Es un ataque por correo electrónico que apunta a los empleados de una organización con el fin de obtener datos sensibles, credenciales o información financiera. El resultado final son credenciales robadas, cuentas tomadas, fraude financiero o brechas de red a gran escala. Los atacantes combinan explotación de la confianza, urgencia y caos para engañar a los empleados y hacer que pasen por alto las medidas de seguridad de su propia empresa. Entender qué hace exitosos a estos ataques empieza por reconocer cuánto han cambiado las tácticas.

El phishing viene en muchas variantes, pero cuatro tipos principales apuntan al entorno laboral:

• Phishing por correo electrónico y phishing por texto (smishing): Correos electrónicos o mensajes SMS masivos o dirigidos, diseñados para robar credenciales o distribuir malware.

• Spear phishing: Ataques altamente personalizados que apuntan a personas específicas usando información investigada previamente.

• Whaling: Ataques que apuntan específicamente a ejecutivos u otros objetivos de alto valor con acceso a información confidencial.

• Compromiso del correo electrónico empresarial (BEC): Suplantar a ejecutivos o proveedores para autorizar transacciones fraudulentas.

La concientización sobre phishing para los empleados significa reconocer estas categorías en mensajes internos que parecen legítimos. En todos estos tipos, una táctica sigue siendo consistentemente eficaz: la manipulación psicológica.

El mayor cambio en el phishing moderno es que los atacantes usan contenido generado con IA, lo que hace que los mensajes sean mucho más convincentes, con gramática correcta que coincide con el estilo de escritura de tu empresa y el lenguaje específico de la industria. Algunos ejemplos recientes de correos de phishing para empleados son atacantes que comprometen cuentas y responden en medio de una conversación, haciendo que los correos parezcan conversaciones legítimas en curso. Estos ataques de cadena de respuestas son especialmente peligrosos porque evitan nuestro escepticismo natural ante mensajes inesperados.

Pero una redacción pulida es solo una pieza del rompecabezas. Los atacantes también están explotando las mismas medidas de seguridad diseñadas para protegernos.

Los ataques de autenticación modernos explotan los hábitos de los empleados:

• Ataques de fatiga de MFA: Solicitudes de aprobación repetidas diseñadas para que alguien termine haciendo clic en "aprobar".

• Páginas de inicio de sesión falsas: Avisos de sesión expirada o de inicio de sesión que capturan credenciales en tiempo real. 

• Solicitudes de aprobación de dispositivos: Avisos de inicio de sesión desde dispositivos no reconocidos que engañan a los empleados para que aprueben un acceso no autorizado.

Mientras los ataques de autenticación apuntan a tu infraestructura de seguridad, otra categoría de phishing va directo a las finanzas de tu empresa.

Los procesos financieros de las empresas se han convertido en blancos principales de campañas sofisticadas de phishing. Las tácticas comunes incluyen:

• Instrucciones de transferencia ligeramente alteradas en correos duplicados

• Documentos de Office maliciosos disfrazados de facturas actualizadas

• Suplantación de proveedores mediante un portal hecho para parecer legítimo

Estos ataques apuntan a empleados que intentan ser serviciales y resolver las cosas rápidamente. 

Los atacantes aprovechan la manipulación psicológica para evitar la toma de decisiones racionales. Cualquier cosa que se sienta como una cuenta regresiva suele ser la estafa. Toma estos ejemplos:

• "Actúa en los próximos 10 minutos o tu cuenta será suspendida." 

• "Se necesita una transferencia urgente antes del cierre del día." 

• "Tus beneficios vencerán si no verificas hoy." 

Los mensajes de phishing con temática de RR. HH. y nómina combinan urgencia con miedo a consecuencias personales.

Una señal de advertencia segura es cuando un mensaje desalienta activamente la verificación. "Estoy en una reunión, solo procesa esto de inmediato" o "Esto es urgente, no te demores haciendo preguntas" deberían encender de inmediato las alarmas sobre su autenticidad.

Incluso los correos de phishing más sofisticados contienen señales técnicas:

• Dominios ligeramente parecidos: huntress-support.com en lugar de huntress.com 

• Tipos de archivo sospechosos: .html, .pdf o .zip que piden credenciales

Redirecciones de enlaces múltiples: enlaces que rebotan antes de llegar a su destino, o URL que no coinciden con lo que afirma el remitente. Un "documento de SharePoint" que redirige a través de tres dominios diferentes antes de llegar a una página de inicio de sesión no es en realidad SharePoint.

Estas son las cinco señales de alerta de phishing más importantes:

1. Urgencia inesperada o presión para actuar de inmediato sin verificación.

2. Solicitudes de autenticación que parecen fuera de lugar o repetitivas.

3. Pequeñas variaciones de dominio o direcciones de correo que no son del todo correctas.

4. Solicitudes de información sensible por canales que no son habituales o que no coinciden del todo con el contenido del mensaje.

5. Mensajes que desalientan la verificación o el contacto con colegas.

Una técnica cada vez más común combina varias de estas señales de advertencia en un ataque coordinado.

Un nuevo giro en el phishing moderno implica que los atacantes usen múltiples canales de comunicación para reforzar la legitimidad percibida.

El salto entre canales ocurre cuando los atacantes siguen un correo con un SMS, o un mensaje de Teams o Slack, porque se cree que los enfoques multicanal crean una percepción de legitimidad. Los atacantes también usan firmas como "enviado desde mi teléfono" para excusar de antemano cualquier error tipográfico o de formato que de otro modo podría generar sospechas. Los atacantes incluso pueden hacerse pasar por soporte de TI interno en plataformas como Teams o Slack, apostando a que la naturaleza informal de estos canales hace que los empleados sean menos cautelosos.

Si recibes mensajes en varios canales que insisten en la misma solicitud urgente, ese patrón en sí mismo debería encender una alerta.

Los consejos eficaces de phishing para empleados combinan la tecnología con decisiones humanas informadas:

• Pasa el cursor sobre los enlaces antes de hacer clic

• Verifica las solicitudes por otros canales

• Informe los correos electrónicos sospechosos de inmediato

• Da seguimiento a las tasas de clics de los empleados en campañas simuladas

Cuando llegue cualquier correo electrónico, entrena a los empleados para que se detengan y apliquen el enfoque "detente, observa, piensa":

• Detente: No hagas clic de inmediato, aunque parezca urgente.

• Observa: Revisa el remitente, el dominio y los destinos de los enlaces.

• Piensa: ¿Esta solicitud tiene sentido? ¿Debería verificarla por otro canal?

La capacitación tradicional de concientización sobre phishing para empleados suele enfatizar la educación única. La protección real requiere desarrollar instintos que se activen automáticamente cuando algo parece estar mal, y eso significa un refuerzo constante. Recomendamos pruebas de phishing simuladas al menos una vez al mes para mantener a los empleados alerta y preservar la concientización.

Huntress Managed Security Awareness Training ayuda a desarrollar el reconocimiento natural de amenazas de los empleados mediante simulaciones realistas y oportunidades de aprendizaje continuo. Como algunas amenazas lograrán pasar, Huntress Managed ITDR detiene daños mayores al detectar el uso indebido de identidad y actividad sospechosa en la cuenta antes de que un clic se convierta en una brecha total. Y cuando el malware llega a un endpoint, Huntress Managed EDR detecta y detiene la actividad maliciosa antes de que tenga la oportunidad de propagarse por tu red.

El phishing en el lugar de trabajo ha evolucionado. Tu estrategia de concientización sobre phishing para empleados necesita evolucionar con él. Reserva una demo y descubre cómo Huntress puede fortalecer tu defensa contra los ataques de phishing modernos.