Los correos fraudulentos en empresas son cada vez más difíciles de diferenciar de una comunicación legítima. Un mensaje puede utilizar el nombre de un directivo, copiar el estilo de un proveedor habitual, incluir una factura creíble o dirigir al trabajador hacia una página que reproduce la imagen corporativa de Microsoft 365.
Ante este escenario, confiar toda la protección a la capacidad del empleado para reconocer el engaño resulta insuficiente. La formación ayuda a reducir los incidentes, pero ninguna persona puede mantener una atención perfecta frente a cientos de mensajes, solicitudes urgentes y tareas diarias.
La estrategia de ciberseguridad debe asumir que, en algún momento, alguien puede pulsar un enlace, abrir un archivo, aprobar una notificación o introducir su contraseña en una página falsa.
El objetivo no es culpabilizar al usuario. La verdadera prioridad consiste en evitar que ese error inicial permita al atacante:
- robar una cuenta corporativa;
- acceder al correo y a los documentos;
- modificar una cuenta bancaria;
- instalar malware;
- suplantar a un directivo;
- extenderse por la red;
- extraer información confidencial;
- desplegar ransomware.
Una empresa resiliente no depende de que todos sus empleados acierten siempre. Combina formación, procedimientos internos, protección tecnológica y supervisión para limitar las consecuencias cuando alguien se equivoca.
Por qué aumentan los correos fraudulentos en empresas
El phishing consiste en suplantar a una persona, empresa u organismo para conseguir que la víctima realice una acción beneficiosa para el atacante.
Tradicionalmente, estos mensajes incluían traducciones deficientes, diseños poco cuidados y errores evidentes. Actualmente, muchas campañas presentan:
- redacción correcta y adaptada al idioma de la víctima;
- logotipos y colores corporativos reales;
- firmas copiadas de empleados o proveedores;
- datos obtenidos de redes sociales y páginas corporativas;
- referencias a proyectos, departamentos o ubicaciones reales;
- páginas de acceso personalizadas para cada empresa;
- direcciones web visualmente similares a las originales;
- mensajes generados o mejorados con inteligencia artificial.
Los delincuentes también pueden analizar la actividad pública de una organización para conocer quién ocupa los puestos de dirección, administración, compras, recursos humanos o contabilidad.
Con esa información preparan mensajes que encajan con las tareas habituales del destinatario y reducen las señales que podrían despertar sospechas.
El phishing se ha convertido en un servicio profesional
Los atacantes ya no necesitan desarrollar por sí mismos toda la infraestructura del fraude.
Existen servicios clandestinos que proporcionan:
- plantillas de páginas de acceso falsas;
- servidores para alojar campañas;
- envío masivo de correos;
- paneles para consultar credenciales robadas;
- redirecciones adaptadas al país o dispositivo;
- evasión de filtros y herramientas de análisis;
- personalización automática de logotipos y marcas;
- interceptación de códigos o sesiones autenticadas.
Este modelo, conocido como phishing como servicio, permite que delincuentes con conocimientos técnicos limitados lancen campañas con una apariencia profesional.
Algunas plataformas pueden adaptar dinámicamente la página fraudulenta según el dominio del correo introducido. De este modo, una víctima perteneciente a una empresa concreta puede encontrar:
- su dirección de correo ya escrita;
- el logotipo de su organización;
- los colores de su identidad corporativa;
- una imitación de su portal Microsoft 365;
- mensajes relacionados con su actividad.
La página deja de parecer una copia genérica y se convierte en un engaño construido para esa organización.
Por qué la formación no puede ser la única defensa
La concienciación es imprescindible. Los trabajadores deben aprender a reconocer la urgencia, revisar remitentes, comprobar enlaces y comunicar cualquier mensaje sospechoso.
Sin embargo, la formación tiene límites.
