El phishing sigue siendo una de las vías más utilizadas para comprometer cuentas corporativas, robar credenciales y acceder a información o sistemas internos. Y el problema no termina cuando alguien hace clic: empieza cuando el atacante consigue actuar como un usuario legítimo.
En este artículo veremos cómo evitar el phishing en una empresa, qué controles reducen de verdad el riesgo y cómo responder si una cuenta de Microsoft 365 queda comprometida.
Una cuenta corporativa puede dar acceso a mucho más que al correo electrónico. También puede abrir la puerta a documentos, Teams, SharePoint, OneDrive, aplicaciones SaaS, VPN, herramientas de gestión y otros recursos críticos para el negocio.
Por eso, la protección frente al phishing no debería abordarse como una iniciativa aislada. Debe formar parte de una estrategia de ciberseguridad para empresas que conecte la protección de identidades, dispositivos, datos y entornos cloud con la monitorización y la respuesta ante incidentes.
Dicho de forma sencilla: hay que intentar que el engaño no llegue al usuario, evitar que una credencial robada sea suficiente para entrar y limitar lo que el atacante podría hacer si aun así lo consigue.
Por qué el phishing es una amenaza crítica para las empresas
El phishing es una técnica de engaño diseñada para que una persona revele credenciales, descargue malware o realice una acción que comprometa la seguridad de la empresa.
La idea no es nueva. Lo que ha cambiado es la calidad del engaño.
Los mensajes actuales pueden imitar con bastante precisión a un proveedor, un cliente, un directivo, el equipo de soporte, una entidad bancaria o una plataforma como Microsoft 365. Además, la inteligencia artificial facilita la creación de textos correctos, personalizados y adaptados al idioma y al contexto de la víctima.
El ataque tampoco tiene por qué llegar en forma de correo. Puede aparecer mediante:
- SMS o aplicaciones de mensajería.
- Llamadas que suplantan a soporte técnico o a un responsable de la empresa.
- Códigos QR que conducen a una página de inicio de sesión falsa.
- Invitaciones a documentos o reuniones.
- Mensajes en Teams u otras plataformas de colaboración.
- Conversaciones reales secuestradas después de comprometer la cuenta de un cliente o proveedor.
Esta última situación es especialmente peligrosa. Cuando el mensaje llega desde una cuenta legítima y continúa una conversación que ya existía, muchas de las señales habituales de alerta desaparecen.
El verdadero riesgo, por tanto, no está solo en el clic. Está en lo que ocurre después. Un atacante puede:
- Obtener usuario y contraseña.
- Capturar tokens o sesiones autenticadas.
- Instalar malware en un dispositivo.
- Modificar datos bancarios o instrucciones de pago.
- Acceder a información sensible.
- Utilizar una cuenta legítima para atacar a otras personas.
Así es como un mensaje aparentemente inofensivo puede terminar en fraude, pérdida de información, ransomware, espionaje o interrupción del negocio.
Cómo el phishing deriva en robo de credenciales y accesos no autorizados
El robo de credenciales es una posible consecuencia del phishing. El atacante intenta que el usuario introduzca sus datos en una página falsa o que los entregue directamente. A partir de ese momento, puede probar esas credenciales contra distintos servicios.
El proceso suele seguir varias fases:
- Engaño inicial. El usuario recibe un mensaje que parece legítimo y urgente.
- Captura de información. La víctima introduce sus credenciales o aprueba una solicitud.
- Validación del acceso. El atacante comprueba si la cuenta funciona y qué recursos puede utilizar.
- Persistencia. Puede registrar nuevos métodos de autenticación, crear reglas de correo o mantener sesiones abiertas.
- Expansión. Busca otras cuentas, permisos, aplicaciones y datos a los que acceder.
- Explotación. La cuenta se utiliza para fraude, robo de información, distribución de malware o nuevos ataques.
