Resumen rápido: el phishing es el engaño más utilizado contra empresas: un correo, SMS o mensaje que suplanta a alguien de confianza para robar contraseñas, dinero o instalar malware. Fíjate en el remitente real, en la urgencia, en los enlaces y en las peticiones de pago o de credenciales. Ante la duda, verifica por otro canal antes de hacer clic.

Según el balance de INCIBE, el phishing fue el tipo de fraude más frecuente en 2025, con más de 25.000 casos gestionados, un 19 % más que el año anterior. Y con la IA generativa los correos fraudulentos ya no tienen faltas de ortografía: son más creíbles que nunca.

12 señales para detectar un correo de phishing

1. El remitente no coincide. El nombre dice «Banco Santander», pero la dirección es soporte@santander-verificacion.info. Mira siempre la dirección completa.
2. Dominios casi idénticos. rnicrosoft.com en lugar de microsoft.com, o el dominio de tu proveedor con una letra cambiada.
3. Urgencia o amenaza. «Tu cuenta se bloqueará en 24 horas», «último aviso», «acción requerida».
4. Enlaces que no llevan a donde dicen. Pasa el ratón por encima (sin hacer clic) y mira la URL real.
5. Petición de credenciales o códigos. Ninguna entidad seria te pide tu contraseña o el código de verificación por correo.
6. Cambio de cuenta bancaria. «Hemos cambiado de banco, a partir de ahora paga a este IBAN». Es el fraude del CEO o del proveedor, y cuesta miles de euros a las empresas.
7. Adjuntos inesperados. Facturas, albaranes o «documentos compartidos» que no esperabas, sobre todo .zip, .html, .iso o documentos que piden «habilitar contenido».
8. Saludo genérico o, al contrario, demasiados detalles obtenidos de redes sociales para ganarse tu confianza.
9. Peticiones fuera de lo normal de un directivo: comprar tarjetas regalo, hacer una transferencia confidencial, «no se lo digas a nadie».
10. Páginas de acceso falsas que imitan a Microsoft 365 o Google para robar tu contraseña.
11. Códigos QR en correos o PDF que llevan a webs fraudulentas (quishing).
12. Un «tono» que no es el habitual de esa persona o empresa.

No solo por correo: smishing, vishing y deepfakes

• Smishing: SMS que suplantan a bancos, paquetería o la Agencia Tributaria.
• Vishing: llamadas de supuestos técnicos o del banco que piden acceso remoto o códigos.
• Deepfakes de voz y vídeo: la IA permite imitar la voz de un directivo para ordenar una transferencia. Establece una palabra clave o una verificación por otro canal para pagos urgentes.

He hecho clic en un enlace de phishing: ¿qué hago?

1. Si introdujiste tu contraseña: cámbiala de inmediato desde un dispositivo seguro y en todas las cuentas donde la reutilices.
2. Activa la autenticación multifactor si no la tenías.
3. Si descargaste un archivo: desconecta el equipo de la red y avisa al responsable técnico.
4. Si diste datos bancarios: llama a tu banco para bloquear tarjetas y operaciones.
5. Avisa a tu equipo para que nadie más caiga, y reporta el caso a INCIBE (teléfono 017).

Cómo proteger a tu empresa del phishing

• Autenticación multifactor en todas las cuentas, empezando por el correo.
• Configuración SPF, DKIM y DMARC en tu dominio para que nadie pueda enviar correos haciéndose pasar por ti.
• Filtros de correo avanzados que analicen enlaces y adjuntos.
• Formación y simulaciones de phishing periódicas: el equipo formado es la mejor defensa.
• Procedimiento de doble verificación para cambios de cuenta bancaria y pagos urgentes.
• Un canal sencillo para reportar correos sospechosos sin miedo a «molestar».

Preguntas frecuentes sobre phishing

¿Qué es el phishing?

Es una técnica de engaño en la que un atacante suplanta a una persona o entidad de confianza, normalmente por correo, SMS o teléfono, para conseguir contraseñas, datos bancarios o instalar malware.

¿Qué hago si he caído en un phishing?

Cambia de inmediato las contraseñas afectadas, activa la autenticación multifactor, avisa a tu banco si diste datos bancarios, informa a tu responsable técnico y reporta el caso a INCIBE en el 017.

¿Cómo evito que suplanten el correo de mi empresa?

Configurando correctamente SPF, DKIM y DMARC en tu dominio. DMARC con política de rechazo impide que otros envíen correos en tu nombre.

¿La formación de empleados sirve de algo?

Sí. Las simulaciones periódicas reducen de forma notable el número de clics en correos fraudulentos y aumentan los reportes de intentos de ataque.

Más información sobre nuestros servicios de ciberseguridad para empresas y la guía de autenticación de dos factores.