El phishing genérico (el correo mal escrito que dice que ganaste un premio) ya casi no engaña a nadie. El que sí funciona, y cada vez más, es el phishing dirigido — mensajes que investigan a su empresa de antemano, usan nombres reales de compañeros o proveedores, y se adaptan al contexto de su industria para parecer legítimos.
Por qué el phishing dirigido es más peligroso
A diferencia del spam masivo, el atacante dedica tiempo a investigar: revisa el sitio web de la empresa, perfiles de LinkedIn, quién es el gerente financiero, con qué proveedores trabajan. Con esa información arma un mensaje que no tiene errores obvios de ortografía, usa el logo correcto, y menciona detalles reales — por eso engaña incluso a personas que normalmente estarían alerta.
Las señales que sí delatan un intento de phishing
El remitente no coincide exactamente. El nombre que aparece puede decir “Banco Nacional” o el nombre de su jefe, pero la dirección de correo real (la que aparece al pasar el mouse o tocar sobre el nombre) suele tener un dominio ligeramente distinto — una letra cambiada, una extensión distinta (.net en vez de .com), o un dominio completamente ajeno.
Urgencia y presión de tiempo. “Su cuenta será suspendida en 24 horas”, “pago vencido, actúe de inmediato”, “necesito esto antes de mi reunión en 10 minutos” — la urgencia está diseñada para que la persona actúe antes de pensar o verificar.
Solicitud fuera de lo normal, aunque el remitente parezca conocido. Un gerente que nunca pide transferencias por correo, de repente pidiendo una “urgente y confidencial”. Un proveedor habitual, cambiando de repente su cuenta bancaria para el próximo pago.
Enlaces que no van a donde dicen ir. El texto del enlace puede decir “Ver factura” o el nombre de un sistema conocido, pero al pasar el cursor por encima (sin hacer clic), la URL real que aparece abajo es distinta — muchas veces un dominio genérico o mal escrito.
Archivos adjuntos inesperados, especialmente en formatos como .zip, .exe, o macros de Excel/Word que piden “habilitar contenido” para verse correctamente — esa solicitud de habilitar macros es en sí misma una señal de alerta.
Errores sutiles de formato, como un logo con la resolución equivocada, un pie de firma distinto al habitual de la persona, o un tono de escritura que no suena como esa persona normalmente escribe.
Qué hacer ante un mensaje sospechoso
Nunca haga clic en enlaces ni descargue adjuntos de un mensaje que le genere duda. Verifique por un canal distinto — llame a la persona o proveedor a un número que ya tenía guardado de antes, no al que aparece en el correo sospechoso. Si el mensaje pide una acción financiera o de acceso a sistemas, es política sana requerir una segunda confirmación de otra persona antes de proceder, sin importar la urgencia con la que llegue el mensaje.
Reporte el intento a su equipo de TI o proveedor de soporte, aunque no haya caído en la trampa — cada intento reportado ayuda a identificar patrones y proteger a otros compañeros que podrían recibir el mismo mensaje.
La mejor defensa es la costumbre, no la tecnología sola
Ningún filtro de correo detiene el 100% de los intentos de phishing dirigido — están diseñados justamente para parecer legítimos. La defensa más efectiva es que cada persona en la empresa tenga el hábito de pausar y verificar ante cualquier solicitud inusual, sin importar de quién parezca venir.