El impacto puede ser mayor cuando las contraseñas se reutilizan en distintos servicios. Una credencial obtenida mediante phishing puede abrir la puerta al correo corporativo, Microsoft 365, VPN, herramientas de gestión, aplicaciones de clientes o servicios cloud.
Incluso cuando la contraseña no se reutiliza, una sesión capturada o un consentimiento malicioso a una aplicación puede permitir el acceso sin que el atacante necesite volver a introducirla.
Los ataques de tipo adversary-in-the-middle pueden interceptar una sesión después de que el usuario complete el inicio de sesión, incluido un segundo factor que no sea resistente al phishing. Del mismo modo, una aplicación maliciosa con permisos concedidos puede conservar acceso a determinados datos sin necesitar la contraseña en cada operación.
La conclusión es importante: no basta con proteger la contraseña. También hay que proteger las sesiones, los métodos de autenticación, las aplicaciones autorizadas, los dispositivos y los permisos de la cuenta.
Qué puede ocurrir si comprometen una cuenta de Microsoft 365
Microsoft 365 concentra una parte importante de la actividad empresarial: correo, documentos, calendarios, colaboración, identidad y aplicaciones. Esto convierte sus cuentas en objetivos de alto valor.
Un atacante que compromete un buzón puede:
- Leer conversaciones internas y documentos adjuntos.
- Identificar pagos, contratos y operaciones en curso.
- Suplantar a empleados ante clientes o proveedores.
- Enviar nuevos mensajes de phishing desde una cuenta legítima.
- Crear reglas para ocultar respuestas o desviar mensajes.
- Configurar reenvíos externos.
- Acceder a SharePoint, OneDrive, Teams y otros servicios.
- Buscar información que facilite un ataque posterior.
En un ataque de Business Email Compromise (BEC) ni siquiera hace falta instalar malware. El delincuente puede observar una conversación durante días y actuar justo cuando aparece una factura, una transferencia o un cambio de proveedor.
Por eso, cualquier solicitud de modificar datos bancarios o ejecutar un pago debería verificarse por un canal independiente y conocido. Responder al mismo correo o llamar al teléfono incluido en el mensaje no ofrece una verificación fiable si la conversación ya está comprometida.
La seguridad en Microsoft 365 exige revisar métodos de autenticación, acceso condicional, permisos, aplicaciones empresariales, reglas de correo, reenvíos, delegaciones, accesos externos y actividad sobre los datos.
Medidas clave para proteger tu empresa frente al phishing
No existe un único control capaz de detener todos los ataques. La protección eficaz combina prevención, detección y respuesta.
1. Aplicar MFA a todas las cuentas, no solo a los administradores
La autenticación multifactor debería cubrir todas las cuentas corporativas. Administradores, finanzas, dirección, soporte y usuarios con acceso a información sensible necesitan controles más estrictos, pero una cuenta aparentemente poco relevante también puede servir para ganar confianza, enviar mensajes internos o localizar datos útiles.
Siempre que sea posible, conviene priorizar métodos resistentes al phishing, como passkeys y llaves de seguridad FIDO2 o autenticación basada en certificados correctamente desplegada. Estos métodos vinculan la autenticación al servicio legítimo y ofrecen una protección superior frente a páginas de acceso falsas.
Los códigos por SMS, los códigos de un solo uso y las notificaciones de aprobación aportan más seguridad que utilizar solo una contraseña, pero pueden ser vulnerables a técnicas de ingeniería social, fatiga de MFA o intermediación de sesión.
Si todavía se utilizan notificaciones push, mostrar el número de la operación y el contexto del acceso ayuda a reducir aprobaciones accidentales. Aun así, debería entenderse como un paso intermedio, no como el objetivo final.
2. Configurar el Acceso Condicional
El acceso condicional (conditional access) permite evaluar el contexto de un inicio de sesión antes de conceder acceso. Las políticas pueden tener en cuenta el usuario, la aplicación, el dispositivo, la ubicación, el nivel de riesgo y otros factores.
Entre las medidas habituales se encuentran:
- Bloquear autenticaciones heredadas.
