El phishing es un tipo de ciberataque en el que los actores de amenazas se hacen pasar por personas u organizaciones de confianza para engañar a las víctimas y hacer que entreguen credenciales, hagan clic en enlaces maliciosos o transfieran dinero. El nombre viene de "fishing" (pescar) — los atacantes lanzan una red amplia y esperan a que alguien muerda el anzuelo. Las estafas de phishing por correo electrónico son, por mucho, el método de entrega más común, pero el phishing se ha expandido a SMS (smishing), llamadas de voz (vishing) e incluso códigos QR.

Lo que hace que el phishing moderno sea tan peligroso no es solo el volumen, sino la sofisticación. Las herramientas potenciadas por IA permiten a los atacantes crear mensajes gramaticalmente perfectos que imitan el estilo exacto de comunicación de tu empresa. Estudian la estructura, el tiempo y la identidad de marca de tu organización para hacer que sus señuelos sean casi indistinguibles de lo real. Según CISA, alrededor del 90% de los incidentes cibernéticos comienzan con correos de phishing.

Los filtros de spam tradicionales funcionan comparando remitentes maliciosos conocidos, marcando dominios sospechosos y escaneando enlaces contra listas de bloqueo. Ese enfoque atrapa mucho, pero tiene un punto ciego crítico. Los filtros están diseñados para evaluar el correo entrante de fuentes externas y no son tan efectivos contra tácticas nuevas/zero-days. Cuando un atacante usa una cuenta comprometida de Microsoft 365 para enviar correos de phishing internamente, esos mensajes se originan desde una fuente confiable y autenticada. El filtro ve a un usuario legítimo enviando correo y lo deja pasar.

Por eso la protección contra phishing no puede detenerse en la puerta de enlace de correo. Necesitas visibilidad del comportamiento de identidad — qué hacen las cuentas después de autenticarse — no solo lo que llega al perímetro.

¿Cómo puedes reconocer un correo de phishing?

Saber qué buscar es la primera línea de defensa de tus empleados. Si bien los ataques de phishing modernos son mucho más convincentes que los correos de estafa llenos de errores tipográficos del pasado, la mayoría aún comparte un conjunto de señales de alerta reconocibles:

• Discrepancias en la dirección del remitente: El nombre que se muestra parece legítimo, pero el dominio de correo real no coincide — una sutil falta de ortografía como "micros0ft.com" o un dominio completamente distinto.

• Tácticas de urgencia y presión: Los mensajes que exigen acción inmediata, amenazan con suspender la cuenta o afirman que tu seguridad ha sido comprometida están diseñados para evitar el pensamiento crítico.

• Saludos genéricos: "Estimado cliente" o "Estimado titular de cuenta" en lugar de tu nombre real.

• Archivos adjuntos inesperados: Los archivos no solicitados, especialmente ejecutables, archivos comprimidos o documentos que piden habilitar macros, siempre deberían levantar una alerta.

• URLs sospechosas: Antes de hacer clic en cualquier enlace, pasa el cursor sobre él para revelar el destino real. Los correos de phishing suelen ocultar URLs maliciosas detrás de texto de anclaje de apariencia inocente.

• Solicitudes de información sensible: Las organizaciones legítimas nunca piden contraseñas, números de seguro social o datos de pago por correo electrónico.

• Ofertas demasiado buenas para ser verdad: Notificaciones de premios, reembolsos inesperados u oportunidades exclusivas a las que no te suscribiste son señuelos de phishing clásicos.

Para un desglose más detallado de qué vigilar, consulta nuestra guía sobre cómo detectar un correo de phishing.

El mejor lugar para detener un ataque de phishing es antes de que llegue a la bandeja de entrada de tu equipo. Un conjunto de controles técnicos por capas, configurados correctamente y mantenidos activamente, reduce de forma significativa el volumen de estafas de phishing por correo electrónico que llegan a tus empleados.

Configura herramientas de seguridad de correo y anti-phishing

Los protocolos de autenticación de correo electrónico son la base de cualquier estrategia de protección contra phishing. Sin ellos, los atacantes pueden suplantar libremente tu dominio y enviar mensajes maliciosos que parecen provenir de tu propia organización.

