Cuando hablamos de phishing con equipos pequeños, la imagen que tienen en la cabeza es la del correo masivo mal escrito. Ese sigue existiendo y el filtro del proveedor de correo lo bloquea casi siempre. El que llega al negocio es otro: va dirigido a una persona concreta, en un momento concreto, y está escrito con información que quien lo envía ya conoce. En el mundo de la seguridad se le llama spear phishing cuando apunta a una persona, y fraude del correo corporativo (BEC, por su sigla en inglés) cuando el objetivo final es que alguien autorice un pago.
La diferencia importa porque cambia la defensa. Contra el correo masivo sirve un buen filtro. Contra el dirigido sirve un proceso: no se gana detectándolo mejor, se gana haciendo que detectarlo deje de ser necesario para no perder el dinero.
Cómo se arma un ataque dirigido
Casi siempre hay una fase previa de lectura. A veces empieza con una cuenta de correo comprometida —la de un proveedor, un contador, un cliente— a la que alguien entró con una contraseña reutilizada. Desde ahí no hace nada ruidoso: lee. Ve cómo se escriben entre ustedes, quién aprueba qué, en qué fechas se pagan las facturas, qué firma usa cada uno al final del mensaje.
Otras veces no hace falta entrar a ninguna cuenta. La información de quién es el gerente, quién maneja la tesorería y quién es proveedor habitual está pública en LinkedIn, en la página web, en el registro de proveedores o en una factura electrónica que circuló por varios correos. Con eso se construye un mensaje creíble.
El mensaje final suele tener tres rasgos: llega de alguien conocido, pide algo que entra dentro de lo normal del trabajo y añade una razón para no verificar —"estoy en una reunión", "el proveedor necesita confirmación hoy", "es confidencial hasta que se firme". Esa última parte es la verdadera carga del ataque. No busca engañar tu criterio, busca saltarse el paso en que lo usarías.
Las cuatro formas que más vemos
1. Cambio de datos bancarios del proveedor. Es la más costosa y la más frecuente. Llega sobre una factura legítima, muchas veces en el mismo hilo de correo, informando una cuenta nueva. El pago sale correcto desde el punto de vista contable; solo cambió el destinatario.
2. Suplantación de la gerencia. Un mensaje breve del
dueño o del gerente a quien maneja los pagos, pidiendo una
transferencia urgente, la compra de bonos o el envío de datos de
nómina. Viene de un dominio parecido al real (una letra cambiada, un
.co por un .com) o de una cuenta gratuita
con el nombre bien escrito en el remitente.
3. El portal de inicio de sesión falso. Un aviso de "documento compartido" o "tu buzón está lleno" que lleva a una página idéntica a la de tu correo corporativo. El objetivo no es el dinero todavía: es la contraseña, para empezar la fase de lectura del punto anterior en tu propia cuenta.
4. El mensaje por WhatsApp del "nuevo número". Mismo guion, otro canal. Funciona porque en WhatsApp no hay remitente verificable y porque la foto de perfil basta para dar confianza.
Si tu única defensa contra el fraude de pagos es que alguien note algo raro en un correo, tu defensa depende del día que esa persona esté teniendo.
Por qué el filtro de correo no alcanza
Un filtro decide con señales técnicas: reputación del servidor, enlaces conocidos, archivos adjuntos, patrones de correo masivo. Un ataque dirigido no tiene casi ninguna de esas señales. Si viene de la cuenta real de tu proveedor —comprometida pero real—, pasa todas las validaciones porque es legítima a nivel de protocolo. No hay enlace malicioso, no hay adjunto, no hay envío masivo. Hay un párrafo y un número de cuenta.
Eso no quiere decir que la parte técnica no importe. Importa, y hay
tres configuraciones que conviene revisar en el dominio: SPF, DKIM y
DMARC. Son registros que le dicen al mundo qué servidores pueden
enviar correo en nombre de tu dominio y qué hacer con los que no.
Bien puestos, impiden que alguien escriba desde
tunegocio.com sin ser tú. Lo que no impiden es que
escriba desde tunegoc1o.com, que es lo que suele pasar.
Los controles que sí detienen el fraude
Verificación por fuera del canal. La regla es corta y no admite excepciones: cualquier instrucción de pagar, de cambiar una cuenta bancaria o de enviar datos sensibles se confirma por un canal distinto al que llegó, con un número de teléfono que ya tenías guardado —nunca el que viene en el correo. Si llegó por correo, se confirma por llamada. Si llegó por WhatsApp, se confirma por correo o llamando al fijo.
El cambio de datos bancarios como procedimiento. No es un dato que se actualiza al recibir un aviso: es un trámite. Con confirmación telefónica a un contacto conocido del proveedor, con registro de quién autorizó el cambio y, cuando el monto lo amerita, con una primera transferencia pequeña de prueba antes del pago completo.
Doble aprobación por encima de un monto. Define una cifra a partir de la cual ningún pago sale con una sola firma. Dos personas distintas, en dos dispositivos distintos. Es el control que más fraudes evita por unidad de esfuerzo, porque el atacante tendría que engañar a dos personas a la vez.
Segundo factor resistente al phishing en el correo. El correo corporativo es la llave de todo lo demás. Una passkey o una llave física impide que una contraseña robada en un portal falso sirva para entrar, porque la credencial está atada al dominio real. Es el único control de esta lista que corta la fase de lectura antes de que empiece.
Revisión de reglas de buzón. Cuando alguien entra a una cuenta, lo primero que suele hacer es crear una regla que mueva o reenvíe ciertos correos sin que el dueño los vea. Revisar las reglas y los reenvíos automáticos de las cuentas del equipo toma diez minutos y es una de las pocas formas de detectar un acceso que ya ocurrió.
Si ya pasó: las primeras dos horas
El orden importa más que la velocidad. Primero, llamar al banco para intentar el bloqueo o la reversión —en transferencias nacionales hay una ventana corta y real. Segundo, cambiar la contraseña de la cuenta involucrada y cerrar todas las sesiones activas, no solo la actual. Tercero, revisar reglas de reenvío y accesos recientes para saber si la cuenta sigue siendo leída. Cuarto, avisar al proveedor o cliente del otro lado del hilo, porque si la cuenta comprometida es la suya, el siguiente pago de otra empresa ya está en camino. Y quinto, conservar los correos originales completos, con encabezados, antes de borrar nada: es la evidencia para el banco y para la denuncia.
Entrenar al equipo sin sembrar miedo
Las capacitaciones que funcionan no enseñan a desconfiar de todo, enseñan a reconocer un patrón: urgencia, dinero y una razón para no verificar. Y dejan claro algo que suele faltar —que quien levante una falsa alarma no queda mal. En los negocios donde preguntar cuesta prestigio, nadie pregunta, y ahí el fraude siempre pasa.
El siguiente paso
Si quieres medir cómo estás hoy, haz este ejercicio: escribe quién puede autorizar una transferencia en tu negocio, con qué monto máximo y qué tendría que verificar antes. Si la respuesta no está escrita en ninguna parte, el control no existe —existe la costumbre, que es distinto.
Acompañar ese ordenamiento es parte de lo que trabajamos en ciberseguridad: detección de phishing, autenticación y contraseñas, y evaluación de plataformas, revisados sobre tus cuentas y tus procesos reales. No vendemos miedo ni software: te mostramos cómo está tu configuración hoy, qué cambiaríamos primero y por qué. Entiende antes de invertir también aplica a la seguridad.