Un empleado puede cometer un error porque:
- recibe cientos de mensajes cada jornada;
- el correo parece proceder de una persona conocida;
- la petición coincide con sus funciones habituales;
- está trabajando bajo presión;
- el atacante conoce un proyecto real;
- el mensaje llega dentro de una conversación legítima;
- el dominio falso solo cambia una letra;
- la página fraudulenta reproduce correctamente el acceso corporativo.
Incluso una persona formada puede caer ante un mensaje convincente enviado en el momento adecuado.
Por este motivo, la pregunta no debería ser únicamente “¿cómo conseguimos que nadie pulse?”, sino también:
¿Qué controles impedirán que el ataque continúe después del clic?
Un clic no siempre significa que exista una brecha
Pulsar un enlace fraudulento no implica automáticamente que toda la empresa haya sido comprometida.
El incidente puede quedar limitado si:
- el navegador bloquea la página;
- el filtro DNS impide acceder al dominio;
- la protección endpoint detiene la descarga;
- el archivo no llega a ejecutarse;
- el usuario no introduce credenciales;
- el acceso se bloquea por incumplimiento del dispositivo;
- el SOC detecta y contiene rápidamente la actividad.
El riesgo aumenta cuando el usuario realiza una segunda acción, por ejemplo:
- escribir su contraseña;
- aprobar una solicitud de autenticación;
- descargar y ejecutar un archivo;
- habilitar macros;
- copiar un comando en PowerShell;
- autorizar una aplicación desconocida;
- realizar una transferencia;
- cambiar los datos bancarios de un proveedor.
La capacidad de detectar y detener estas fases determina si el evento queda en un intento de phishing o se convierte en una brecha grave.
Qué buscan los atacantes después de robar una cuenta
Cuando los delincuentes consiguen acceder al correo corporativo, rara vez actúan de manera inmediata.
En muchos casos analizan durante días o semanas:
- quién autoriza los pagos;
- qué proveedores utiliza la empresa;
- cuándo se realizan transferencias;
- qué facturas están pendientes;
- cómo escriben los directivos;
- qué empleados gestionan información sensible;
- qué conversaciones pueden ser utilizadas para cometer fraude.
También pueden crear reglas de correo para:
- ocultar respuestas;
- eliminar avisos de seguridad;
- reenviar mensajes a una dirección externa;
- mover comunicaciones bancarias a carpetas ocultas;
- evitar que la víctima vea determinadas conversaciones.
Después, el atacante puede responder dentro de un hilo real y solicitar un cambio de cuenta bancaria. Al proceder desde una cuenta legítima y mantener el contexto de la conversación, el fraude resulta mucho más convincente.
Fraude BEC: cuando el correo se utiliza para desviar pagos
El compromiso del correo empresarial, conocido como BEC, busca manipular a empleados con capacidad para efectuar pagos, modificar cuentas o acceder a datos confidenciales.
El delincuente puede hacerse pasar por:
- el gerente de la empresa;
- un proveedor habitual;
- el responsable financiero;
- un empleado de recursos humanos;
- una asesoría;
- un cliente;
- un abogado o colaborador externo.
Entre las peticiones más frecuentes aparecen:
- pagar urgentemente una factura;
- cambiar el IBAN de un proveedor;
- modificar la cuenta de una nómina;
- comprar tarjetas regalo;
- enviar documentación laboral o fiscal;
- entregar datos personales de empleados;
- mantener la operación en secreto.
Estos fraudes pueden producir una doble pérdida. La empresa transfiere el dinero al delincuente, pero continúa debiendo el importe al proveedor o trabajador legítimo.
Qué empleados reciben más ataques de phishing
Los ciberdelincuentes priorizan las cuentas que ofrecen mayor rentabilidad o acceso.
Dirección y gerencia
Sus cuentas pueden utilizarse para ordenar pagos, solicitar información sensible o ejercer autoridad sobre otros trabajadores.
Administración y finanzas
Gestionan facturas, bancos, transferencias y datos de proveedores. Son objetivos principales del fraude BEC.
