El phishing dejó de tener faltas de ortografía
La detección basada en 'fíjate en los errores de redacción' quedó obsoleta. Qué señales sirven ahora y qué controles conviene priorizar.
Durante años, la capacitación en seguridad se apoyó en una regla cómoda: los correos fraudulentos se reconocen porque están mal escritos. Esa regla ya no aplica. Hoy cualquiera puede redactar un correo impecable, en el tono corporativo correcto y con el contexto de tu industria.
Peor aún: con información pública de redes profesionales, un atacante puede personalizar el mensaje con el nombre de tu jefe, el proyecto en curso y el proveedor con el que efectivamente trabajas.
Qué sí sigue funcionando
Verificar por otro canal. Si un correo pide cambiar una cuenta bancaria o transferir con urgencia, se confirma por teléfono a un número que ya tenías, no al que viene en el correo. Esta única regla previene la mayoría de los fraudes de suplantación de proveedores.
Desconfiar de la urgencia. La presión de tiempo es la herramienta más constante del atacante, porque impide justamente la verificación.
Revisar el dominio real, no el nombre visible. El nombre que muestra el remitente es texto libre. Lo que importa es lo que está después de la arroba.
Por qué la capacitación ya no basta
Es injusto poner toda la defensa en que una persona detecte un engaño bien hecho a las cinco de la tarde. Los controles técnicos hacen el trabajo pesado:
- Autenticación multifactor, que convierte una contraseña robada en insuficiente
- SPF, DKIM y DMARC configurados para que nadie envíe correos a nombre de tu dominio
- Etiquetado automático de correos externos
- Un procedimiento de cambio de datos bancarios que exija doble autorización
La conclusión incómoda
Si tu estrategia de seguridad depende de que ningún empleado se equivoque nunca, no es una estrategia. La pregunta correcta no es cómo evitar el clic, sino qué pasa después del clic: si un solo error compromete la operación completa, el problema no está en la persona.