Qué es phishing y cómo proteger a tu equipo

El phishing es un engaño en el que alguien se hace pasar por un banco, el SAT, un proveedor o tu propio jefe para que entregues contraseñas, datos o dinero, o para que abras un archivo infectado. Llega por correo, SMS, WhatsApp, llamadas y hasta códigos QR.

El nombre viene de fishing, pescar en inglés: el atacante lanza un anzuelo y espera a que alguien muerda. Sigue funcionando porque ataca a las personas y no a los sistemas. El Data Breach Investigations Report 2026 de Verizon encontró que el elemento humano estuvo presente en 62% de las brechas analizadas y que el phishing fue la vía de entrada en 16% de ellas. Por eso la defensa combina capacitación con buenas configuraciones, y estas últimas se cuidan mejor con un soporte técnico que vigila accesos, parches y cuentas de tu sitio.

Cómo funciona un ataque de phishing

Casi todos siguen la misma receta. Primero, un pretexto creíble: un pago pendiente, una devolución de impuestos, un paquete retenido o una factura vencida. Luego, urgencia, para que actúes sin pensar. Al final, una acción concreta: entrar a un enlace, abrir un adjunto, dictar un código o hacer una transferencia.

Un ejemplo mexicano reciente: en abril de 2026, la Secretaría de Seguridad Ciudadana de la CDMX alertó sobre mensajes falsos de devolución de impuestos que suplantan al SAT. Llegan por correo, SMS o apps de mensajería y usan frases como “último aviso”, “devoluciones pendientes” o “acción inmediata requerida”. El enlace lleva a una copia del portal del SAT que pide datos personales y bancarios. El propio SAT recuerda que no solicita claves, contraseñas ni información personal por esas vías.

En una empresa, el objetivo más valioso suele ser el correo. Con la contraseña de una cuenta de correo, el atacante puede leer conversaciones con clientes, pedir cambios de cuenta bancaria a nombre de tu empresa o restablecer las contraseñas de otros servicios.

Tipos de phishing que llegan a una pyme

El canal cambia, pero el truco es el mismo. Estos son los que más vale la pena reconocer:

BEC son las siglas en inglés de compromiso del correo empresarial. Los canales móviles merecen atención especial: según el mismo informe de Verizon, en simulaciones de phishing la tasa mediana de clics por voz y mensajes de texto es 40% más alta que por correo. El celular se revisa con prisa y en una pantalla chica que oculta la dirección real de los enlaces.

Señales para detectar un mensaje falso

Ninguna señal es definitiva, pero dos o tres juntas bastan para detenerte:

• Urgencia o amenaza: “tu cuenta será suspendida hoy”, “último aviso”.
• Te pide contraseñas, códigos de verificación, datos de tarjeta o una transferencia.
• El remitente no coincide: el nombre dice “Banco” pero la dirección es de Gmail o tiene letras cambiadas.
• El enlace no lleva a donde dice. En computadora, pasa el cursor encima sin dar clic; en celular, mantén presionado para ver la dirección.
• Adjuntos inesperados, sobre todo comprimidos o archivos que piden “habilitar contenido”.
• Un cambio de cuenta bancaria de un proveedor que llega solo por correo.

Ya no te fíes de la ortografía. Con herramientas de inteligencia artificial, un mensaje falso puede estar perfectamente escrito e incluso imitar el estilo de alguien que conoces.

La regla del segundo canal

La defensa más útil para un equipo no técnico cabe en una regla que en CloudStudio llamamos la regla del segundo canal: toda solicitud que involucre dinero, contraseñas o datos se confirma por un medio distinto al que usó el mensaje, elegido por ti. En la práctica:

1. Detente. La urgencia es la herramienta del atacante, y cinco minutos de verificación casi nunca cuestan una venta.
2. No uses los datos del mensaje. Ni el teléfono de la firma ni el enlace del correo: busca el contacto en tu directorio, en una factura anterior o escribe tú la dirección del sitio en el navegador.
3. Confirma con la persona o empresa por ese otro canal: si el correo es del director, llámale; si el WhatsApp es del proveedor, escríbele a su correo de siempre.
4. Para cambios de cuenta bancaria, exige confirmación por llamada con alguien que ya conoces antes del primer pago a la cuenta nueva.
5. Reporta el mensaje al responsable de sistemas aunque no hayas caído, para avisar al resto del equipo.

Imagina una distribuidora en Monterrey que recibe un correo de su proveedor habitual con una factura y una nueva CLABE (la clave bancaria estandarizada que se usa para transferencias en México). Con la regla, la persona de pagos llama al número de siempre del proveedor y descubre que nadie cambió de banco. Sin ella, el pago se va a la cuenta del atacante y es muy difícil recuperarlo.