Recursos humanos
Acceden a nóminas, documentos de identidad, contratos, cuentas bancarias y otra información personal.
Compras
Mantienen conversaciones continuas con proveedores y reciben presupuestos, facturas y archivos externos.
Comerciales y atención al cliente
Interactúan con numerosos contactos desconocidos, por lo que abrir enlaces y documentos forma parte de su trabajo habitual.
Administradores de sistemas
Sus credenciales pueden proporcionar privilegios elevados sobre servidores, aplicaciones, Microsoft 365 y sistemas de seguridad.
La protección debe reforzarse según la función y el impacto que tendría la pérdida de cada cuenta.
La urgencia es una de las principales señales de alerta
Los atacantes intentan reducir el tiempo disponible para comprobar la solicitud.
Son frecuentes expresiones como:
- “Debe realizarse hoy”.
- “Necesito que lo gestiones inmediatamente”.
- “La cuenta será suspendida”.
- “No contactes con nadie hasta completar el pago”.
- “Es una operación confidencial”.
- “El proveedor ha cambiado de banco”.
- “Introduce de nuevo tu contraseña para mantener el acceso”.
La urgencia no demuestra por sí sola que el mensaje sea fraudulento, pero debe aumentar el nivel de comprobación.
Cuando una solicitud implica dinero, credenciales, datos personales o cambios en procedimientos, debe verificarse mediante un segundo canal conocido.
Cómo verificar una solicitud por un segundo canal
Responder al mismo mensaje no es suficiente. Si la cuenta ha sido comprometida, la respuesta llegará al propio atacante.
La comprobación debe realizarse utilizando datos de contacto previamente conocidos:
- llamar al teléfono habitual del proveedor;
- contactar mediante Teams con el empleado;
- utilizar un número registrado en el sistema de gestión;
- confirmar presencialmente con el responsable;
- consultar a otro autorizador interno.
No debe utilizarse el número de teléfono incluido en el correo sospechoso, ya que también puede pertenecer al delincuente.
Para operaciones críticas, la empresa debería establecer:
- doble autorización;
- límites económicos;
- verificación obligatoria de cambios bancarios;
- registro de la comprobación realizada;
- separación entre quien solicita y quien ejecuta el pago.
Cómo revisar un correo sospechoso
Antes de actuar, conviene comprobar varios elementos.
Dirección completa del remitente
El nombre visible puede ser correcto mientras la dirección real pertenece a otro dominio.
Los atacantes utilizan cambios sutiles como:
- sustituir una letra;
- añadir un guion;
- cambiar la extensión del dominio;
- utilizar caracteres visualmente parecidos;
- añadir palabras como pagos, soporte o facturación.
Destino real de los enlaces
El texto puede mostrar una dirección oficial, pero el enlace conducir a otro dominio. En un ordenador puede comprobarse situando el cursor sobre el botón sin pulsarlo.
Archivos adjuntos inesperados
Una factura, currículum, presupuesto o notificación puede contener macros, scripts, accesos directos o archivos ejecutables.
Cambio en el comportamiento habitual
Una petición puede resultar sospechosa aunque el correo sea real si solicita una operación diferente a las realizadas normalmente.
Errores de contexto
Debe comprobarse si el remitente utiliza la terminología habitual, conoce el proyecto y mantiene el tono esperado.
SPF, DKIM y DMARC reducen la suplantación
Las empresas deberían configurar correctamente las medidas de autenticación de correo.
SPF
Define qué servidores están autorizados para enviar mensajes utilizando el dominio de la empresa.
DKIM
Añade una firma criptográfica que permite verificar que el mensaje no ha sido modificado y que procede de un servidor autorizado.
DMARC
Establece qué debe hacer el receptor cuando un correo no supera las validaciones y permite recibir informes sobre intentos de suplantación.
Estas medidas no detienen todos los ataques. Un delincuente puede registrar un dominio parecido o comprometer una cuenta real. Sin embargo, reducen la posibilidad de que utilice directamente el dominio legítimo de la empresa sin autorización.
