Cómo saber si un correo electrónico es un intento de phishing y qué hacer al respecto

1. ¿De quién procede realmente? Pulse o pase el cursor sobre el nombre del remitente para ver la dirección. Preste atención a los dominios que se parecen a los originales (una palabra de más, una letra intercambiada, un «.co» en lugar de «.com»), una dirección gratuita que afirme pertenecer a una empresa o el nombre de un compañero de trabajo en una dirección desconocida.
2. ¿Qué es lo que busca? El phishing casi siempre solicita una de estas cinco cosas: una contraseña o datos de inicio de sesión, dinero o una tarjeta regalo, un cambio de datos bancarios, un archivo adjunto que abrir, o bien transmite urgencia y confidencialidad («hoy», «no se lo diga a nadie», «se le cerrará la cuenta»).
3. ¿A dónde conducen los enlaces? En un ordenador, pase el cursor por encima de un enlace y lea la dirección que aparece en la esquina de la ventana. En un teléfono, mantenga pulsado el enlace para obtener una vista previa. Un aviso de Microsoft que le redirija a un dominio que nunca haya visto, o un enlace acortado, es una señal de alerta.
4. ¿Se lo esperaba? Una factura de un proveedor con el que no trabaja, un mensaje de voz que nunca recibe por correo electrónico, un documento compartido por alguien que no suele compartir documentos, un envío que no ha solicitado.
5. ¿Se sale de lo habitual? Un proveedor que cambia los datos bancarios por correo electrónico, el jefe que le pide algo inusual y urgente, Microsoft o Google que le piden que verifique su cuenta a través de un enlace. Las empresas reales y los jefes reales no actúan de esa manera.

1. No haga clic, no responda ni lo reenvíe a sus compañeros de trabajo. El reenvío distribuye el riesgo y elimina las pruebas que necesita el departamento de TI.
2. Notifíquelo desde Outlook. Seleccione el mensaje, elija «Informar» en la barra de herramientas y, a continuación, «Informar de phishing». Este mismo botón está disponible en Outlook en la web, en el nuevo Outlook para Windows, en Outlook para Mac y en las aplicaciones para iPhone y Android, siempre que su empresa lo haya activado. El mensaje se eliminará y se enviará una copia a su equipo de TI y a Microsoft.
3. Denúncielo desde Gmail. Abra el mensaje, haga clic en los tres puntos situados junto a «Responder» y seleccione «Denunciar phishing». En la aplicación de Gmail, utilice los tres puntos situados en la esquina superior derecha del mensaje. Google recibirá una copia y su administrador de Workspace podrá ver la denuncia.
4. Verifíquelo por otra vía. Si el mensaje afirma proceder de un proveedor, un compañero de trabajo o su banco, llame a un número que ya tenga o acérquese personalmente. No utilice nunca el número de teléfono ni la dirección de respuesta que figuran en el mensaje.
5. Si ha hecho clic o ha introducido una contraseña, actúe en el plazo de una hora. Cambie su contraseña desde un dispositivo en el que confíe, no apruebe ninguna solicitud de Authenticator que no haya iniciado usted mismo y avise inmediatamente al departamento de TI. Si ha abierto un archivo adjunto, desconéctese de la red Wi-Fi y llame por teléfono. Si ha habido dinero de por medio, llame al proveedor y a su banco ese mismo día; los plazos para la anulación de las transacciones se miden en horas.

Las personas que informan con rapidez son la mejor defensa con la que cuenta una pequeña empresa. Un buen equipo de TI le agradecerá una falsa alarma y nunca le hará sentir en ridículo por una real.