Un correo que parece enviado por un jefe, un proveedor o una compañía conocida puede ser suficiente para poner en marcha un ataque contra toda una empresa. Y es que los mensajes fraudulentos son cada vez más difíciles de distinguir de los reales y, en muchos casos, buscan provocar una reacción inmediata por parte del receptor, como abrir un archivo, pulsar un enlace, entregar una contraseña o autorizar un pago.
Ante esta evolución, Miguel López, director para el Sur de Europa de Barracuda Networks, una empresa especializada en ciberseguridad, rechaza que toda la responsabilidad deba recaer sobre los trabajadores. “La idea de que el empleado es el eslabón más débil es una simplificación excesiva que no se corresponde con la realidad actual”, explica a NoticiasTrabajo.
El experto advierte que los ciberdelincuentes aprovechan comportamientos normales dentro de cualquier empresa, como confiar en un correo que parece real, responder a una urgencia o seguir una instrucción habitual en el trabajo. “El verdadero problema surge cuando una organización espera que los usuarios identifiquen por sí solos amenazas cada vez más sofisticadas y verosímiles”, señala López.
Por eso, las empresas deben aceptar que, tarde o temprano, algún empleado puede caer en un correo fraudulento. “La ciberseguridad moderna debe asumir que tarde o temprano alguien hará clic; la clave es evitar que ese error se convierta en una brecha y minimizar el número de incidentes y sus consecuencias”, sostiene.
El objetivo no debe ser únicamente evitar el clic, sino impedir que ese error permita robar credenciales, instalar programas maliciosos o acceder a los sistemas de la organización.
Los correos fraudulentos son cada vez más difíciles de reconocer
El phishing es una de las técnicas más utilizadas por los ciberdelincuentes para robar datos personales, contraseñas o dinero. Consiste en hacerse pasar por una empresa, un banco o incluso un compañero de trabajo mediante un correo electrónico, un mensaje o una página web falsa que aparenta ser legítima. El objetivo es que la víctima confíe, facilite información sensible o haga clic en un enlace malicioso.
Sin embargo, los intentos de phishing ya no se limitan a copiar de forma genérica la página de un banco, una empresa tecnológica o una administración pública. Ahora las nuevas plataformas utilizadas por los ciberdelincuentes permiten crear engaños mucho más personalizados y adaptarlos en tiempo real a cada víctima.
“Las plataformas de phishing como servicio han profesionalizado el fraude digital», explica López, poniendo de ejemplo herramientas como LogoKit, que pueden generar páginas falsas que incorporan automáticamente logotipos, colores corporativos e incluso información obtenida a partir de la dirección de correo electrónico del usuario.
Esto significa que el trabajador ya no se encuentra únicamente con una copia genérica de Microsoft, Google o una entidad bancaria. “Ahora el atacante adapta dinámicamente la apariencia a la empresa concreta del usuario, muestra su correo ya rellenado e incluso replica elementos específicos de su organización”, señala.
El resultado son mensajes y páginas fraudulentas mucho más creíbles, con menos señales visuales que permitan reconocer que son falsos. Según López, este cambio “aumenta significativamente la credibilidad” de los ataques y dificulta también su detección por parte de las herramientas de protección tradicionales.
Además, las nuevas herramientas han reducido las barreras para los delincuentes, ya que ahora “pueden realizar ataques técnicamente muy sofisticados sin necesidad de contar con conocimientos avanzados”, explica el responsable de Barracuda Networks.
Los empleados con acceso a pagos y datos son los principales objetivos
Los ciberdelincuentes no eligen siempre a sus víctimas al azar. “Suelen priorizar a quienes tienen capacidad para autorizar pagos, acceder a información sensible o gestionar credenciales”, apunta López. Entre los perfiles más expuestos se encuentran los directivos, el personal de los departamentos financieros, recursos humanos y compras, así como los administradores de sistemas y los responsables de tecnología.
También corren un riesgo especial los empleados que mantienen un contacto frecuente con personas ajenas a la empresa, como los equipos comerciales, de atención al cliente o de gestión de proveedores y socios.
Estos profesionales reciben numerosos correos de clientes, empresas y contactos nuevos, y “entre cientos de mensajes diarios resulta más fácil que una solicitud falsa pase desapercibida", afirma López. Además, suelen trabajar bajo presión y deben responder con rapidez, dos circunstancias que los atacantes utilizan a su favor.
Uno de los fraudes más habituales es el “compromiso del correo electrónico corporativo”, conocido como BEC por sus siglas en inglés. En estos casos, el delincuente se hace pasar por un directivo, un proveedor o un compañero para solicitar una transferencia, cambiar un número de cuenta o conseguir información confidencial.