INCIBE explica cómo revisar remitentes y resultados de SPF, DKIM y DMARC para identificar correos fraudulentos.
La autenticación multifactor debe aplicarse a todas las cuentas
La autenticación multifactor añade una segunda comprobación además de la contraseña.
Debe exigirse especialmente en:
- Microsoft 365;
- correo corporativo;
- VPN;
- escritorios remotos;
- servicios de almacenamiento;
- aplicaciones de gestión;
- cuentas administrativas;
- paneles de proveedores.
CISA recomienda utilizar MFA en el correo, almacenamiento, accesos remotos y cuentas privilegiadas, priorizando los métodos más resistentes al phishing.
Puede consultarse su guía oficial sobre autenticación multifactor para pequeñas y medianas empresas.
Por qué la MFA tradicional también puede ser atacada
No todos los métodos de autenticación multifactor ofrecen el mismo nivel de protección.
Un atacante puede intentar:
- convencer al usuario para que facilite un código;
- interceptar una sesión mediante un proxy de phishing;
- enviar numerosas notificaciones hasta que una sea aprobada;
- robar una cookie ya autenticada;
- engañar al usuario mediante el flujo de código de dispositivo.
Microsoft advierte que los códigos SMS, contraseñas de un solo uso y notificaciones push pueden resultar vulnerables frente a determinadas campañas avanzadas.
Para cuentas críticas conviene valorar métodos resistentes al phishing, como:
- passkeys;
- llaves de seguridad FIDO2;
- Windows Hello for Business;
- autenticación basada en certificados;
- Platform SSO protegido en dispositivos Apple.
Microsoft explica este enfoque en su guía sobre autenticación multifactor resistente al phishing.
Acceso Condicional: no confiar solo en la contraseña
Microsoft Entra ID puede evaluar más señales además del usuario y la contraseña.
Las políticas de Acceso Condicional permiten valorar:
- el dispositivo desde el que se inicia sesión;
- su estado de cumplimiento;
- la ubicación;
- el sistema operativo;
- la aplicación utilizada;
- el nivel de riesgo del inicio de sesión;
- el tipo de autenticación realizada.
Una organización puede exigir que el dispositivo esté administrado, actualizado, cifrado y conforme antes de acceder al correo o a documentos sensibles.
También puede bloquear:
- países no autorizados;
- protocolos antiguos;
- dispositivos no gestionados;
- flujos de autenticación de alto riesgo;
- cuentas con riesgo elevado.
Estas medidas ayudan a impedir que una contraseña robada proporcione acceso directo a todos los recursos.
Limitar privilegios reduce el impacto del error
Cada usuario debería tener únicamente los accesos necesarios para sus funciones.
Si una cuenta comercial es comprometida, no debería poder:
- administrar Microsoft 365;
- consultar todas las nóminas;
- acceder a las copias de seguridad;
- modificar el firewall;
- entrar en todos los servidores;
- descargar bases de datos completas.
Los permisos excesivos transforman el compromiso de una cuenta en un incidente de toda la organización.
La separación de funciones, los mínimos privilegios y las cuentas administrativas independientes limitan las posibilidades del atacante.
Protección endpoint y EDR frente al phishing
La protección endpoint puede detectar actividades que ocurren después del correo inicial.
Una solución EDR puede identificar:
- archivos maliciosos descargados;
- scripts ejecutados desde documentos;
- uso anómalo de PowerShell;
- procesos iniciados por el navegador;
- intentos de robar credenciales;
- mecanismos de persistencia;
- conexiones hacia servidores maliciosos;
- cifrado masivo de archivos.
La alerta debe ser supervisada. Instalar un antivirus y no revisar su consola puede dejar incidentes sin analizar.
En GHM Soluciones Informáticas implantamos soluciones de protección endpoint y firewall para empresas con políticas administradas y supervisión de eventos.
