Los ataques no entran por el servidor: entran por un correo

La mayoría de los ciberataques a empresas no empiezan con alguien reventando un firewall desde un sótano. Empiezan con un correo normal y corriente que una persona del equipo abre un martes cualquiera a media mañana. Lo sé porque llevo años como responsable de seguridad informática en una empresa industrial, y de todos los ataques que he visto de cerca, casi ninguno atacó una máquina. Atacaron a una persona.

Esa es la parte incómoda: puedes gastarte una fortuna en tecnología y seguir expuesto, porque el atacante no va a pelearse con tu firewall si puede convencer a alguien de tu plantilla de que le abra la puerta.

◢Por qué van a por las personas y no a por las máquinas

Es pura economía. Romper un sistema bien protegido cuesta tiempo, dinero y conocimientos. Engañar a una persona cuesta un correo. El atacante moderno no "hackea": suplanta, presiona y convence. Se hace pasar por un proveedor, por un banco, por tu jefe. Y le basta con que funcione una vez de cada mil, porque enviar mil correos es gratis.

Por eso la seguridad de una empresa no la marca su tecnología, la marca la persona menos preparada que tenga acceso a un correo. Y eso no se arregla comprando otra caja: se arregla entrenando.

◢El phishing de 2026 ya no tiene faltas de ortografía

Durante años la señal clásica era la redacción torpe: si el correo estaba mal escrito, era fraude. Esa pista ha muerto. Con la IA generativa, los correos fraudulentos llegan perfectos, en tu idioma, con el logo bien puesto y un contexto creíble. Y la cosa va más allá del texto: ya circulan fraudes con voces clonadas que suenan como tu director general pidiendo una transferencia urgente por teléfono.

La consecuencia es directa: si tu plantilla aprendió a detectar phishing hace cinco años, está entrenada para un enemigo que ya no existe.

◢Las señales que sí siguen funcionando

La buena noticia es que hay señales que la IA no puede maquillar, porque son parte del propio engaño:

• ▹Urgencia más dinero o credenciales. "Transferencia hoy mismo", "tu cuenta se bloquea en 24 horas". La prisa es la herramienta del atacante: existe para que no pienses.
• ▹El dominio real no cuadra. El nombre visible puede decir lo que quiera; lo que importa es lo que hay detrás. Un correo de "Banco Santander" enviado desde un dominio raro es todo lo que necesitas ver.
• ▹El enlace no va donde dice. Pasa el ratón por encima sin hacer clic y mira la dirección real. Si el texto dice una cosa y el enlace otra, ya está todo dicho.
• ▹Cambios de última hora en pagos. El clásico: un "proveedor" avisa de que ha cambiado de cuenta bancaria justo antes de una factura. Este fraude lleva años arruinando empresas precisamente porque parece rutina.
• ▹Peticiones fuera del canal habitual. Si tu jefe nunca te pide nada por SMS y hoy te pide ahí una compra de tarjetas regalo, no es tu jefe.

Y la regla de oro que resume todas: ante la duda, verifica por otro canal. Llama al número de siempre, no al que viene en el correo. Pregunta en persona. Treinta segundos de verificación desmontan el 99% de los engaños.

◢Si alguien pica, las primeras horas lo son todo

Aquí va la parte que casi ninguna empresa hace bien: qué pasa después del clic. Si la persona que ha picado tiene miedo de la bronca, lo esconderá, y el atacante tendrá días para moverse por dentro. Si la cultura es "avisa rápido y no pasa nada", tendrás el incidente acotado en una hora: contraseña cambiada, sesión cortada, aviso al resto del equipo.

La persona que avisa a tiempo no es el problema. Es la que te salva.

◢El mínimo que toda plantilla debería tener

No hace falta convertir a nadie en técnico. Con cuatro hábitos se elimina la mayoría del riesgo real:

1. ▹Doble factor activado en correo y en todo lo que toque dinero o datos.
2. ▹Gestor de contraseñas: una contraseña distinta por servicio sin tener que memorizar ninguna.
3. ▹Verificar por segundo canal cualquier petición de dinero, credenciales o cambios de cuenta.
4. ▹Saber a quién avisar, y que avisar sea siempre seguro.

◢Esto se entrena

Nada de lo anterior es difícil. Lo difícil es que cale en toda la plantilla, del taller a dirección, y que se mantenga fresco cuando los fraudes cambian cada año. Esa es exactamente la parte a la que me dedico: doy formación en ciberseguridad para empresas, pensada para que la entienda todo el mundo, no solo el equipo técnico, con los casos y las señales que he visto funcionar en el mundo real.

Porque el firewall hay que tenerlo, claro. Pero el día que llegue el correo bueno, lo que va a proteger tu empresa es que la persona que lo abra sepa lo que está mirando.