Phishing a un empleado: qué hacer si ha metido sus claves en una web falsa

Son las diez de la mañana y una compañera de administración se acerca a tu mesa con cara de preocupación. Le ha llegado un correo que parecía de Microsoft avisando de que su buzón estaba lleno, ha pulsado el enlace, ha escrito su usuario y su contraseña, y hasta el código que le llegó al móvil. La página se ha quedado cargando y ahí se ha dado cuenta de que algo no cuadraba. Esto es un phishing a un empleado, y le pasa a empresas de todos los tamaños, también a las que tienen un buen informático. No perdáis la calma: que ella os lo haya contado enseguida es lo mejor que podía pasar, porque en las primeras horas se puede cerrar la puerta antes de que nadie la use.

Te contamos qué hacer hoy mismo si un empleado de tu empresa ha metido sus claves en una web falsa, cómo saber si los delincuentes han llegado a entrar, a quién hay que avisar y cómo evitar que vuelva a pasar. Si lo que os ha ocurrido es que ya han usado vuestro correo y vuestros clientes han pagado a otra cuenta, lo tenéis explicado en correo de empresa hackeado, y si es tu empresa la que ha pagado una factura con un IBAN falso, en la estafa del cambio de IBAN.

En este artículo

1. Qué ha pasado cuando un empleado cae en un phishing
2. Lo primero: que el empleado pueda contarlo sin miedo
3. Las primeras horas: qué hacer si un empleado ha metido sus claves
4. Señales de que han llegado a usar la cuenta
5. Guardad las pruebas antes de limpiar
6. Denunciar y avisar a quien corresponde
7. Si ya ha habido pagos o movimientos de dinero
8. Cómo evitar que un phishing vuelva a colarse en tu empresa
9. Cuándo pedir ayuda profesional

Qué ha pasado cuando un empleado cae en un phishing

El phishing es el engaño que usa un mensaje falso para que alguien entregue sus claves. El nombre viene de fishing, pescar en inglés: el correo es el cebo y la web falsa, el anzuelo. En una empresa, el cebo casi nunca parece una estafa. INCIBE ha avisado de campañas dirigidas al correo de empresas con asuntos como «Urgente», «Mesa de Ayuda» o «la contraseña ha caducado», que dicen que el buzón está lleno o que la cuenta se va a desactivar si no se verifica. También son muy habituales el falso documento compartido, la factura pendiente de revisar o el aviso de un paquete.

El enlace lleva a una página que imita la de Microsoft 365, Google o el webmail de tu empresa, y lo que se escribe ahí va directo a los delincuentes. Lo que mucha gente no sabe es que algunas de estas webs falsas funcionan como un intermediario: pasan en tiempo real el usuario, la contraseña y el código de verificación a la página auténtica, y se quedan con la sesión ya abierta. Por eso no basta con cambiar la contraseña, y por eso hay que cerrar las sesiones, como verás más abajo.

Con esas claves pueden leer el correo, mirar archivos compartidos, mandar mensajes a compañeros y clientes desde una dirección auténtica o preparar un fraude más grande. Suena mal, pero si se reacciona hoy, la mayoría de las veces se queda en un susto.

Phishing y fraude BEC no son lo mismo

Se confunden mucho, y conviene distinguirlos porque cambia lo que hay que hacer. El phishing es el engaño para robar las claves. El fraude BEC (business email compromise, o correo corporativo comprometido) es lo que puede venir después: usar ese correo de la empresa, o uno que lo imita, para pedir una transferencia, un cambio de IBAN o datos de clientes. INCIBE cuenta precisamente que una de las formas de entrar en el correo de una empresa es que alguien haya metido sus credenciales en una campaña de phishing que suplanta a un banco o a un servicio como Microsoft 365. Si cortáis a tiempo el phishing, lo normal es que el BEC no llegue a ocurrir.

Lo primero: que el empleado pueda contarlo sin miedo

Antes de tocar nada, hablad con la persona que cayó, y hacedlo sin reñirle. Tiene que contaros todo con detalle, y eso solo pasa si no siente que la van a señalar. El NCSC, el centro de ciberseguridad británico, insiste en que las empresas eviten la cultura de la culpa, porque lo que más protege es que la gente avise enseguida, incluso cuando ya ha pulsado.

Preguntadle qué escribió exactamente (solo la contraseña, también el código, datos del banco o de una tarjeta), en qué página, a qué hora y desde qué equipo, y si descargó o abrió algún archivo. Pedidle que no borre el correo: lo vais a necesitar.

