Trabajador cuidado con el phishing: guía completa para empresas y empleados

PCHardwarePro » Windows » Trabajador cuidado con el phishing: guía completa para empresas y empleados

En muchas empresas se prepara ya la celebración del Día Internacional de los Trabajadores, pero mientras se organizan actos y reconocimientos, los ciberdelincuentes siguen a lo suyo: buscar el fallo humano para colar ataques de phishing. Hoy casi cualquier profesional trabaja rodeado de pantallas, correos, apps en la nube y chats corporativos, y todo ese ecosistema digital se ha convertido en un nuevo “puesto de trabajo” que también hay que proteger.

Lejos de ser un problema solo técnico, el phishing aprovecha nuestras prisas, rutinas y despistes cotidianos. Un correo que parece de Recursos Humanos, un mensaje urgente del banco, una oferta de empleo demasiado buena para ser verdad… y, en apenas unos clics, los atacantes pueden robar credenciales, desviar nóminas o bloquear sistemas críticos. Entender cómo funcionan estas estafas, qué datos buscan y de qué manera podemos blindarnos se ha vuelto una parte esencial del trabajo diario, tanto para las empresas como para cada trabajador.

El phishing en cifras: por qué es hoy una amenaza tan seria

Los datos de organismos como INCIBE dejan claro que el phishing ya no es un problema marginal. En España, se registraron en un solo año más de 122.000 incidentes de ciberseguridad, con el fraude online como protagonista. De todos ellos, alrededor de cuatro de cada diez estaban relacionados con intentos de fraude, y el tipo de ataque más repetido fue precisamente el phishing, con más de 25.000 casos identificados.

Esta modalidad de ataque se basa, sobre todo, en la suplantación de identidad mediante correos o mensajes falsos que imitan comunicaciones legítimas: bancos, proveedores, departamentos internos, o incluso compañeros de trabajo. No hace falta que el atacante use técnicas muy avanzadas; a menudo, basta con un email creíble y una historia bien construida para que el trabajador caiga en la trampa.

En el ámbito corporativo, las cifras internacionales también son preocupantes: se estima que alrededor del 80 % de los incidentes de seguridad reportados están vinculados al phishing. Aproximadamente un 57 % de las organizaciones reconoce sufrir este tipo de ataques a diario o semanalmente, y alrededor del 60 % de las brechas de seguridad tienen su origen directo en errores humanos o maniobras de ingeniería social.

Todo ello se traduce en un impacto económico notable. Estudios recientes calculan que las empresas españolas han llegado a perder cerca de un 8 % de sus ingresos anuales por culpa de ciberataques, buena parte de ellos iniciados a través de correos fraudulentos o páginas web falsas. A esto se suman las sanciones regulatorias, el daño reputacional y los costes derivados de la recuperación de sistemas.

Cómo se aprovechan los ciberdelincuentes de los trabajadores

Los criminales saben que la tecnología de seguridad mejora cada año, así que han afinado otro enfoque: atacar directamente a las personas. El objetivo es conseguir que sea el propio trabajador quien entregue la información o abra la puerta a un malware sin darse cuenta.

Un caso real recogido por INCIBE ilustra bien esta situación. Los atacantes enviaron un correo que parecía proceder de un empleado de la compañía, pidiendo al departamento de Recursos Humanos que cambiara el número de cuenta de la nómina. El tono era profesional, el remitente parecía correcto y el mensaje no levantaba sospechas. El resultado fue que el salario de ese trabajador terminó ingresándose en una cuenta controlada por los delincuentes.

En otras ocasiones, el señuelo se presenta como una evaluación de desempeño obligatoria o un formulario interno. El correo llega aparentando ser de RR. HH., con logotipos oficiales y un lenguaje formal. Se pide rellenar una autoevaluación o completar datos “para actualizar el expediente”. Las primeras preguntas suelen ser inocuas, pero hacia el final se solicitan credenciales de acceso, contraseñas o datos personales que no deberían pedirse jamás por correo.

Los atacantes también recurren a la creación de webs que imitan portales corporativos o bancarios. El trabajador hace clic en un enlace del correo, llega a una página que parece idéntica a la real, introduce sus datos de inicio de sesión… y estos quedan almacenados en los servidores del atacante, quien después los utiliza para entrar en sistemas internos, robar información o lanzar nuevos ataques desde cuentas legítimas.