Según el experto, este tipo de fraude se utiliza cada vez más para engañar a directivos y empleados de los departamentos financieros y conseguir que hagan transferencias o cambien cuentas bancarias.
La urgencia debe hacer sospechar al trabajador
La presión es una de las herramientas más utilizadas en estos ataques, en los que suelen alertar de un problema con una cuenta, pedir el pago urgente de una factura o exigir que una operación se complete con la máxima discreción.
Los delincuentes buscan que el empleado actúe con prisas y no tenga tiempo de comprobar si el mensaje es real. “La primera recomendación es desconfiar de la urgencia”, subraya López. “Los atacantes intentan provocar una reacción rápida para evitar que la víctima reflexione”.
“Si la solicitud implica dinero, credenciales, datos confidenciales o cambios en procesos de pago, debe verificarse siempre por un segundo canal”, explica. Por ejemplo, mediante una llamada telefónica o un mensaje enviado directamente a la persona que supuestamente ha realizado la solicitud.
Esa comprobación debe hacerse fuera del mismo canal por el que llegó el mensaje sospechoso, ya que responder al propio correo no sirve si la cuenta del remitente ha sido comprometida o si la dirección ha sido falsificada. También conviene revisar la dirección completa del emisor y no quedarse únicamente con el nombre que aparece en pantalla.
López recomienda comprobar si el dominio es correcto, pasar el cursor sobre los enlaces para revisar a dónde llevan antes de hacer clic y asegurarse de que la petición es habitual dentro de la empresa. “Cuando exista la más mínima duda, lo más prudente es contactar con el departamento de TI o seguridad antes de actuar”, insiste.
Un clic no siempre provoca una brecha, pero puede abrir la puerta
Que un empleado pulse un enlace fraudulento no significa necesariamente que la empresa haya quedado comprometida. “Hoy en día, un clic por sí solo no siempre supone una brecha”, aclara López a NoticiasTrabajo. Las herramientas de protección actuales pueden bloquear una parte de las amenazas antes de que causen daños.
El verdadero problema aparece cuando ese clic tiene una consecuencia adicional, como “la entrega de credenciales, la instalación de malware, la aprobación de una autenticación fraudulenta o el robo de una sesión ya autenticada”. A partir de ese primer acceso, el atacante puede entrar en el correo corporativo, recopilar información para preparar nuevos fraudes, acceder a aplicaciones en la nube o desplazarse por otros sistemas de la empresa.
En los ataques de mayor alcance, la cuenta comprometida puede servir como punto de entrada para desplegar ransomware, un programa que bloquea los archivos y exige un rescate para recuperarlos, o robar grandes cantidades de información. “Muchos de los grandes incidentes de los últimos años comenzaron con una única credencial robada o una única cuenta comprometida”, advierte López.
“Las organizaciones deben asumir el concepto de “contención”: limitar el impacto de un error individual mediante autenticación multifactor, segmentación de accesos, monitorización continua y utilización de servicios de MDR/XDR apoyados en IA para la detección temprana y respuesta automatizada en caso de incidentes.”
Por eso, las empresas no solo deben intentar evitar que un empleado se equivoque, sino también estar preparadas para reducir los daños si ocurre. Medidas como la verificación en dos pasos, limitar los accesos de cada trabajador y vigilar la actividad de las cuentas pueden impedir que un atacante llegue a todos los sistemas de la empresa.
La formación de los empleados no puede ser la única defensa
Explicar a los trabajadores cómo reconocer un correo fraudulento ayuda a reducir el riesgo, pero no garantiza que ningún ataque vaya a tener éxito. Los mensajes actuales pueden parecer legítimos incluso para una persona acostumbrada a recibir formación en ciberseguridad. López considera que las empresas deben combinar tres elementos: la concienciación de los empleados, unos procedimientos internos claros y una protección tecnológica adecuada.
“La formación ayuda a reconocer señales de alerta, fomentar una cultura de reporte y reaccionar adecuadamente en caso de incidentes”, explica. Los procedimientos internos, añade, “establecen mecanismos de verificación para operaciones sensibles”, y la tecnología, por su parte, debe actuar “como red de seguridad cuando una persona comete un error”.
Entre las medidas necesarias cita la protección del correo electrónico, la autenticación multifactor, las herramientas frente al robo de cuentas y los sistemas de detección de anomalías y respuesta a incidentes apoyados en inteligencia artificial.
Por tanto, “dado que los ataques actuales pueden parecer completamente legítimos, el objetivo no debe ser únicamente que el usuario los detecte, sino minimizar las consecuencias cuando no lo haga”, afirma. “La resiliencia, más que la perfección del usuario, es lo que marca la diferencia en la ciberseguridad actual”, concluye el experto.