las vías más utilizadas para intentar engañar a usuarios y empresas. Un mensaje que parece proceder de un banco, un proveedor, una empresa de mensajería o incluso de un compañero de trabajo puede esconder un intento de robo de contraseñas, datos personales o información empresarial.
Estos mensajes no siempre contienen errores ortográficos ni tienen un aspecto extraño. Cada vez es más habitual encontrar correos bien redactados, con logotipos y formatos similares a los de las empresas que suplantan.
Por eso, antes de abrir un enlace, descargar un archivo o responder a una solicitud, conviene detenerse unos segundos y comprobar quién está enviando realmente el mensaje.
Los correos fraudulentos no siempre parecen sospechosos
Una de las técnicas más habituales es el phishing, que consiste en suplantar la identidad de una empresa o persona de confianza para conseguir que el destinatario realice alguna acción.
En una empresa podemos encontrarnos con mensajes que aparentemente proceden de:
- Una entidad bancaria que solicita confirmar los datos de acceso.
- Un proveedor que envía una factura pendiente de pago.
- Una empresa de mensajería que comunica un problema con una entrega.
- Microsoft 365 o Google, avisando de que la contraseña ha caducado o que la cuenta necesita una verificación.
- Un compañero o responsable que solicita información o pide realizar una transferencia.
El objetivo suele ser conseguir credenciales, obtener información confidencial, inducir a realizar un pago o conseguir que se descargue un archivo malicioso.
En algunos casos, el correo busca una reacción inmediata para que el destinatario actúe sin comprobar si la solicitud es legítima.
5 comprobaciones para detectar un correo fraudulento
Antes de interactuar con un mensaje que no esperabas o que solicita alguna acción, merece la pena revisar algunos detalles.
1. Comprueba la dirección real del remitente
El nombre que aparece como remitente no garantiza que el correo proceda de esa persona o empresa. Es posible utilizar nombres comerciales, logotipos y textos que parecen auténticos mientras se envía el mensaje desde una dirección completamente diferente.
Por ejemplo, un correo que aparentemente procede de Microsoft podría llegar desde una dirección que utiliza un dominio parecido, pero que no pertenece a Microsoft.
Fíjate especialmente en la parte que aparece después de la arroba (@). Comprueba que el dominio corresponde realmente a la empresa que dice enviar el mensaje y presta atención a pequeñas diferencias, letras añadidas o terminaciones distintas.
Si tienes dudas, no respondas directamente al mensaje. Busca los datos de contacto oficiales de la empresa y comprueba con ella si ha enviado esa comunicación.
2. Revisa los enlaces antes de abrirlos
Un enlace puede mostrar un texto aparentemente legítimo y llevar a una página completamente diferente.
Por ejemplo, un mensaje puede incluir un botón con el texto «Acceder a mi cuenta» que en realidad dirige a una página diseñada para imitar la web de tu banco o de Microsoft.
En un ordenador puedes colocar el puntero sobre el enlace, sin hacer clic, para comprobar la dirección de destino que muestra el navegador. Si el dominio no corresponde al servicio esperado, no lo abras.
También debes desconfiar de direcciones con nombres extraños, dominios que imitan a los originales o enlaces acortados cuyo destino no puedes identificar.
En dispositivos móviles, donde no siempre resulta sencillo comprobar el destino de un enlace, es preferible acceder directamente a la web o aplicación oficial en lugar de utilizar el enlace recibido.
3. Desconfía de los mensajes que generan urgencia
Muchos correos fraudulentos intentan que actúes rápidamente mediante avisos alarmantes o amenazas de consecuencias inmediatas.
Algunos ejemplos habituales son:
- «Tu cuenta será bloqueada en las próximas 24 horas».
- «Tienes una factura pendiente que debes abonar hoy».
- «Tu contraseña ha caducado y necesitas renovarla».
- «Se ha detectado un acceso sospechoso. Confirma tu identidad».