El elemento común en todos estos escenarios es la explotación de la confianza y los automatismos del día a día. En una jornada con decenas de correos, notificaciones y tareas pendientes, el empleado puede no dedicar tiempo a revisar con detalle el remitente, la URL o el contenido del mensaje, y el ciberdelincuente se aprovecha justo de ese momento de descuido.

Principales formas de phishing dirigidas a empresas y empleados

Bajo el paraguas del phishing encontramos múltiples variantes que comparten una misma idea: hacerse pasar por alguien de confianza para engañar al usuario. En el entorno empresarial, algunas de las modalidades más habituales son las siguientes:

Phishing por correo electrónico. Es el formato clásico. El atacante envía un mail que simula ser de un banco, un proveedor, un servicio de la nube o un departamento interno de la compañía. El mensaje suele solicitar que se actualicen datos, que se descargue un archivo o que se acceda a una web para “ver una factura”, “aceptar una política” o “resolver un problema de seguridad”.

Smishing. En lugar de correo, se usan SMS o aplicaciones de mensajería (WhatsApp, por ejemplo). El tono es similar: mensajes que parecen proceder de empresas de mensajería, entidades financieras o incluso del propio departamento de RR. HH., pidiendo que se pulse un enlace o se responda con determinada información.

Vishing. La estafa se articula por teléfono. Un supuesto “técnico del banco”, un “compañero de sistemas” o un “responsable de soporte” llama para resolver un problema urgente, solicita códigos de verificación, datos de tarjeta o credenciales corporativas. Los avances en inteligencia artificial han hecho más creíbles estas llamadas, con voces sintéticas que imitan a personas reales.

Phishing web o HTTPS. El ciberdelincuente crea un sitio web falso que copia el diseño de una tienda online, un portal de empresa o una intranet. El usuario llega a esa página a través de un enlace malicioso en un correo o mensaje y, al introducir su usuario y contraseña, entrega directamente las claves a los atacantes.

Phishing de identidad emergente. Se aprovechan ventanas emergentes, notificaciones o supuestas alertas de seguridad. El usuario ve un aviso que indica que se ha detectado un virus o un problema crítico en el equipo y se le insta a instalar un programa “para solucionarlo”. Ese programa suele ser, en realidad, un malware o un troyano preparado para robar datos.

Redes wi‑fi falsas. En cafeterías, aeropuertos o espacios públicos, el atacante puede montar una red wi‑fi falsa. El trabajador se conecta, pensando que es un punto de acceso oficial, y a partir de ahí el criminal puede espiar el tráfico y capturar credenciales o inyectar contenido malicioso.

Phishing en redes sociales (Angler). Se crean perfiles falsos que fingen ser el servicio de atención al cliente de una empresa, un proveedor o incluso una institución. Mediante mensajes privados, se ofrecen “ayudas” o “soporte”, y se piden datos de acceso o se envían enlaces que conducen a páginas maliciosas.

Ingeniería social pura y dura. Más allá de la tecnología, muchos ataques se basan directamente en la manipulación psicológica: ganarse la confianza de un trabajador, fingir urgencias económicas, aprovechar la buena fe para que comparta información, instale programas o haga transferencias. En estos casos, el canal puede ser cualquiera: teléfono, correo, redes sociales o incluso conversaciones presenciales.

Por qué el trabajador es la puerta de entrada favorita del phishing

Durante años se ha repetido que el eslabón más débil de la seguridad es el usuario. Hoy, esa frase se matiza: el empleado puede ser el punto más vulnerable o la mejor primera línea de defensa, según el nivel de formación, las herramientas de que disponga y la cultura interna de la organización.

En la práctica, la mayoría de las campañas de phishing no arrancan con sofisticadas vulnerabilidades técnicas, sino con acciones aparentemente rutinarias. Un clic mal dado, un formulario rellenado sin sospechas, un fichero adjunto abierto con prisas… Basta con que uno de esos pequeños gestos se haga sin la debida atención para desencadenar un incidente serio.

Un aspecto clave es la presión del tiempo y la carga de trabajo. Correo que llega marcado como urgente, solicitud de transferencia que “debe hacerse hoy”, amenaza de bloqueo de cuenta si no se actúa de inmediato… Toda esa urgencia está diseñada para que el trabajador no se detenga a pensar ni ver señales de alarma obvias.

También influyen las dinámicas internas de la empresa. Si no hay protocolos claros para validar solicitudes sensibles, si la comunicación entre departamentos es caótica o si no existe hábito de reportar correos sospechosos al equipo de TI, el atacante lo tiene más fácil. Al final, muchas organizaciones disponen de tecnología avanzada, pero descuidan la parte humana, que es justo donde apuntan la mayoría de estos fraudes.