• SPF (Sender Policy Framework) especifica qué servidores de correo están autorizados para enviar correos en nombre de tu dominio. Cualquier mensaje enviado desde un servidor no autorizado puede marcarse o rechazarse.

• DKIM (DomainKeys Identified Mail) añade una firma criptográfica a los correos salientes, lo que permite que los servidores receptores verifiquen que el mensaje no fue alterado en tránsito.

• DMARC (Domain-based Message Authentication, Reporting & Conformance) une SPF y DKIM, e indica a los servidores de correo receptores qué hacer cuando un mensaje falla la autenticación: ponerlo en cuarentena, rechazarlo o dejarlo pasar. DMARC también ofrece generación de informes, para que puedas ver cuándo están suplantando tu dominio.

Juntos, estos tres protocolos forman la base de la protección contra el phishing por correo electrónico. Si no los has configurado, o si tu política de DMARC sigue en "none", tu dominio es vulnerable a la suplantación, y también lo son tus clientes y socios.

Más allá de la autenticación, implementa una puerta de enlace de seguridad de correo capaz, con funciones anti-phishing. Estas herramientas aplican aprendizaje automático y análisis de comportamiento para detectar patrones sospechosos que los filtros basados en firmas pasan por alto, incluidos dominios similares, sitios recién registrados y suplantación de remitentes internos.

Implementa autenticación multifactor (MFA) en todas partes

MFA es uno de los controles más eficaces que puedes implementar contra el phishing. Esta es la razón: incluso cuando un ataque de phishing logra robar la contraseña de un usuario, MFA impide que el atacante use esa credencial para acceder a tus sistemas. Sin el segundo factor (una notificación push, un código de autenticador o una llave de hardware), las credenciales robadas son prácticamente inútiles.

Activa MFA en todas las cuentas y aplicaciones de tu entorno, dando prioridad a:

• Microsoft 365 y Azure AD

• Herramientas de correo y colaboración

• VPN y sistemas de acceso remoto

• Cuentas de administrador y privilegiadas

Cuando sea posible, ve más allá de MFA basado en SMS: los ataques de intercambio de SIM pueden interceptar los códigos enviados por texto. Los autenticadores basados en apps y las llaves de seguridad físicas (como FIDO2) ofrecen una protección mucho más sólida contra el abuso de credenciales.

Las políticas de acceso condicional en Microsoft Entra ID (antes Azure AD) pueden restringir aún más la autenticación, exigiendo MFA según ubicación, estado de cumplimiento del dispositivo o nivel de riesgo, añadiendo contexto inteligente a cada intento de inicio de sesión.

Activa la protección contra phishing en Microsoft 365

Si tu organización usa Microsoft 365, cuentas con un sólido conjunto de herramientas nativas anti-phishing disponibles, pero muchas no están activadas de forma predeterminada. Tomarte el tiempo de configurar correctamente Defender for Office 365 puede reducir significativamente tu exposición a las estafas de phishing por correo electrónico.

Configuraciones clave para activar y ajustar en tu entorno de Microsoft 365:

• Las políticas anti-phishing en Microsoft Defender for Office 365 te permiten configurar la protección contra suplantación para usuarios y dominios específicos, activar la inteligencia de buzón para detectar patrones de envío inusuales y establecer umbrales para los niveles de confianza de phishing.

• Safe Links reescribe las URL en correos y documentos, y las verifica contra la inteligencia de amenazas de Microsoft en el momento del clic, no solo al momento de la entrega. Esto ayuda a detectar enlaces que estaban limpios cuando llegó el correo, pero que después se volvieron maliciosos.

• Safe Attachments aísla los archivos adjuntos de correo antes de la entrega, ejecutándolos en un entorno aislado para detectar comportamientos maliciosos que evaden el escaneo tradicional basado en firmas.

• La inteligencia contra suplantación en Microsoft 365 te ayuda a identificar cuándo remitentes externos están suplantando tu dominio o dominios con los que haces negocios, para que puedas bloquear o marcar esos mensajes antes de que lleguen a los usuarios.