Un SOC convierte las alertas en una respuesta
Un Centro de Operaciones de Seguridad analiza el contexto de las detecciones para determinar qué ha ocurrido y qué medidas deben aplicarse.
Ante un posible phishing, el SOC puede revisar:
- quién recibió el correo;
- si otros usuarios recibieron el mismo mensaje;
- qué enlace se abrió;
- si hubo descarga o ejecución;
- si se introdujeron credenciales;
- qué inicios de sesión aparecieron después;
- si se crearon reglas de correo;
- si hubo conexiones o procesos sospechosos.
Esta supervisión permite reaccionar antes de que el atacante utilice la cuenta para preparar nuevos fraudes.
SIEM Wazuh para relacionar las señales del ataque
Una plataforma SIEM centraliza registros procedentes de equipos, servidores, correo, firewalls y servicios cloud.
Una cadena de ataque puede generar eventos separados:
- el usuario recibe el correo;
- accede a un dominio desconocido;
- introduce sus credenciales;
- aparece un inicio de sesión desde otro país;
- se crea una regla de reenvío;
- se descargan numerosos documentos;
- se envían mensajes a proveedores.
Analizados de forma aislada, algunos eventos pueden parecer normales. Correlacionados, muestran una posible intrusión.
En GHM Soluciones Informáticas implantamos SIEM Wazuh para empresas para centralizar alertas, conservar evidencias y facilitar la respuesta ante incidentes.
Qué debe hacer el empleado después de pulsar un enlace
La rapidez con la que se comunica el error puede evitar una brecha.
El trabajador debería:
- cerrar la página sospechosa;
- no continuar introduciendo información;
- no borrar el correo ni las evidencias;
- avisar inmediatamente al responsable informático;
- indicar si introdujo una contraseña;
- comunicar si aprobó una solicitud de MFA;
- confirmar si descargó o ejecutó algún archivo;
- seguir las instrucciones de aislamiento.
Ocultar el incidente por miedo a una reprimenda aumenta el tiempo disponible para el atacante.
La empresa debe fomentar una cultura en la que reportar rápidamente un error sea valorado como una acción responsable.
Qué debe hacer la empresa si se introdujeron credenciales
Cuando existe la posibilidad de que una contraseña haya sido entregada, deben aplicarse medidas inmediatas:
- bloquear temporalmente la cuenta;
- revocar las sesiones activas;
- cambiar la contraseña desde un equipo limpio;
- revisar los métodos de autenticación registrados;
- comprobar los inicios de sesión recientes;
- eliminar reglas de correo desconocidas;
- revisar consentimientos de aplicaciones;
- analizar la actividad realizada;
- buscar mensajes enviados por el atacante;
- mantener una vigilancia reforzada.
Cambiar únicamente la contraseña puede ser insuficiente si el atacante conserva una sesión activa, una aplicación autorizada o un método de autenticación añadido.
Tres capas para protegerse de los correos fraudulentos
Una estrategia efectiva combina tres elementos.
1. Personas preparadas
Los empleados deben reconocer señales de alerta, comprobar solicitudes y reportar incidentes con rapidez.
2. Procedimientos claros
Los pagos, cambios de cuenta, entrega de datos y operaciones sensibles deben incluir comprobaciones independientes y doble autorización.
3. Tecnología de contención
El correo seguro, la MFA resistente al phishing, el Acceso Condicional, el EDR y la monitorización deben impedir que un error individual comprometa toda la organización.
Separar estas capas produce una protección incompleta. Formar sin implantar controles deja toda la responsabilidad en el trabajador. Instalar herramientas sin procedimientos puede permitir que el fraude económico continúe aunque el malware sea bloqueado.
Qué debería revisar una empresa
Para conocer su nivel de exposición, la dirección debería poder responder:
- ¿Todas las cuentas utilizan MFA?
- ¿Los administradores utilizan métodos resistentes al phishing?