Las primeras horas: qué hacer si un empleado ha metido sus claves

Aquí cada hora cuenta, pero no hace falta saberlo todo para empezar. Si tenéis informático o una empresa que os lleva el correo, llamadles ya y haced esto con ellos:

1. Cambiad la contraseña desde otro equipo. Uno que sepáis que está limpio, no el del empleado. INCIBE recomienda cambiarla cuanto antes y también en cualquier otro servicio donde se use la misma, porque los delincuentes la van a probar en todas partes. La nueva no se manda por correo, porque ese buzón puede estar comprometido.
2. Cerrad todas las sesiones abiertas. En Microsoft 365, Google Workspace y la mayoría de servicios se puede forzar el cierre de sesión en todos los dispositivos. Microsoft explica que revocar las sesiones invalida de inmediato el acceso conseguido con las credenciales robadas. Si podéis, bloquead la cuenta un rato mientras lo revisáis.
3. Revisad la verificación en dos pasos. Si no estaba activada, activadla ahora. Si lo estaba, mirad qué métodos tiene registrados la cuenta (teléfonos, apps de autenticación) y quitad cualquiera que no sea del empleado, porque a veces los delincuentes añaden el suyo para poder volver.
4. Buscad las puertas traseras. Reglas de reenvío o filtros que nadie ha creado, reenvío automático a una dirección de fuera, permisos de otras personas sobre el buzón y aplicaciones conectadas a la cuenta que nadie reconoce. Haced capturas y apuntadlo todo antes de borrarlo: INCIBE aconseja conservarlo por si hace falta como prueba.
5. Mirad qué han hecho dentro. Los registros de inicio de sesión dicen desde dónde y cuándo se entró. Revisad también los correos enviados y eliminados, y si la cuenta tiene acceso a carpetas compartidas, mirad qué se ha abierto o descargado.
6. Si el empleado descargó o abrió algo, apartad ese equipo de la red hasta que lo revise alguien que sepa, y no lo formateéis todavía, porque también es una prueba.
7. Si esas claves tocan dinero, llamad al banco. Si el empleado tiene acceso a la banca online de la empresa, si metió datos bancarios en la web falsa o si hay pagos pendientes, llamad al banco por su teléfono oficial, contadle lo que ha pasado y pedidle que vigile o bloquee operaciones. Avisad también a contabilidad para que no se atienda ningún cambio de cuenta ni ningún pago urgente que llegue por correo estos días.
8. Avisad a la plantilla. Un mensaje corto para que nadie pulse el mismo correo, que suele llegar a varias personas a la vez. Y si desde esa cuenta han salido correos raros, avisad también a los clientes o proveedores que los hayan recibido.

Señales de que han llegado a usar la cuenta

A veces el empleado avisa tarde, o no se da cuenta, y es otra persona la que nota algo raro. Microsoft recoge varias señales típicas de una cuenta de correo comprometida, y estas son las que más se ven en pymes:

• Inicios de sesión desde otro país o desde dispositivos que nadie reconoce.
• Reglas que reenvían el correo fuera o que mueven mensajes a carpetas que nadie mira, como «RSS» o «Elementos eliminados».
• Correos en Enviados que nadie escribió, o correos que desaparecen de la bandeja de entrada.
• Clientes o compañeros que preguntan por un mensaje raro que les ha llegado desde esa cuenta, a menudo otro phishing.
• La cuenta bloqueada para enviar correo o cambios de contraseña que nadie ha pedido.

Si después de revisarlo no encontráis nada de esto y habéis cerrado las sesiones a tiempo, lo más probable es que lo hayáis frenado. Aun así, vigilad la cuenta unas semanas, porque los delincuentes a veces esperan antes de intentarlo otra vez.

Guardad las pruebas antes de limpiar

Es normal querer borrar el correo falso y dejarlo todo como estaba, pero hacedlo con orden. Exportad el correo original en formato .eml o .msg, que conserva las cabeceras (la parte técnica que dice desde dónde se envió de verdad), guardad la dirección de la web falsa sin volver a abrirla, y haced capturas de las reglas, de los accesos y de los correos enviados.

Los registros de acceso de los proveedores de correo solo se guardan durante un tiempo, así que si el caso tiene pinta de ir a más, merece la pena que un perito informático haga una copia de la cuenta y de los registros. Lo hace de forma que luego nadie pueda discutir que se han manipulado, con una especie de huella digital de cada archivo que se llama hash. Te explicamos qué hace un perito en perito informático y abogado. Bien preservadas, esas pruebas sirven para averiguar por dónde entraron y para defender a tu empresa.

Denunciar y avisar a quien corresponde

INCIBE y la denuncia

Las empresas pueden reportar el incidente a INCIBE-CERT con una descripción de lo ocurrido y el correo sospechoso con sus cabeceras y adjuntos, y si tenéis dudas en el momento, la línea de ayuda en ciberseguridad de INCIBE atiende gratis en el 017.

Entrar en una cuenta ajena sin permiso es delito aunque todavía no se haya movido dinero, así que también podéis denunciar ante la Policía Nacional o la Guardia Civil, en comisaría o empezando por internet en la denuncia electrónica de la Guardia Civil. Llevad el correo exportado, la dirección de la web falsa, las capturas y vuestra cronología. Si ha habido pagos, la denuncia es todavía más importante, porque ayuda al banco a pedir el bloqueo. Tenéis el paso a paso en cómo denunciar una estafa online en España.