Juntos, estos controles elevan considerablemente la dificultad para los atacantes que intentan llegar a tus bandejas de entrada. Combínalos con tu configuración de SPF/DKIM/DMARC, y habrás construido un objetivo mucho más difícil de vulnerar.

Los controles técnicos son esenciales…pero no bastan por sí solos. Los ataques de phishing están diseñados específicamente para manipular el comportamiento humano. Eso significa que tus empleados necesitan capacitación para reconocer lo que los filtros no detectan.

Implementa Managed Security Awareness Training (SAT)

El security awareness training (SAT) les da a los empleados el conocimiento y los instintos para identificar intentos de phishing antes de que causen daño. La palabra clave aquí es "administrado": un SAT eficaz está a cargo de un equipo de expertos, lo que elimina la carga de preparar y distribuir capacitación periódica y actualizada que refleje las amenazas modernas. Esto les ahorra a las organizaciones más de 10 horas al mes y asegura que el programa sea continuo y evolucione.

Huntress Managed Security Awareness Training ofrece contenido atractivo basado en marcos comprobados de aprendizaje para adultos que les enseña a los empleados a detectar las señales de alerta de un correo de phishing, a entender las tácticas que usan los atacantes (urgencia, suplantación de identidad, spoofing) y a enviar un informe sobre actividad sospechosa en lugar de caer en la trampa. Los investigadores de amenazas de Huntress usan inteligencia de amenazas del mundo real para mantener los módulos de capacitación actualizados, de modo que tu equipo esté preparado para los ataques que afectan a las organizaciones hoy, no los de hace dos años.

Ejecuta simulaciones de phishing para probar respuestas reales

La capacitación les dice a los empleados qué deben buscar. Las simulaciones de phishing muestran si realmente lo hacen. Las campañas de phishing simuladas envían a tu equipo correos de phishing realistas pero inofensivos, y registran quién hace clic, quién envía un informe y quién los ignora.

Estos datos son valiosos de dos maneras. Primero, identifican a los empleados que necesitan capacitación adicional antes de que un atacante real los tenga en la mira. Segundo, le dan a tu equipo de seguridad una base medible del desempeño de tu organización a lo largo del tiempo, y si tu inversión en capacitación realmente está funcionando.

Las simulaciones son más eficaces cuando reflejan las tendencias actuales de amenazas. Las pruebas genéricas del tipo "tu paquete fue enviado" son útiles, pero también lo son las simulaciones que imitan páginas de inicio de sesión de Microsoft 365, solicitudes de DocuSign o comunicaciones internas de TI: los mismos señuelos que los atacantes usan contra empresas como la tuya.

Crea políticas claras sobre cómo enviar un informe de un correo de phishing

Tus empleados se van a encontrar con correos sospechosos. Cuando eso pase, quieres que envíen un informe de inmediato, sin dudar, sin borrarlo y, sobre todo, sin hacer clic en nada primero. Tener políticas claras, válidas para toda la organización, sobre cómo enviar un informe de un correo de phishing es una parte fundamental de tu defensa.

Establece y comunica un proceso sencillo para enviar un informe:

1. No hagas clic, no respondas ni reenvíes el mensaje. Incluso hacer clic en "cancelar suscripción" puede confirmar que tu dirección está activa e invitar más ataques.

2. Usa el botón de informe integrado. Tanto Microsoft Outlook como Gmail tienen funciones integradas para enviar un informe de phishing, y nuestro servicio Managed SAT también ofrece un botón dedicado de "Informe de phishing". Puedes elegir entre la opción integrada o el botón de Managed SAT; ambos envían los mensajes sospechosos a tu equipo de seguridad y ayudan a mejorar los filtros de correo.

3. Avisa a TI o al equipo de seguridad. Los empleados deben saber exactamente a quién contactar y cómo hacerlo: por Slack, correo electrónico, un sistema de tickets o una línea directa de seguridad.

4. Avisa a tus colegas. Las campañas de phishing suelen apuntar a varios empleados a la vez. Un solo informe puede proteger a todo el equipo.