Desde una perspectiva económica y de gestión del riesgo, los ataques que logran engañar a empleados pueden desembocar en robos directos de dinero, secuestro de datos mediante ransomware, fugas masivas de información confidencial o paradas completas de la actividad. Por eso, cada vez más compañías asumen que la ciberseguridad forma parte del trabajo del día a día, como cualquier otra tarea del puesto.

Indicadores clave para detectar correos y mensajes de phishing

Para reducir el riesgo, es fundamental que los trabajadores incorporen una especie de “sexto sentido digital”. Algunos elementos del mensaje pueden servir como señales de alerta claras:

• Remitente sospechoso: direcciones de correo que no coinciden exactamente con las oficiales, dominios extraños, letras cambiadas o añadidas (por ejemplo, usar un dominio muy parecido al de la empresa, pero con pequeñas variaciones).
• Urgencia exagerada: plazos muy cortos, advertencias de consecuencias graves si no se actúa de inmediato, mensajes que apelan al miedo o a la presión.
• Petición de datos sensibles: contraseñas, códigos de verificación, números de tarjeta, datos bancarios o información personal que normalmente no se solicita por correo.
• Enlaces y adjuntos extraños: URLs que, al pasar el ratón por encima, llevan a direcciones raras o no relacionadas con la empresa, archivos comprimidos o ejecutables, ficheros que no se esperan de ese remitente.
• Errores de redacción o formato: faltas de ortografía, frases incoherentes, logotipos pixelados o firmas poco habituales pueden indicar que se trata de una copia fraudulenta.

Además, conviene que el trabajador adopte una regla básica: desconfiar por defecto de cualquier mensaje inesperado que pida acciones delicadas. Ante la duda, es mejor confirmar por un canal alternativo (por ejemplo, llamar a RR. HH. o al supuesto remitente) antes de proporcionar cualquier información o hacer clic.

Estrategias técnicas para reducir el impacto del phishing en la empresa

La protección frente al phishing no puede recaer solo en el buen hacer del trabajador. La empresa debe desplegar un conjunto de medidas técnicas que, en conjunto, filtren, detecten y mitiguen los intentos de fraude antes de que lleguen a la bandeja de entrada o causen un daño mayor.

Una de las primeras líneas de defensa son los cortafuegos, filtros antispam y soluciones antimalware. Estas herramientas ayudan a bloquear buena parte de los correos maliciosos y a detectar archivos que contengan código dañino. Aunque no son infalibles, reducen de forma significativa el volumen de ataques que acaban viendo los empleados.

Igualmente importante es mantener todos los sistemas, desde los servidores hasta los portátiles de los trabajadores, debidamente actualizados y parcheados. Los ciberdelincuentes explotan vulnerabilidades conocidas en sistemas desactualizados; si la empresa aplica las actualizaciones con rapidez, cierra muchas puertas que podrían ser aprovechadas tras un clic imprudente en un phishing.

El uso de contraseñas robustas, únicas y combinadas con autenticación de doble factor (2FA) añade otra barrera. Incluso si los atacantes consiguen robar una clave mediante phishing, la segunda verificación (por ejemplo, un código en el móvil) puede impedir que accedan a la cuenta. Complementar esto con sistemas de cifrado de la información, tanto en tránsito como en reposo, hace que, aunque alguien intercepte datos, no pueda interpretarlos fácilmente.

Otra medida esencial es implementar políticas claras de copias de seguridad periódicas. Si un ataque de phishing deriva en la ejecución de un ransomware que cifra la información de la empresa, disponer de backups actualizados y almacenados en entornos aislados permite restaurar los sistemas sin ceder al chantaje económico.

Finalmente, muchas organizaciones están empezando a incorporar tecnologías avanzadas como la inteligencia artificial o la biometría para detectar patrones anómalos de comportamiento, reforzar la autenticación de usuarios y cumplir con los requisitos normativos en protección de datos. Estas soluciones permiten identificar accesos inusuales, movimientos de información fuera de lo normal o intentos de inicio de sesión desde ubicaciones sospechosas.

Formación, cultura y protocolos: la otra mitad de la ciberseguridad

La experiencia demuestra que, sin una buena cultura de seguridad, las herramientas técnicas se quedan a medias. Por eso, cada vez se insiste más en que la ciberseguridad es una responsabilidad compartida, que debe implicar tanto a la dirección como a los empleados de todos los niveles.