La AEPD, si han podido ver datos personales

Si con esas claves los delincuentes han podido ver datos personales de clientes, empleados o proveedores (nombres, teléfonos, nóminas, contratos), eso es una brecha de datos. El RGPD (artículo 33) obliga a la empresa a notificarla a la AEPD en un plazo de 72 horas desde que tiene constancia, salvo que sea improbable que suponga un riesgo para esas personas, y el artículo 34 añade que, si el riesgo es alto, también hay que avisar a los afectados.

Es una obligación seria, pero manejable. La propia AEPD explica que notificar a tiempo es una muestra de diligencia, y su herramienta Asesora Brecha os ayuda a saber si tenéis que hacerlo. Si al final no hace falta, dejad por escrito qué pasó y qué medidas tomasteis.

Si ya ha habido pagos o movimientos de dinero

Si en estas horas ha salido dinero de la empresa, o algún cliente ha pagado a una cuenta que no es la vuestra, llamad al banco cuanto antes. Tranquilos, que aquí hay margen: el Banco de España recomienda comunicarlo a la entidad para que bloquee la operación y la revierta en la medida de lo posible, cambiar las claves de la banca online y denunciar. Si el dinero sigue en la cuenta de destino, el banco receptor puede retenerlo, y en muchos casos se recupera, sobre todo cuando se actúa en las primeras horas.

Imagina una asesoría con quince personas. Un martes, un empleado mete su contraseña en un falso aviso de documento compartido. Esa misma tarde alguien entra en su correo, crea una regla que esconde las respuestas y manda a un cliente un aviso de cambio de cuenta. Si al día siguiente el informático ve la regla, cierran las sesiones, llaman al cliente por teléfono antes de que pague y denuncian, todo queda en un susto. Y si el cliente ya había pagado, avisar a su banco esa misma mañana da muchas opciones de retener el dinero.

Tenéis más detalle sobre cómo se recupera una transferencia en ¿se puede recuperar el dinero de una estafa online?.

Cómo evitar que un phishing vuelva a colarse en tu empresa

Que alguien pulse un enlace falso algún día es casi inevitable, porque los correos están cada vez mejor hechos. Lo que sí está en vuestra mano es que, cuando pase, no les sirva de nada.

Para prevenirlo, no hagáis que la contraseña sea la única llave. Activad la verificación en dos pasos en todas las cuentas, también en la del gerente y en las genéricas tipo «info@» o «facturacion@», y si podéis, usad una app de autenticación o una llave de seguridad en lugar del SMS, que son más difíciles de engañar. Y no dejéis que se repitan contraseñas entre el correo y otros servicios: un gestor de contraseñas os lo pone fácil.

Contadle a la plantilla, con ejemplos reales, que ningún aviso de «buzón lleno» o «contraseña caducada» se resuelve pulsando un enlace del correo. Si hay que entrar en algún sitio, se entra escribiendo la dirección o desde la app de siempre. Y decidles muy claro que avisar no tiene castigo: el empleado que dice «creo que he metido la pata» a los cinco minutos le ahorra a tu empresa muchísimo trabajo. El mismo truco llega cada vez más por SMS o por llamada al móvil del trabajo, así que os vendrá bien leer cómo funcionan el SMS falso o smishing y las llamadas falsas con vishing y spoofing.

Por dentro, pedid a quien os lleve la informática que active el filtrado de correo y las alertas de inicios de sesión sospechosos, que revise cada cierto tiempo las reglas de reenvío y los permisos, y que configure SPF, DKIM y DMARC en vuestro dominio para que sea más difícil mandar correos haciéndose pasar por vosotros. Y para el dinero, una costumbre sencilla: ningún pago urgente ni ningún cambio de cuenta se aprueba solo por correo, siempre con una llamada a un número que ya tuvierais.

Cuándo pedir ayuda profesional

Si no tenéis claro cuánto tiempo han estado dentro, si han salido correos a clientes desde la cuenta, si había datos personales sensibles o si ya se ha movido dinero, merece la pena una valoración profesional cuanto antes. Un perito informático puede preservar la cuenta y los registros y averiguar por dónde entraron y qué se llevaron, y un abogado puede ayudaros con la denuncia, con la AEPD, con el banco y con los clientes afectados.

Somos abogados y peritos especialistas en estafas online, criptomonedas y delitos informáticos, y cada caso lo atiende siempre un abogado o un perito. Envíanos lo que tengáis, aunque esté desordenado: el correo falso, la dirección de la web donde se metieron las claves, las capturas y vuestra cronología. Lo revisamos gratis y te decimos qué hacer hoy y qué pasos dar después. En muchos casos el dinero se recupera, sobre todo si se actúa rápido. En Kironic hacemos todo lo posible por recuperar tu dinero.

Un último aviso: después de un incidente así, a veces aparecen «recuperadoras» que garantizan el 100 % a cambio de un pago por adelantado. Suele ser la segunda estafa. Te contamos cómo reconocerlas en cómo detectar falsas empresas de recuperación.