- Exigir MFA en situaciones de riesgo.
- Restringir el acceso desde dispositivos no gestionados.
- Limitar ubicaciones o países no autorizados.
- Solicitar dispositivos conformes con las políticas corporativas.
- Aplicar controles más estrictos a administradores.
Estas políticas deben desplegarse de forma controlada, empezando por modo informe o grupos piloto cuando corresponda. También es necesario conservar cuentas de acceso de emergencia, muy protegidas y monitorizadas, para evitar que una configuración incorrecta bloquee a toda la organización.
El objetivo no es llenar el entorno de excepciones ni bloquear países de forma indiscriminada, sino aplicar una decisión de acceso coherente con el riesgo real de cada contexto.
3. Reforzar la seguridad del correo
La seguridad del correo corporativo debe combinar filtrado antispam, detección de phishing, análisis de URLs y adjuntos, protección contra suplantación y políticas de autenticación del dominio.
También es recomendable revisar:
- SPF, DKIM y DMARC.
- Dominios parecidos utilizados para suplantación.
- Reglas de reenvío automático.
- Buzones compartidos y cuentas genéricas.
- Permisos de delegación.
- Mensajes procedentes de remitentes externos.
- Alertas sobre cambios sensibles en Exchange y Microsoft 365.
3. Formar y probar a los usuarios
La formación debe ayudar a los usuarios a tomar mejores decisiones ante situaciones reales, no limitarse a explicar conceptos teóricos. Deben saber detectar señales de alerta como mensajes urgentes, solicitudes de credenciales, cambios inesperados en datos bancarios, enlaces sospechosos o peticiones que se saltan los procedimientos habituales.
Las simulaciones de ataque, entre las que se puede incluir simulaciones de phishing, pueden ayudar a detectar colectivos de mayor riesgo y medir la evolución. No deben utilizarse únicamente para señalar errores, sino para reforzar comportamientos y mejorar los procesos de reporte.
4. Monitorizar identidades, dispositivos y aplicaciones
La detección temprana requiere correlacionar señales de distintas fuentes: identidad, correo, endpoints, aplicaciones cloud y actividad sobre datos.
Las alertas deberían cubrir, entre otros casos:
- Inicios de sesión desde ubicaciones o dispositivos inusuales.
- Cambios repentinos en métodos MFA.
- Creación de reglas de reenvío.
- Descargas masivas de documentos.
- Consentimientos a aplicaciones desconocidas.
- Elevación de privilegios.
- Accesos fuera del horario habitual.
- Intentos repetidos de autenticación.
En organizaciones con mayor exposición, un servicio de SOC 24×7 puede ayudar a centralizar la monitorización y priorizar incidentes.
5. Revisar permisos y privilegios
Una cuenta comprometida es más peligrosa cuando tiene permisos excesivos. La empresa debe aplicar el principio de mínimo privilegio, separar cuentas administrativas y revisar periódicamente los accesos a datos, aplicaciones y grupos.
También conviene eliminar cuentas inactivas, limitar las cuentas compartidas y establecer procesos de alta, cambio de puesto y baja. La protección de identidades no termina en la autenticación: también incluye qué puede hacer cada cuenta después de iniciar sesión.
Esta combinación responde a los principios de una estrategia de seguridad Zero Trust: no confiar automáticamente en un acceso por disponer de unas credenciales válidas y verificar continuamente la identidad, el dispositivo y el contexto.
Cómo detectar una cuenta comprometida
Una cuenta puede estar comprometida aunque el usuario no haya descargado malware. Las señales de alerta deben analizarse en conjunto y contrastarse con la actividad habitual.
Algunos indicadores son:
- Inicios de sesión desde ubicaciones inesperadas.
- Accesos desde dispositivos desconocidos.
- Actividad fuera del horario habitual.
- Cambios no solicitados en la contraseña o en los métodos MFA.
- Reglas de correo nuevas o reenvíos externos.