- ¿Los cambios de cuentas bancarias se verifican por teléfono?
- ¿Existe doble aprobación para pagos?
- ¿SPF, DKIM y DMARC están correctamente configurados?
- ¿Se bloquean los dispositivos no conformes?
- ¿Los usuarios tienen únicamente los permisos necesarios?
- ¿Alguien supervisa las alertas del endpoint?
- ¿Se detectan inicios de sesión anómalos?
- ¿Existe un procedimiento para revocar sesiones?
- ¿Los empleados saben cómo reportar un correo?
- ¿Se realizan simulaciones y formación periódica?
Las respuestas deben estar respaldadas por configuraciones, registros y procedimientos reales.
Conclusión: la resiliencia es más importante que esperar usuarios perfectos
Los correos fraudulentos en empresas son cada vez más personalizados, convincentes y difíciles de distinguir. Los atacantes pueden imitar a proveedores, directivos, bancos y plataformas cloud utilizando información real de la organización.
Formar a los trabajadores sigue siendo necesario, pero no puede ser la única barrera.
La empresa debe asumir que algún usuario puede equivocarse y diseñar su seguridad para que:
- la contraseña robada no permita entrar;
- el dispositivo inseguro sea rechazado;
- el malware sea bloqueado;
- los permisos estén limitados;
- los pagos requieran verificación;
- las anomalías sean detectadas;
- el incidente pueda contenerse rápidamente.
En GHM Soluciones Informáticas ayudamos a las empresas a proteger correo, identidades, dispositivos y redes mediante Microsoft 365, Intune, Acceso Condicional, autenticación multifactor, endpoint EDR, firewall administrado, SOC y SIEM Wazuh.
Solicita una revisión desde nuestra página de contacto y comprueba si un correo fraudulento podría convertirse actualmente en una brecha dentro de tu organización.
Preguntas frecuentes sobre correos fraudulentos en empresas
¿Qué son los correos fraudulentos en empresas?
Son mensajes que suplantan a personas, proveedores, organismos o servicios para conseguir credenciales, dinero, datos confidenciales o la ejecución de malware.
¿La formación evita todos los ataques de phishing?
No. Reduce el riesgo y mejora la capacidad de respuesta, pero los mensajes actuales pueden resultar muy convincentes incluso para usuarios experimentados.
¿Pulsar un enlace significa que la empresa está comprometida?
No necesariamente. El ataque puede ser bloqueado por el navegador, el filtro web, el endpoint o las políticas de acceso. Debe revisarse qué ocurrió después del clic.
¿Qué es el fraude BEC?
Es la suplantación o utilización de una cuenta corporativa para solicitar pagos, modificar cuentas bancarias o conseguir información sensible.
¿Cómo debe comprobarse un cambio de cuenta bancaria?
Mediante un segundo canal conocido, como una llamada al teléfono habitual del proveedor. No debe utilizarse el número incluido en el correo sospechoso.
¿MFA evita el phishing?
Reduce considerablemente el riesgo, pero algunos métodos pueden ser manipulados. Las cuentas sensibles deberían utilizar autenticación resistente al phishing.
¿Qué métodos son resistentes al phishing?
Entre ellos se encuentran las passkeys, llaves FIDO2, Windows Hello for Business y determinados métodos basados en certificados.
¿Qué aporta el Acceso Condicional?
Permite autorizar o bloquear accesos según el usuario, el dispositivo, la ubicación, el riesgo y el método de autenticación utilizado.
¿Qué debe hacer un empleado si introduce su contraseña?
Debe avisar inmediatamente al responsable informático para bloquear la cuenta, revocar sesiones, cambiar la clave y revisar la actividad.
¿GHM Soluciones Informáticas puede revisar la protección del correo?
Sí. GHM puede revisar Microsoft 365, MFA, Acceso Condicional, dispositivos, protección endpoint, procedimientos de pago, registros y monitorización de seguridad.
