Los ciberataques han dejado de ser correos electrónicos mal redactados prometiendo herencias millonarias (aunque algunos de estos siguen siendo, increíblemente, vigentes).
El uso de la Inteligencia Artificial ha incrementado la gravedad de estas amenazas, convirtiendo al phishing en un reto aún más importante para las empresas mexicanas y una problemática a nivel nacional que debe ser atendida. Más de 13.5 millones de personas en México han sido víctimas de phishing, registrando pérdidas económicas que promedian los $8,750 pesos por cada incidente
Una de las formas más comunes de phishing en la actualidad son los ataques directos a los colaboradores. Un clic insignificante en un mail, sin el debido conocimiento, abre la puerta a un ataque de ransomware que paralice toda la operación.
En entornos corporativos altamente conectados como los de Guadalajara y el resto del país, la educación digital de tu equipo es la primera línea de defensa. A continuación, desglosamos cinco tácticas modernas de ingeniería social y cómo tu equipo puede identificarlas antes de comprometer su información y la de su empresa.
1. Suplantación de directivos mediante Inteligencia Artificial (Fraude BEC)
El compromiso de correos empresariales (BEC, por sus siglas en inglés) ha escalado de correos falsos del CEO pidiendo tarjetas de regalo, a escenarios mucho más complejos. Los atacantes ahora clonan el estilo de redacción de los directivos usando IA o, en casos avanzados, utilizan “deepfakes” de audio en mensajes de voz por WhatsApp solicitando transferencias urgentes a proveedores ficticios.
Cómo identificarlo: Ningún proceso financiero crítico debe saltarse los protocolos de autorización establecidos por un simple mensaje o correo. Si un colaborador recibe una solicitud inusual de transferencia urgente, debe verificarla mediante una llamada telefónica directa al número conocido del directivo o confirmar por un canal alterno.
2. Dominios homográficos (El truco del enlace invisible)
Los cibercriminales compran dominios de internet que visualmente son idénticos a los de servicios que tu empresa usa a diario (como Microsoft 365, portales bancarios o el propio dominio de tu empresa), pero sustituyen caracteres latinos por letras cirílicas o griegas que lucen igual.
Cómo identificarlo: Entrenar la vista es vital. En lugar de hacer clic en botones como “Revisar factura”, el colaborador debe pasar el cursor sobre el botón (sin hacer clic) para leer la URL real que aparecerá en la esquina inferior del navegador. Si la dirección es [www.micr0soft-login.com](https://www.micr0soft-login.com) en lugar del dominio oficial, es una trampa.
3. Bombardeo de Autenticación Multifactor (MFA Fatigue)
El doble factor de autenticación (MFA) es excelente, pero los hackers han encontrado cómo burlarlo. Si obtienen la contraseña de un colaborador, pero les bloquea el MFA, enviarán decenas de solicitudes de aprobación al celular del empleado a las 3:00 a.m. o en pleno horario de alta carga laboral, esperando que el usuario presione “Aprobar” por pura frustración para que las notificaciones se detengan.
Cómo identificarlo: Si un colaborador recibe una solicitud de inicio de sesión en su celular que él no inició, jamás debe aprobarla. El siguiente paso sería notificar al equipo de TI para realizar un cambio urgente de credenciales.
4. Archivos adjuntos con extensiones disfrazadas
El clásico archivo PDF infectado ha evolucionado. Los atacantes envían facturas, comprobantes de pago o currículums comprimidos en archivos ZIP protegidos con contraseña (para evitar que los antivirus en la nube los escaneen), o utilizan archivos HTML o SVG que redirigen a sitios web de captura de credenciales.
Cómo identificarlo: Sospecha siempre de un archivo comprimido que incluya la contraseña en el mismo correo. Asimismo, los departamentos de Recursos Humanos y Finanzas deben desconfiar de documentos con terminaciones inusuales (.html, .svg, .js) cuando el estándar esperado es un PDF (.pdf) o documento de lectura.
5. Urgencia extrema y manipulación del contexto
Los atacantes modernos aprovechan el calendario, enviando correos, por ejemplo, sobre “Problemas con tu Aguinaldo” en pleno diciembre, “Actualización de políticas de vacaciones” en verano, o notificaciones urgentes del SAT sobre multas fiscales. El objetivo es generar pánico para que el empleado actúe por impulso y no con la lógica.
Cómo identificarlo: La urgencia injustificada es la mayor bandera roja del phishing. Ante un mensaje que exige acción inmediata bajo amenaza de penalización (cierre de cuenta de correo, multas, despidos), el colaborador debe detenerse, respirar y contactar directamente al departamento implicado (TI o Recursos Humanos) sin usar los enlaces del correo sospechoso.
Dale el extra a tu empresa
Capacitar a tu equipo con esta información es un avance crucial, pero en el día a día operativo, el error humano es inevitable. Para lograr una protección corporativa total, la red de tu empresa debe estar preparada para mitigar la amenaza de forma automática antes de que llegue a la bandeja de entrada de los usuarios.
A través de nuestros servicios de Infraestructura y Seguridad, blindamos las operaciones de tu negocio, implementamos soluciones integrales de ciberseguridad y nos encargamos de asegurar tus activos digitales, permitiendo que tu empresa trabaje con absoluta tranquilidad.
Contáctanos para una cotización personalizada y opera tranquilo con Novacti a tu lado.
