Llega un correo con el asunto “Factura electrónica N.º 4.821 – vence hoy”. El nombre del remitente dice “Facturación” y el logo se ve igual que siempre. Adentro hay un botón para ver el documento. Alguien del equipo lo abre entre dos llamadas, escribe la contraseña de la casilla y sigue con lo suyo. Dos días después, un cliente responde un correo extraño enviado desde esa misma dirección.
Estos intentos rara vez son sofisticados. Funcionan porque llegan cuando nadie tiene treinta segundos para mirar la dirección real del remitente.
Por qué tu casilla recibe estos correos
Facturar, pagar y responder avisos es la rutina diaria de una pyme. Cualquier mensaje que se parezca a eso pasa el primer filtro: parece parte del trabajo.
Tres condiciones lo facilitan. Varias personas comparten la misma casilla —ventas@, contacto@, pagos@— y nadie sabe qué mensajes esperaba el otro. El correo se revisa rápido, entre tareas o desde el celular. Y los avisos legítimos también son apurados: un proveedor real sí escribe “necesitamos tu confirmación hoy”, y el atacante copia ese tono porque funciona.
Armar un correo convincente tampoco exige mucho: el nombre de la empresa, el rubro y la firma con cargos están a la vista.
Señales para mirar antes de hacer clic
Ninguna señal por sí sola confirma que el correo sea falso. Dos o tres juntas sí son motivo para detenerse.
El remitente real, no el nombre visible
El nombre que aparece en la bandeja es texto libre: cualquiera puede escribir “Tesorería” o “Facturación”. La dirección real está al lado o se ve al abrir el mensaje. Revisa que el dominio sea exactamente el del proveedor o institución: [email protected] no es lo mismo que [email protected].
Dominios parecidos
Registran direcciones casi idénticas a la tuya o a la de tus proveedores: cambian una letra, usan “rn” por “m”, agregan una palabra o cambian la terminación.
tuempresa.cl→tuernpresa.cltuempresa.cl→tuempresa-chile.com
En la pantalla del celular la diferencia es casi invisible. Lee la dirección completa, no solo el nombre.
”Responder a” distinto del remitente
Al abrir el mensaje suele verse otra dirección en el campo “Responder a”. Si el remitente dice ser de una empresa y la respuesta va a un correo gratuito o a otro dominio, desconfía.
El enlace que no lleva donde dice
Pasa el mouse por el botón: abajo aparece la dirección real. En el celular, mantén presionado el enlace. Si el texto dice ejemplo.cl/facturas y la dirección apunta a otro dominio, no lo abras.
Urgencia, amenaza o plazo corto
“Último aviso”, “tu cuenta será suspendida”, “se bloqueará el acceso en 24 horas”. Los procesos reales casi nunca dependen de un clic dentro de un correo. Si el mensaje te apura, es señal.
Adjuntos que piden habilitar contenido
Un ZIP con una factura adentro casi nunca es necesario. Tampoco un documento que al abrirse pide “habilitar contenido” o “habilitar macros”. Habilitar macros le permite al documento ejecutar código en tu computador. Si el archivo lo pide, ciérralo y consulta antes.
Páginas que piden tu contraseña de correo
Un proveedor de facturación o un banco pueden pedirte iniciar sesión en su sitio, pero no necesitan tu contraseña de correo. Una pantalla de login con el logo de tu webmail, que aparece justo después de un enlace, es el escenario más común de robo de clave. Tampoco la entregues por teléfono.
Los encabezados: la parte que casi nadie mira
Los encabezados son los datos técnicos del mensaje: desde qué servidor salió y qué resultados dieron los controles de autenticación.
Dónde verlos. En un webmail, abre el mensaje y busca en el menú de opciones algo como “Ver original”, “Mostrar original” o “Detalles del mensaje”. En Outlook de escritorio suele estar en las propiedades del mensaje. El nombre exacto cambia según el programa, la versión y el idioma, pero la idea es la misma.
Qué leer. Busca la línea Authentication-Results y fíjate en spf=, dkim= y dmarc=:
spf: si el servidor que envió el correo está autorizado por el dominio.dkim: si el mensaje trae una firma válida de ese dominio.dmarc: si al menos uno de los dos controles anteriores pasó con un dominio que calza con el que aparece en el “De”. Si no, se aplica la política que publicó ese dominio.
