2.1El phishing por correo electrónico
Lo esencial en 30 segundos
- El nombre mostrado no prueba nada : solo el dominio completo del remitente es fiable — se lee el dominio, no el nombre.
- Pasar el cursor antes de hacer clic : la URL real se revela al pasar el cursor — 30 segundos de inspección neutralizan el vector n.º 1.
- Nunca conectarse desde un enlace recibido : escriba usted mismo la dirección oficial o pase por sus favoritos — el enlace recibido nunca sirve de puerta de entrada.
Mini-caso seguido — Karim recibe un falso correo de su banco en Argel
Karim, empleado de oficina en Argel, abre un correo alarmante firmado con el nombre de su banco : « actividad sospechosa, confirme su identidad haciendo clic aquí ». Con prisa, está a punto de hacer clic. Se lo piensa y aplica la inspección en 5 puntos : el dominio completo del remitente no tiene nada que ver con el banco, el enlace al pasar el cursor lleva a otro sitio, y el mensaje juega con la urgencia. No hace clic, se conecta desde sus favoritos (nada anormal) y reporta el mensaje al equipo de TI. Este mismo Karim vuelve en 2.2, 2.3, 2.4 y 2.5.
Modelo pedagógico simplificado : este mensaje falso ilustra las señales que hay que detectar, no un ataque real. Este mismo caso vuelve en el curso, el esquema, el guion y el reto 48h — y continúa en 2.2, 2.3, 2.4 y 2.5.
1. La amenaza n.º 1 en volumen
El phishing (suplantación por correo) sigue siendo la amenaza n.º 1 en volumen : un correo que imita al banco, al operador, a RR. HH. o al jefe, y pide hacer clic, rellenar un formulario o validar una transferencia. Karim lo comprobó : el mensaje se parecía muchísimo al de su banco. El spear phishing (selectivo, personalizado con el nombre, los proyectos, los hábitos) es mucho más difícil de detectar que el spam masivo.
2. Las señales de alerta
Qué inspeccionar : la dirección completa del remitente (el nombre mostrado no prueba nada), la URL real de los enlaces (pasar el cursor sin hacer clic), la sensación de urgencia, la petición de credenciales o de pago, y la coherencia del contexto (¿se esperaba este mensaje?). Cuidado con los dominios gemelos (una letra cambiada que engaña al ojo con prisa) y las páginas de captura (falsas páginas de inicio de sesión donde uno « entrega » su contraseña).
3. La regla de oro
Nunca conectarse desde un enlace recibido : Karim escribe él mismo la dirección oficial o pasa por sus favoritos. Lo que llega al buzón ha superado precisamente los filtros : la inspección personal es la última línea de defensa. ¿Hizo clic sin escribir nada? No escriba nada, cierre, repórtelo al equipo de TI y vigile la cuenta ; si se escribieron credenciales, cambie la contraseña inmediatamente y repórtelo (ver 5.1).
🔎 Ejemplo concreto — 🔎 Ejemplo concreto — La inspección en 5 puntos
La lista de comprobación de Karim ante el falso correo de su banco (modelo pedagógico) :
1) Dirección COMPLETA del remitente (no el nombre mostrado).
2) Pasar el cursor sobre cada enlace sin hacer clic (¿URL real?).
3) ¿Urgencia/miedo/ganancia? 4) ¿Petición de credenciales/pago?
5) ¿Contexto coherente (esperaba este mensaje)?
→ Karim no hace clic, verifica desde sus favoritos, lo reporta al equipo de TI.Lectura: 30 segundos que neutralizan el vector n.º 1.
Lección: conectarse desde sus favoritos, nunca desde el enlace recibido.
Vocabulario de la sección
- Phishing (suplantación)
- Correo fraudulento que imita a un tercero de confianza (banco, repartidor, colega, servicio público) para robar credenciales o instalar un programa malicioso.
Ejemplo sencillo: Karim recibe un falso correo de su banco pidiéndole « confirmar su identidad ».
Lo que no es: un correo esperado y coherente de un colega conocido, sin petición extraña.
Reflejo: urgencia + petición de credenciales o de pago = phishing hasta prueba en contrario.
- Spear phishing
- Phishing selectivo y personalizado (nombre, proyectos, hábitos de la víctima), mucho más difícil de detectar que el spam masivo.
Ejemplo sencillo: Un correo que cita el verdadero proyecto de Karim para adormecer su desconfianza.
Lo que no es: un spam genérico enviado en masa con faltas evidentes.
Reflejo: cuanto más personalizado, más hay que verificar el dominio y el contexto.
- Dirección de remitente suplantada
- El nombre mostrado de un correo es libre y no prueba nada : solo el dominio completo de la dirección es fiable.
Ejemplo sencillo: « Su Banco » mostrado puede ocultar una dirección sin relación con el banco.
Lo que no es: el bonito logotipo o la firma oficial al pie del mensaje.
Reflejo: mostrar y leer siempre la dirección completa, no el nombre.
- Dominio gemelo
- Dirección casi idéntica a la oficial, con una letra de diferencia, que engaña al ojo con prisa.
