Phishing: cómo reconocerlo y qué hacer si ya has picado

Cómo funciona

El mensaje incluye casi siempre un enlace a una web falsa que imita a la legítima, con un dominio muy parecido. Tras introducir los datos, es habitual que la víctima sea redirigida a la web verdadera, así que puede tardar en darse cuenta de que ha sido engañada. Por eso conviene saber detectar el engaño antes de pulsar.

Señales de un mensaje sospechoso

• Remitente que no cuadra: la dirección no corresponde a la organización o está falseada (suplantación de correo).
• Urgencia o amenaza: cancelación de una cuenta, multas o sanciones para que actúes sin pensar.
• Enlaces falseados: al pasar el ratón por encima, la dirección real es otra.
• Tono impersonal: las entidades legítimas suelen dirigirse a ti por tu nombre y apellidos.
• Errores ortográficos o gramaticales, aunque cada vez son menos frecuentes.

Fraudes frecuentes contra empresas

• Suplantación de servicios: avisos falsos de bancos, mensajería, administraciones o plataformas de correo para robar credenciales.
• Facturas falsas y cambios de cuenta bancaria: un proveedor «avisa» de un nuevo IBAN. Lo explicamos en el artículo sobre el fraude del cambio de cuenta bancaria.
• Falso directivo: un correo que parece del director pide una transferencia urgente y confidencial.
• Ataques dirigidos: mensajes personalizados con datos reales de la empresa obtenidos de webs y redes.

Qué hacer si has pulsado o has dado tus datos

Actúa rápido y sin buscar culpables: cuanto antes se avise, menos daño.

• Avisa de inmediato a la persona responsable de sistemas o de seguridad.
• Cambia la contraseña afectada desde un dispositivo seguro, cierra sesiones abiertas y activa la verificación en dos pasos.
• Revisa las reglas del correo (reenvíos y filtros): los atacantes suelen crear reglas ocultas para seguir leyendo tus mensajes.
• Si abriste un adjunto, desconecta el equipo de la red y pide ayuda antes de seguir usándolo.
• Si hubo una transferencia, llama al banco de inmediato para intentar frenarla y denuncia.
• Si se han expuesto datos personales, valora con tu responsable de protección de datos si hay que notificar la brecha a la autoridad de control (el RGPD fija un plazo de 72 horas).
• Pide orientación: INCIBE ofrece la línea gratuita 017 y un servicio para reportar incidentes.

Cómo reducir el riesgo

• Verificación en dos pasos en todas las cuentas importantes.
• Filtros de correo que bloqueen suplantaciones.
• Formación periódica del equipo y simulacros: INCIBE ofrece un [kit de concienciación](https://www.incibe.es/empresas/formacion/kit-concienciacion) pensado para pymes.
• Verificar por otro canal, con una llamada, cualquier cambio de cuenta bancaria o pago urgente.
• Un canal sencillo para reportar mensajes sospechosos sin miedo a represalias.

Preguntas frecuentes