Una primera pieza clave son los protocolos internos claros. La empresa debería definir procesos para cualquier operación sensible: cómo se autorizan cambios de cuentas bancarias, de qué forma se solicitan datos personales, qué canales se usan para comunicar decisiones importantes, etcétera. Cuanto más definidos estén estos procedimientos, más fácil será para el trabajador detectar un mensaje que se salga de la norma.

La formación continua es otro pilar fundamental. No basta con un curso teórico una vez al año; es necesario organizar acciones prácticas y periódicas que mantengan el tema presente. Simulaciones de phishing, talleres interactivos, sesiones breves con ejemplos reales del sector o ejercicios de mesa que recorran un ataque desde el primer correo hasta la recuperación reducen muchísimo el impacto de los errores humanos.

En este contexto, empiezan a ganar peso enfoques más dinámicos como la gamificación: competiciones amistosas entre departamentos para ver quién detecta más correos sospechosos, “marcadores” que muestran el número de días sin incidentes, pequeñas recompensas o reconocimientos para las personas que reportan intentos de fraude. Estas dinámicas ayudan a que la seguridad deje de verse como una carga y pase a formar parte del orgullo de equipo.

Por último, la empresa debe velar por que su plantilla tenga acceso a formación especializada en ciberseguridad y hacking ético cuando el puesto lo requiera. Cada vez más organizaciones valoran que sus profesionales, incluso aunque no sean técnicos, entiendan bien cómo se producen los ciberataques, qué buscan los delincuentes y qué pasos seguir para prevenirlos.

Simulaciones de phishing y gestión de los “reincidentes”

Muchas compañías han incorporado campañas de phishing simulado para medir el nivel de exposición real y reforzar el aprendizaje. En este tipo de programas suele observarse un patrón: un pequeño porcentaje de empleados comete errores de forma repetida en las pruebas, mientras que la mayoría aprende tras los primeros intentos.

Estudios académicos han demostrado que, por ejemplo, alrededor de un 6 % de usuarios puede concentrar casi un 30 % de los fallos en simulaciones de phishing a lo largo de más de un año. En otros análisis se ha visto que la mayoría de las personas deja de caer en la trampa después de cuatro simulaciones acompañadas de una formación sencilla. Esto sugiere que etiquetar a alguien como “reincidente” demasiado pronto puede ser injusto y poco útil.

Un enfoque recomendado es trabajar con una especie de “regla de cuatro strikes”: no considerar a una persona como reincidente hasta que haya fallado al menos cuatro campañas de phishing en un periodo relativamente corto. Antes de llegar a ese punto, conviene intensificar la formación, proporcionar material adicional y revisar si el empleado tiene circunstancias específicas (carga de trabajo, tipo de puesto, herramientas) que puedan explicar sus errores.

Al mismo tiempo, las simulaciones deben ir acompañadas de páginas de aterrizaje educativas que expliquen por qué el correo era falso, qué pistas lo delataban (errores ortográficos, saludos genéricos, URLs raras, tono excesivamente alarmista…) y qué se debería haber hecho. Aumentar progresivamente el nivel de detalle de esta información suele ser más efectivo que recurrir de entrada a cursos largos y formales.

Con los verdaderos reincidentes, aquellos que siguen cayendo una y otra vez pese a la formación, la empresa tiene una oportunidad para analizar causas de fondo: ¿pertenecen al mismo departamento?, ¿usan herramientas similares?, ¿se enfrentan a flujos de trabajo con muchos enlaces externos? A partir de estas respuestas, se pueden adaptar procesos o tecnologías (por ejemplo, aislar redes, limitar cierto tipo de accesos o automatizar validaciones) para reducir el riesgo.

Refuerzo positivo, gamificación y formación grupal

La forma de comunicar los resultados de las campañas de phishing a la plantilla marca una gran diferencia. Centrarlo todo en sanciones o castigos suele generar miedo a reconocer errores y poca colaboración. Cada vez más expertos recomiendan combinar, o incluso priorizar, el refuerzo positivo.

Una buena práctica es reconocer públicamente a quienes reportan correos o mensajes sospechosos. Felicitaciones, pequeños premios simbólicos o menciones en comunicaciones internas ayudan a que más empleados se sientan motivados a participar. También es útil compartir estadísticas agregadas: porcentaje de la plantilla que ha denunciado intentos de phishing, número de correos bloqueados gracias a estos avisos, etcétera.

La gamificación puede plasmarse en iniciativas sencillas, como tableros que muestren cuántos días lleva la empresa sin sufrir una infección de malware o qué departamentos han alcanzado mejores resultados en las simulaciones. Algo tan básico como una pegatina, un distintivo digital o un reconocimiento en una reunión general puede cambiar la actitud hacia la seguridad.