La urgencia no demuestra por sí sola que un correo sea fraudulento, pero es una señal que merece atención, especialmente cuando se combina con enlaces, solicitudes de contraseñas o peticiones de pago.
Si recibes un aviso de este tipo, comprueba la situación accediendo directamente al servicio correspondiente, sin utilizar los enlaces del mensaje.
4. Presta atención a los archivos adjuntos
Los documentos adjuntos también pueden utilizarse para distribuir programas maliciosos o iniciar un ataque.
Una supuesta factura, un presupuesto o un documento de Word pueden contener archivos peligrosos, enlaces o instrucciones para ejecutar contenido que no debería abrirse.
Ten especial cuidado con:
- Archivos comprimidos que no esperabas recibir.
- Documentos que solicitan habilitar macros o ejecutar contenido.
- Archivos con extensiones que no coinciden con lo que aparentan ser.
- Facturas o presupuestos de proveedores que no reconoces.
Si no esperabas el documento, confirma con el remitente por otro canal que realmente lo ha enviado. No basta con que el nombre o la dirección parezcan conocidos: también pueden suplantar cuentas reales.
5. Comprueba si la solicitud tiene sentido
Esta comprobación es especialmente importante en el entorno empresarial.
Imagina que recibes un correo del director de la empresa solicitando una transferencia urgente a una cuenta bancaria diferente de la habitual. O un mensaje de un proveedor que comunica un cambio en sus datos de pago.
Aunque el remitente parezca legítimo, conviene confirmar la petición antes de realizar cualquier operación.
Este tipo de engaño se conoce como fraude del CEO o suplantación de identidad empresarial. No siempre se basa en enlaces maliciosos: en ocasiones, el objetivo es simplemente conseguir que alguien realice un pago o facilite información.
Cuando una solicitud implica dinero, contraseñas o información confidencial, es importante verificarla mediante un canal de comunicación independiente.
¿Qué hacer si recibes un correo sospechoso?
Si un mensaje te genera dudas, lo más prudente es no interactuar con él hasta comprobar su legitimidad.
En concreto:
- No abras los enlaces ni descargues los archivos adjuntos.
- No respondas facilitando contraseñas, datos personales o información de la empresa.
- Comprueba la solicitud contactando con el supuesto remitente por otro medio.
- Si utilizas una cuenta corporativa, informa al responsable de informática o de seguridad.
- Si confirmas que es fraudulento, sigue el procedimiento establecido en tu empresa para comunicarlo y eliminarlo.
También es importante saber cómo actuar si ya has pulsado un enlace. Si has introducido tu contraseña, cámbiala cuanto antes desde la página oficial del servicio y comunica lo ocurrido al responsable técnico. Si has facilitado datos bancarios o realizado un pago, contacta inmediatamente con tu entidad financiera.
Si has descargado o ejecutado un archivo sospechoso, evita seguir utilizando ese equipo para acceder a cuentas o servicios importantes y solicita una revisión técnica. No conviene asumir que basta con borrar el archivo.
La seguridad del correo electrónico también es responsabilidad de la empresa
Reconocer un correo fraudulento es importante, pero no debería depender exclusivamente de la atención de cada trabajador. Las empresas necesitan combinar la formación de sus empleados con medidas técnicas que reduzcan el riesgo de sufrir un ataque.
Entre las medidas que conviene tener en cuenta están la protección del correo electrónico frente a mensajes maliciosos, la autenticación multifactor, las políticas adecuadas de contraseñas, las copias de seguridad y unos procedimientos claros para comunicar posibles incidentes.
También es importante que los empleados sepan cómo actuar cuando reciben un mensaje sospechoso. Una comunicación rápida puede evitar que un error individual termine afectando a toda la empresa.
En W-MEGA trabajamos con empresas en la protección de sus sistemas informáticos y la prevención de riesgos de seguridad. Revisamos las necesidades de cada organización y planteamos medidas adaptadas a sus equipos, usuarios y forma de trabajar.