Ejemplo sencillo: Un dominio parecido al de la hacienda o de una marca conocida, con un carácter modificado.
Lo que no es: el dominio oficial exacto, verificado carácter por carácter.
Reflejo: releer el dominio despacio, sobre todo tras un enlace recibido.
- Página de captura
- Falsa página de inicio de sesión, copia perfecta de la verdadera, donde la víctima « entrega » su contraseña al atacante.
Ejemplo sencillo: Karim habría escrito sus claves en una copia del sitio de su banco.
Lo que no es: la verdadera página alcanzada desde sus favoritos o la dirección escrita.
Reflejo: nunca escribir credenciales desde un enlace recibido.
En la práctica — En la práctica — La inspección en 5 puntos de un correo sospechoso
- Tome un correo comercial recibido recientemente e inspeccione la dirección COMPLETA del remitente (no el nombre mostrado) — ¿el dominio es exactamente el correcto?
- Pase el cursor sobre cada enlace SIN hacer clic : ¿la URL de destino corresponde al sitio oficial?
- ¿El mensaje crea urgencia, miedo o ganancia inesperada? ¿Le piden credenciales, pago o datos? ¿El contexto es coherente (esperaba este mensaje)?
- Entrénese : el test antiphishing en línea de Google (« phishing quiz ») es un excelente ejercicio.
Guion listo para decir — reportar un correo sospechoso al equipo de TI (30 s)
« Buenos días, acabo de recibir un correo que me parece sospechoso : el remitente muestra el nombre de [banco / servicio], pero el dominio completo no corresponde, y pide hacer clic en un enlace urgente. No he hecho clic ni he escrito nada. Se lo reenvío para verificación — ¿debo usar también el botón Reportar del correo? »
Decir (o escribir) sin hacer clic ni escribir nada ; transmitir el mensaje original como adjunto si es posible.
Modelo copiar-pegar — lista de inspección 5 puntos
CORREO SOSPECHOSO DEL : _______________
1) REMITENTE (dirección completa) : _______________ / ¿Dominio exacto? SÍ / NO
2) ENLACES (URL al pasar el cursor, sin hacer clic) : _______________ / ¿Sitio oficial? SÍ / NO
3) EMOCIÓN (urgencia / miedo / ganancia) : _______________
4) PETICIÓN (credenciales / pago / datos) : _______________
5) CONTEXTO (¿mensaje esperado y coherente?) : _______________
DECISIÓN : no hacer clic → verificar desde favoritos → reportar al equipo de TITPE / presupuesto pequeño
Sin herramienta avanzada : la inspección en 5 puntos en cada correo sensible basta — el reflejo no cuesta nada.
Pyme Argel
Karim verifica desde sus favoritos incluso en el móvil, y avisa a su referente informático ante la menor duda.
Gran cuenta / mensajería filtrada
Incluso con filtros potentes, lo que llega al buzón los ha superado : la inspección sigue siendo obligatoria.
Teletrabajo / BYOD
En el teléfono, la dirección completa y la URL se verifican con pulsación larga : nunca hacer clic con precipitación.
✓ Buenas prácticas
- Verifique el dominio completo, no el nombre mostrado.
- Pase el cursor sobre los enlaces antes de cualquier clic para ver la URL real.
- Conéctese desde sus favoritos, nunca desde un enlace recibido.
✗ Errores frecuentes
- Confiar en el nombre de remitente mostrado.
- Hacer clic en un enlace « banco » y luego escribir sus credenciales en la página.
- Creer que los filtros antispam lo bloquean todo (no el spear phishing).
Puntos clave
- El nombre de remitente mostrado no prueba NADA : verifique el dominio completo.
- Pasar el cursor sobre los enlaces antes de cualquier clic : la URL real se revela al pasar el cursor.
- Urgencia + petición de credenciales/pago = phishing hasta prueba en contrario.
- Nunca conectarse desde un enlace recibido : escriba usted mismo la dirección oficial o pase por sus favoritos.
Reto 48h — aplica mañana
Tome 3 correos recientes con enlace y pase cada uno por la inspección en 5 puntos con el modelo anterior (dominio, URL al pasar el cursor, emoción, petición, contexto). Anote el tiempo medio y reporte todo mensaje dudoso a su referente.
- Puedo citar los 5 puntos de inspección sin dudar.
- Sé explicar por qué el nombre mostrado no prueba nada.
- He inspeccionado 3 correos reales y reportado 1 posible duda.
Preguntas frecuentes
Hice clic en un enlace de phishing pero no escribí nada : ¿qué hacer?
No escriba nada, cierre la página, repórtelo al equipo de TI y vigile la cuenta afectada. Solo el clic rara vez basta para un compromiso — la escritura de credenciales, sí : en ese caso, contraseña cambiada inmediatamente + reporte (ver 5.1).
¿Los filtros antispam no lo bloquean ya todo?
Bloquean lo esencial del volumen, no los ataques cuidados ni el spear phishing. Lo que llega a su buzón ha superado precisamente los filtros : su inspección es la última línea de defensa.
Karim lee « Su Banco » como remitente. ¿Qué debe verificar en prioridad?