- Mensajes enviados que el usuario no reconoce.
- Solicitudes de pago o cambios bancarios inusuales.
- Descargas masivas en SharePoint o OneDrive.
- Accesos a aplicaciones que el usuario no utiliza.
- Elevación de privilegios o pertenencia a grupos nuevos.
- Alertas de Microsoft 365, Defender, SIEM o SOC.
Una alerta aislada no siempre confirma un incidente, pero sí debe activar una validación. La velocidad de detección es crítica: cuanto más tiempo permanezca activa una cuenta comprometida, mayor será la posibilidad de fraude, exfiltración o movimiento lateral.
Qué hacer si una cuenta corporativa ha sido comprometida
El compromiso de una cuenta debe gestionarse como un incidente de seguridad, no como un simple cambio de contraseña. La respuesta debe ser rápida, ordenada y documentada.
La respuesta concreta dependerá del alcance, pero debería contemplar estas acciones:
- Contener la cuenta. Bloquear temporalmente el inicio de sesión o restringir el acceso si existe actividad maliciosa.
- Revocar sesiones y tokens. Invalidar las sesiones activas y forzar una nueva autenticación.
- Restablecer las credenciales de forma segura. Comprobar antes la identidad del usuario y evitar reutilizar contraseñas.
- Revisar los métodos MFA. Eliminar teléfonos, llaves, passkeys o métodos que no se reconozcan y volver a registrar los legítimos cuando proceda.
- Retirar la persistencia. Revisar reglas de correo, reenvíos, delegaciones, aplicaciones consentidas y dispositivos registrados.
- Analizar la actividad. Investigar inicios de sesión, correo, documentos, aplicaciones, cambios administrativos y datos consultados o descargados.
- Comprobar el dispositivo. Si existe sospecha de malware o robo de sesión, aislarlo y analizarlo antes de devolverlo al servicio.
- Buscar expansión. Determinar si el atacante accedió a otras cuentas, aplicaciones, clientes, proveedores o sistemas.
- Gestionar el fraude. Si hay pagos implicados, contactar de inmediato con la entidad financiera mediante un canal verificado.
- Avisar a posibles afectados. Advertir a destinatarios de mensajes fraudulentos sin destruir evidencias ni entorpecer la investigación.
- Preservar evidencias. Conservar registros, mensajes, cabeceras y una cronología documentada de decisiones y acciones.
- Evaluar obligaciones legales y contractuales. Coordinar la valoración con seguridad, legal, privacidad y dirección.
- Corregir la causa y validar la recuperación. No cerrar el incidente hasta comprobar que se ha eliminado la persistencia y reforzado el control que falló.
Estas actuaciones deben integrarse en un plan de respuesta ante incidentes y ejecutarse con apoyo especializado cuando el alcance o el impacto lo requieran.
Errores frecuentes al protegerse frente al phishing
Algunos errores habituales reducen la eficacia de los controles:
- Pensar que el filtro de correo es suficiente.
- Aplicar MFA solo a administradores y no al resto de usuarios.
- Utilizar métodos MFA débiles o fáciles de aprobar sin contexto.
- No bloquear protocolos de autenticación heredados.
- No revisar los inicios de sesión anómalos.
- No monitorizar reglas de reenvío y cambios en buzones.
- Conceder permisos excesivos a usuarios o aplicaciones.
- No formar a los colectivos con mayor exposición.
- Realizar simulaciones sin convertir los resultados en mejoras.
- No disponer de un canal claro para reportar mensajes sospechosos.
- No tener un procedimiento definido para cuentas comprometidas.
- No comprobar periódicamente la configuración de Microsoft 365.
- No revisar el acceso de exempleados, proveedores y cuentas inactivas.
La madurez no se mide por disponer de muchas herramientas, sino por saber si están correctamente configuradas, monitorizadas y conectadas con un proceso de respuesta.
