Después de esta formación, reconocerá un intento de fraude en el correo electrónico, mensaje de texto, mensajería instantánea y conversación telefónica y, si algo sale mal, sabrá qué hacer en los primeros minutos.
El atacante no tiene que crear un mensaje perfecto. Basta un momento de prisa, rutina o curiosidad. Tu trabajo no es convertirte en detective. Debes interrumpir la máquina y comprobar la solicitud a través de un canal seguro.
El phishing no es una prueba de ortografía. Un buen mensaje de estafa puede parecer libre de errores, conocer el contexto de la empresa y provenir de una cuenta real comprometida.
“Hasta las 14 horas”, “se cerrará la cuenta”, “el presidente está esperando”.
El jefe, banco, recursos humanos, administrador o contratista conocido.
Miedo, oportunidad, curiosidad, ayudar a alguien o querer evitar problemas.
“¿Este mensaje está tratando de hacerme actuar más rápido de lo que normalmente tomaría esta decisión?”
La letra "l" en lugar de "i", la nota "support" o el nombre real delante de un dominio extranjero deben resultar familiares.
En la dirección cuenta la parte inmediatamente anterior al final, p. ejemplo.com. El candado significa cifrado, no la integridad del sitio.
El número de factura, el nombre del jefe y el pie de página de la empresa pueden provenir de correspondencia anterior.
En lugar de un enlace, abra una aplicación familiar, un marcador o una dirección ingresada manualmente.
La forma breve oculta los detalles. Un número desconocido puede utilizar el nombre de un supervisor y una fotografía de Internet.
El número que aparece en la pantalla puede ser falso. Un departamento de TI real no necesita su contraseña ni su código MFA.
QR es un enlace que no se puede ver hasta que se escanea. El cartel de la oficina también se puede cambiar.
Es posible que la cuenta de tu amigo haya sido asumida. Juzgue una solicitud inusual por la acción a la que conduce, no sólo por la persona en la pantalla.
El mensaje promete un documento → un archivo adjunto o enlace HTML abre una página de inicio de sesión → la página captura la contraseña → el estafador solicita la aprobación de MFA o utiliza una sesión secuestrada.
.zip, .7z, .js, .exe, .iso y las extensiones dobles requieren cuidados especiales. No intentes "comprobarlos" tú mismo.
Puede parecer un formulario o una pantalla de inicio de sesión. El hecho de que un archivo se abra en un navegador no significa que sea seguro.
Un documento que solicite "inclusión de contenido" debe detener el proceso y pasar a revisión.
Negar la solicitud. No apruebes sólo para estar seguro. Informar una serie de notificaciones como posible vulneración de contraseña.
En Business Email Compromise, el estafador se hace pasar por un contratista o una persona que toma decisiones. La finalidad es transferir, cambiar de cuenta, divulgar datos o eludir el procedimiento.
Llama al número previamente guardado en el sistema o contrato. No utilice el número proporcionado en el mensaje sospechoso.
No pases por alto la aceptación, los límites o la regla de los dos ojos. La presión laboral no es una excepción.
En un caso revelado por el Departamento de Justicia de Estados Unidos, correos electrónicos, facturas y documentos falsos llevaron a dos grandes empresas tecnológicas a realizar transferencias superiores a los 100 millones de dólares. No se trataba de un "usuario ingenuo", sino de una imitación convincente de un proceso empresarial normal.
CERT Polska describió una campaña de 2025 en la que el correo electrónico contenía un archivo HTML. Cuando se abrió, mostró una pantalla de inicio de sesión de correo electrónico falsa. Lección: un tema oficial y una pantalla familiar no confirman la autenticidad.
En otras campañas observadas por CERT Polska, temas simples de oficina condujeron a archivos comprimidos y maliciosos. Lección: un nombre de documento de rutina puede ser más eficaz que una promesa sensacional.
En 2024, las autoridades estadounidenses describieron una empresa que envió aproximadamente 5,4 millones de dólares tras un mensaje con una dirección confusamente similar a la dirección del contratista. Los informes rápidos permitieron a las autoridades rastrear y asegurar los fondos. Lección: La verificación independiente ahorra dinero y la presentación de informes rápidamente tiene un valor real.
Ninguno de estos ataques requirió tecnología mágica. Todos realizaron una acción familiar: iniciar sesión, abrir un documento o realizar un pago. Por lo tanto, su mejor defensa es una forma segura de hacer algo, no una lista de "palabras sospechosas".
Cierra la página, no ingreses nada y reporta el enlace inmediatamente. El clic en sí no significa fracaso: el silencio dificulta la reacción.
Póngase en contacto con IT/SOC inmediatamente a través de un canal conocido. Cambiar su contraseña a través de una ruta segura según las indicaciones de la empresa; no aprobar más AMF.
Deja de trabajar y llama a soporte. No elimine rastros ni intente "limpiar" la computadora usted mismo. Desconectar la red de acuerdo con el procedimiento de la empresa.
Llame a su gerente, finanzas, banco y equipo de seguridad inmediatamente de acuerdo con el plan de incidentes. Los minutos pueden marcar la diferencia entre recuperar sus fondos.
Para aprobar: al menos 10/12 respuestas y las cuatro preguntas críticas. Después de comprobarlo, verá explicaciones.
El participante completó la capacitación y demostró conocimiento de los principios básicos para reconocer, verificar y reportar intentos de phishing.
Esto es una confirmación de la competencia demostrada en el entrenamiento, no una garantía de resistencia a cualquier ataque futuro.