Defensas técnicas que sí funcionan

La capacitación reduce los clics, pero alguien va a caer tarde o temprano. Por eso conviene que un clic no sea suficiente para que el atacante entre:

• Verificación en dos pasos (MFA, autenticación multifactor) en correo, banca, hosting (el servicio donde vive tu sitio web) y redes sociales. La CISA, la agencia de ciberseguridad de Estados Unidos, recomienda en sus recursos para pequeñas empresas pasar a formas de MFA resistentes al phishing, como las passkeys (credenciales guardadas en tu teléfono o computadora) o las llaves físicas, que no se pueden dictar por teléfono ni capturar en un sitio falso.
• Gestor de contraseñas, la app que crea y guarda tus contraseñas: solo autocompleta en el sitio legítimo, así que si no rellena la contraseña, algo raro pasa.
• Filtros de correo bien configurados y actualizaciones automáticas en equipos y navegadores.
• Autenticación de tu dominio de correo con SPF, DKIM y DMARC.

SPF, DKIM y DMARC son registros del DNS (la configuración pública de tu dominio) que permiten a otros servidores comprobar que un correo con tu dominio de verdad salió de ti. Además de proteger a tus clientes de correos falsos con tu marca, mejoran tu entrega: desde el 1 de febrero de 2024, Google exige SPF o DKIM a todos los remitentes que escriben a cuentas de Gmail, y DMARC a quienes envían más de 5,000 mensajes al día (consultado el 2 de noviembre de 2026). Si tu correo, tu dominio y tu sitio están repartidos entre varios proveedores, una buena configuración de correo, DNS y servidores en la nube evita que esos registros queden a medias.

Cómo entrenar a tu equipo sin aburrirlo

Una plática anual no cambia hábitos. Funciona mejor la práctica corta y frecuente:

• Sesiones de 15 minutos al mes con ejemplos reales que le llegaron a tu propia empresa.
• Simulaciones de phishing internas, avisando al equipo que se harán, para medir y practicar.
• Un canal claro para reportar, como un correo o un chat de sistemas, con respuesta rápida.
• Reconocer a quien reporta, incluso si dio clic. Si caer se castiga, la gente lo esconde y pierdes horas valiosas.

En las simulaciones, mide dos cosas: cuántas personas dan clic y cuántas reportan el mensaje. La segunda cifra importa más de lo que parece, porque un reporte rápido le da tiempo a quien administra el correo de borrar el mensaje de las demás bandejas antes de que alguien más caiga.

Qué hacer si alguien ya cayó

Lo primero es avisar de inmediato. Después, según lo que haya pasado:

1. Si escribió su contraseña en un sitio falso: cámbiala desde otro equipo, cierra las sesiones abiertas y activa la verificación en dos pasos.
2. Si dio datos bancarios o hizo un pago: llamen al banco en ese momento para intentar detener la operación.
3. Si abrió un adjunto: desconecta el equipo de la red y que lo revise alguien técnico antes de volver a usarlo.
4. Si las credenciales eran del sitio web o del hosting: sigue los pasos para una página web hackeada, aunque todavía no veas daños.
5. Guarda evidencia (capturas, correo original, números) y repórtalo al 088 de la Guardia Nacional. Si el mensaje suplantaba al SAT, puedes reportarlo en [email protected].

En CloudStudio recomendamos que cada empresa tenga escrito, en una sola página, a quién avisar y qué hacer en cada uno de estos casos. El phishing es una pieza de un plan más amplio que explicamos en la guía de ciberseguridad y privacidad para empresas.

Preguntas frecuentes

¿Qué pasa si solo abrí el correo pero no di clic?

En la mayoría de los casos no pasa nada: el riesgo está en dar clic, abrir adjuntos o responder. Aun así, no respondas, repórtalo y bórralo. Si tu correo carga imágenes automáticamente, el atacante puede saber que lo abriste y volver a intentarlo.

¿Cuál es la diferencia entre phishing y spam?

El spam es publicidad no solicitada: molesta, pero no busca robarte. El phishing es un engaño diseñado para quitarte credenciales, datos o dinero. Un correo puede ser las dos cosas, por eso conviene tratar con cuidado cualquier mensaje no esperado.

¿Cómo denuncio un intento de phishing en México?

Llama al 088, donde la Guardia Nacional orienta y canaliza denuncias. En la CDMX también atiende la Policía Cibernética de la SSC. Si suplantan al SAT, repórtalo en [email protected], y si suplantan a tu banco, avísale por sus canales oficiales.

¿Cuánto tiempo toma capacitar a un equipo contra el phishing?

Menos de lo que parece. Un ejemplo hipotético: con sesiones de 15 minutos al mes, un equipo de 20 personas invierte 5 horas de trabajo al mes en total, que equivalen a 3 horas por persona al año. Lo que cuesta más es la constancia: el aprendizaje se pierde si pasan meses sin práctica.

Si quieres revisar qué tan expuesto está tu equipo, agenda una llamada con nosotros y revisamos juntos tu correo, tu dominio y los accesos que un clic equivocado podría poner en riesgo.