Checklist para reducir el riesgo de phishing y robo de credenciales
Esta lista puede servir como primera revisión para CIOs, CISOs y responsables de IT:
Identidad y acceso
- MFA cubre todas las cuentas corporativas.
- Las cuentas críticas utilizan autenticación resistente al phishing cuando es posible.
- La autenticación heredada está bloqueada.
- Existen políticas de acceso condicional probadas y con pocas excepciones.
- Las cuentas administrativas están separadas de las cuentas de uso diario.
- Los permisos, invitados y aplicaciones autorizadas se revisan periódicamente.
- Las cuentas de emergencia están protegidas y monitorizadas.
Correo, dispositivos y datos
- El correo cuenta con protección frente a phishing, suplantación, enlaces y adjuntos.
- SPF, DKIM y DMARC están desplegados y monitorizados en todos los dominios.
- Se detectan reglas sospechosas y reenvíos externos.
- Los endpoints están gestionados, actualizados y protegidos con capacidades de detección y respuesta.
- Se monitorizan descargas masivas y comportamientos anómalos sobre datos.
Personas y procesos - Los usuarios saben verificar pagos y cambios bancarios por un canal independiente.
- Existe un canal sencillo para reportar mensajes sospechosos.
- La formación incluye correo, QR, SMS, llamadas, MFA y aplicaciones maliciosas.
- Las simulaciones se utilizan para mejorar, no para castigar.
- Se mide la tasa y el tiempo de reporte, además de los clics.
Detección y respuesta
- Hay alertas sobre inicios de sesión, métodos MFA, privilegios y aplicaciones.
- El equipo puede revocar sesiones y contener cuentas con rapidez.
- Existe un procedimiento específico para cuentas comprometidas.
- Se conservan registros suficientes para investigar.
- El plan se ha probado mediante simulaciones o ejercicios de crisis.
- Están definidos los responsables de seguridad, IT, legal, privacidad, comunicación y dirección.
Evitar el phishing no consiste en confiar en una sola herramienta
El phishing funciona porque combina tecnología y manipulación. La respuesta debe hacer lo mismo: controles técnicos sólidos, decisiones humanas mejor preparadas y un equipo capaz de detectar y actuar.
Ninguna empresa puede garantizar que nadie caerá nunca en un engaño. Lo que sí puede hacer es reforzar su capacidad de prevención, detección y respuesta con servicios de ciberseguridad que eviten que una contraseña robada baste para acceder, limiten el alcance de una cuenta comprometida y permitan actuar antes de que una anomalía se convierta en una crisis.
Protege tu empresa contra el phishing
Evalúa tu postura de seguridad y revisa si tus identidades, correo y accesos están correctamente protegidos.
Preguntas Frecuentes
sobre Phishing
¿Cómo puede una empresa evitar el phishing?
Debe combinar protección avanzada del correo, MFA, acceso condicional, seguridad de endpoints, formación, simulaciones, monitorización y un proceso de respuesta ante cuentas comprometidas. Ninguna medida aislada cubre todos los escenarios.
¿El MFA evita completamente el phishing?
No. MFA reduce de forma importante el riesgo derivado del robo de contraseñas, pero no elimina los ataques que intentan capturar sesiones, engañar al usuario o manipular sus aprobaciones. Debe complementarse con MFA resistente al phishing, Conditional Access, detección de anomalías y monitorización.
¿Qué hacer si un empleado cae en un phishing?
Hay que informar rápidamente al equipo de IT o seguridad, bloquear o proteger la cuenta, cambiar las credenciales, revocar sesiones, revisar los métodos MFA, analizar reglas de correo y comprobar la actividad reciente. Si existe indicio de acceso a otros recursos, debe activarse el procedimiento de respuesta ante incidentes.
¿Qué diferencia hay entre phishing y robo de credenciales?
El phishing es la técnica de engaño utilizada para inducir una acción, como introducir una contraseña en una página falsa. El robo de credenciales es una posible consecuencia: el atacante obtiene los datos de autenticación y puede utilizarlos para intentar accesos no autorizados.