La formación grupal también tiene un papel importante. Actividades como salas de escape online centradas en incidentes de phishing, ejercicios de mesa que simulan un ataque de principio a fin o talleres en los que se analizan casos reales de la propia organización permiten que los equipos vivan, de forma controlada, la experiencia de un ataque y aprendan qué hacer en cada fase.

En estas dinámicas, se puede trabajar de manera muy práctica: enseñar cómo identificar un correo fraudulento, qué pasos seguir al recibirlo, cómo y a quién reportarlo, qué hacer si se ha hecho clic por error, y cómo reaccionará el equipo de ciberseguridad. Cuanto más clara sea la respuesta esperada, menos margen habrá para el pánico si ocurre un incidente real.

Medidas de contención para quienes fallan repetidamente

Incluso con una formación sólida y campañas de concienciación bien diseñadas, puede haber un grupo reducido de personas que sigan cayendo en simulaciones y, potencialmente, en ataques reales. Estos casos requieren una estrategia específica que combine medidas técnicas, organizativas y, en última instancia, de recursos humanos.

En el plano técnico, una de las primeras decisiones puede ser reducir los privilegios de las cuentas de estos usuarios. Limitar el acceso a datos críticos o sistemas sensibles garantiza que, si su cuenta se ve comprometida, el impacto se mantenga lo más acotado posible. En algunos casos, puede ser conveniente también aislar su acceso mediante redes segmentadas o escritorios virtuales más controlados.

Si pese a todo continúan los fallos, las organizaciones pueden plantearse medidas más serias, que van desde la reasignación de tareas hasta la posible degradación o despido. Obviamente, estas acciones requieren la coordinación con los departamentos de RR. HH. y asesoría legal, para asegurar que las políticas se aplican de manera coherente, justa y transparente en toda la organización.

Durante todo este proceso, el papel del equipo de ciberseguridad no es actuar como “policía” interna, sino más bien como asesor que evalúa riesgos y propone soluciones. La última palabra sobre medidas disciplinarias suele recaer en otros departamentos, pero la información y las recomendaciones técnicas son fundamentales para fundamentarlas.

Fraudes de phishing en procesos de selección y ofertas de empleo

El phishing no se limita al entorno del trabajador ya contratado; también afecta a quienes están buscando empleo. Algunas compañías han detectado que su nombre y marca se utilizan en ofertas falsas publicadas en portales de empleo o en redes sociales. Los delincuentes se hacen pasar por consultores de selección y piden a los candidatos pagos por adelantado o datos extremadamente sensibles.

Estos fraudes suelen incluir correos electrónicos, llamadas o mensajes que, a primera vista, parecen legítimos. Se ofrece un puesto atractivo, se promete agilizar el proceso o se condiciona la continuidad a realizar pagos, compartir cuentas bancarias o enviar copias de documentos personales. En realidad, ni la empresa real ni sus empleados tienen nada que ver con ese proceso.

Para protegerse, cualquier candidato debería confirmar siempre que su interlocutor es un empleado o consultor autorizado. Lo más prudente es contactar directamente con una oficina oficial de la empresa en el país correspondiente, utilizando números o direcciones obtenidos de la web corporativa real, nunca de un correo sospechoso.

Además, conviene extremar la precaución con correos inesperados que incluyan enlaces o archivos adjuntos. Estos mensajes pueden intentar instalar software malicioso o robar credenciales. Si se sospecha que se ha caído en una estafa de este tipo, lo aconsejable es denunciar lo ocurrido a las autoridades y avisar a la empresa suplantada, para que pueda tomar medidas y advertir a otros posibles afectados.

En paralelo, las organizaciones deben mantener canales claros para reportar abusos de marca y, en la medida de lo posible, informar públicamente de que nunca solicitarán pagos ni datos sensibles fuera de los circuitos oficiales. Esto ayuda a reducir la eficacia de estas campañas y refuerza la confianza con candidatos y trabajadores.

Todo este panorama deja claro que trabajadores y empresas comparten la responsabilidad de cuidar cada clic, cada formulario y cada mensaje sospechoso. Con una combinación inteligente de tecnología, formación continua, protocolos claros y una cultura en la que reportar un posible phishing se vea como un gesto profesional y no como una molestia, es posible reducir drásticamente el impacto de estas amenazas y convertir al propio empleado en el mejor aliado frente a los ciberdelincuentes.