La advertencia. Un pass solo dice que el correo viene del dominio que declara, no que ese dominio sea legítimo. Un atacante puede registrar tuernpresa.cl, configurar SPF, DKIM y DMARC para él y obtener pass en los tres. Y un fail es motivo para desconfiar, pero también ocurre en envíos legítimos mal configurados. Los encabezados ayudan a decidir; no reemplazan la verificación por otro canal. Si quieres entender qué controla cada registro en tu propio dominio, revisa cómo leer los reportes DMARC y por qué los correos de empresa llegan a spam.
En Chile, el CSIRT de Gobierno publica alertas y recomendaciones sobre phishing en csirt.gob.cl. Vale la pena revisarlas de vez en cuando.
La regla de oro para facturas y cambios de cuenta
Si un correo pide pagar, transferir o cambiar datos bancarios, verifica por otro canal. Siempre.
Llama a un número que ya tenías: de una cotización anterior, de la lista interna, del sitio oficial. No al que aparece en la firma del correo. Entra al sitio escribiendo tú la dirección, nunca con el enlace del mensaje.
Un cambio de datos bancarios pedido por correo, sin confirmación por otro canal, no se ejecuta. Conviene que esa regla esté escrita y que todo el equipo la conozca.
Si alguien ya hizo clic o escribió la contraseña
1. Cambia la contraseña
Entra al webmail escribiendo la dirección a mano en el navegador, no desde el correo sospechoso. Usa una clave nueva, distinta de las anteriores.
2. Cierra las sesiones abiertas
Si el sistema lo permite, busca sesiones activas o dispositivos conectados y ciérralas todas. Junto con el cambio de clave, eso ayuda a sacar a quien haya entrado con la clave robada. Los programas de correo del equipo te pedirán la clave nueva.
3. Revisa reenvíos y filtros
Los atacantes suelen dejar una regla que reenvía copias de los correos a otra dirección, o un filtro que esconde las alertas. Revisa el reenvío automático y las reglas de la casilla, y elimina lo que no reconozcas. Si tu correo se administra desde cPanel o DirectAdmin, en las guías de reenvíos y filtros en cPanel y en DirectAdmin ves dónde están.
4. Mira la carpeta Enviados
Si hay correos que nadie del equipo escribió, la cuenta ya se usó. Anota a quién se enviaron y qué decían.
5. Repite el cambio donde usaste la misma clave
Banco, facturación, redes sociales. Un mismo correo y una misma clave en varios sitios es el problema más grande después del clic.
6. Avisa
A los contactos que recibieron correos falsos: “desde esta casilla salió un correo que no es nuestro, no abras enlaces”. Y a soporte de correo, para que revise accesos y reglas desde el servidor. Si después empiezan a llegarte avisos de rebote de mensajes que no enviaste, en cómo leer un correo rebotado explicamos qué revisar.
Si además se abrió un adjunto
Desconecta el computador de la red (cable y wifi) y déjalo así hasta pasarlo por el antivirus. Si el equipo tiene datos de clientes o accesos a sistemas de pago, conviene una revisión completa antes de volver a usarlo.
Prevención que depende de ti
- Contraseñas largas y únicas, con gestor. Una clave distinta por servicio y un gestor que las recuerde.
- Verificación en dos pasos. Actívala donde esté disponible, sobre todo en el correo, que es la llave para recuperar lo demás.
- Casillas por persona. En vez de una cuenta compartida, una casilla por persona y alias o reenvíos para las direcciones generales. Lo explicamos en cómo calcular cuentas y espacio del correo corporativo.
- Protocolo interno de pagos. Nadie transfiere ni cambia datos bancarios por correo sin confirmación telefónica a un número conocido.
- Reportar. Marca como spam o phishing los correos sospechosos; en muchos sistemas eso ayuda al filtro. Y avisa al resto del equipo, porque el mismo correo suele llegar a varias casillas.
Lista de comprobación rápida
- ¿La dirección completa del remitente coincide con el dominio real?
- ¿El campo “Responder a” apunta al mismo dominio?
- ¿El enlace, al pasar el mouse, lleva al sitio que dice?
- ¿El mensaje apura o amenaza con bloquear algo?
- ¿El adjunto es un ZIP o pide habilitar macros?
- ¿Alguna página del recorrido pide la contraseña del correo?
- ¿Confirmé el pago o el cambio de cuenta por teléfono, con un número conocido?
Si sospechas que una cuenta de correo de tu empresa quedó comprometida, los clientes de Bitsur pueden escribir a [email protected] o abrir un ticket en cliente.bitsur.cl. Revisamos accesos, reenvíos y envíos sospechosos contigo.