Incluso con los mejores controles de correo electrónico y un equipo bien capacitado, algunos ataques de phishing logran pasar. Y cuando esto sucede, cuando roban una credencial y un atacante obtiene acceso a una cuenta legítima de Microsoft 365, la amenaza ya no se parece en nada a la estafa de phishing por correo electrónico. Se ve como un usuario normal iniciando sesión.

Aquí es donde las herramientas de seguridad tradicionales se quedan en silencio. Y es exactamente donde entra Huntress Managed ITDR.

Por qué necesitas monitoreo de identidad para la protección contra phishing

La mayoría de los ataques de phishing no son el objetivo final: son el punto de entrada. Un correo de phishing que recolecta credenciales tiene éxito no cuando alguien hace clic en el enlace, sino cuando el atacante usa esas credenciales robadas para iniciar sesión en tu entorno de Microsoft 365 sin ser detectado.

Una vez dentro, pueden acceder a correo electrónico, SharePoint y Teams. Pueden configurar reglas de reenvío para exfiltrar comunicaciones. Pueden enviar correos de phishing internos desde una cuenta confiable, correos que tu gateway nunca marcará porque vienen de ti. Pueden restablecer contraseñas, otorgarse privilegios de administrador y moverse lateralmente por tu entorno.

La seguridad de correo electrónico tradicional no puede ver nada de esto. Está observando el perímetro. El monitoreo de identidad vigila lo que sucede después de la autenticación: el comportamiento dentro de tu entorno que indica que algo salió mal.

Cómo Managed ITDR detecta el abuso de credenciales y la toma de control de una cuenta

Huntress Managed ITDR monitorea tu entorno de Microsoft 365 de forma continua, analizando la actividad de inicio de sesión, el comportamiento de las sesiones y los cambios de configuración en busca de indicadores de compromiso que los filtros de correo nunca fueron diseñados para detectar.

En concreto, Managed ITDR vigila comportamientos de identidad y buzón que suelen aparecer en incidentes de compromiso de correo empresarial y toma de control de una cuenta, entre ellos:

• Actividad de inicio de sesión sospechosa que sugiere que las credenciales o sesiones se están usando desde ubicaciones o dispositivos inesperados.

• Reglas de bandeja de entrada y reenvío maliciosas o inusuales que reenvían correo al exterior u ocultan mensajes del usuario, un comportamiento clásico de “flujo de trabajo oculto” tras un compromiso.

• Aplicaciones OAuth no autorizadas o con privilegios excesivos a las que se les ha otorgado acceso a buzones y archivos y que pueden ser utilizadas para mantener persistencia y acceder a datos.

• Otros cambios riesgosos de identidad y configuración dentro de Microsoft 365 / Entra ID que indican un acceso no deseado y requieren investigación por parte del Huntress SOC.

Cuando aparecen estas señales, el Centro de operaciones de seguridad (SOC) de Huntress, disponible 24/7, no solo genera una alerta: los analistas investigan, validan la amenaza y entregan un plan de corrección claro para que tu equipo pueda actuar de inmediato. Sin fatiga por alertas. Sin perseguir falsos positivos. Solo la inteligencia que necesitas para detener una toma de control de una cuenta impulsada por phishing antes de que se convierta en una brecha

El phishing no va a desaparecer — y a medida que los atacantes se vuelven más sofisticados, la brecha entre lo que los filtros de correo detectan y lo que realmente llega a tu equipo solo sigue creciendo. Detener los correos de phishing hoy significa combinar controles técnicos sólidos en la puerta de enlace de correo, capacitación continua de los usuarios y monitoreo a nivel de identidad que detecta el compromiso incluso cuando el correo de phishing logra pasar.

Huntress está diseñado para complementar tu stack de seguridad de correo existente. Managed Security Awareness Training (SAT) convierte a los empleados en una línea de defensa activa con episodios narrativos y simulaciones de phishing realistas basadas en tácticas del mundo real. Managed ITDR monitorea de forma continua tus identidades y correo de Microsoft 365 en busca de toma de control de una cuenta, comportamientos de compromiso de correo empresarial, reglas de bandeja de entrada maliciosas, las aplicaciones fraudulentas y otras amenazas basadas en identidad que las puertas de enlace de correo tradicionales no pueden ver.