La palabra phishing viene del inglés fishing, pesca. Y la analogía es bastante literal: alguien lanza el cebo.
Se trata de correos falsos (phishing) o SMS (smishing) que parecen y suplantan a bancos, proveedores habituales, clientes, Agencia Tributaria, mensajerías, familiares, etc., y esperan sentados a que alguien muerda el anzuelo.
Consideramos muy importante comunicaros esto porque en los últimos meses hemos visto cómo varios clientes nuestros lo han sufrido. No son casos lejanos ni estadísticas: son empresas de nuestro entorno, con equipos pequeños, gente que estaba trabajando y abrió un correo que parecía normal.
Hemos conocido estafas que han superado los 20.000 €.
Lo que tienen en común casi todos los casos es la prisa. El mensaje avisa de un pago pendiente o de un envío retenido y pide resolverlo hoy mismo. Esa urgencia está puesta ahí para que nadie se pare a comprobar nada.
¿Qué tienes que hacer para verificar la identidad?
- ¿Quién escribe de verdad? Porque suplantan la identidad de otro, y algunas veces solo cambian una letra o número del contacto que recibirías en realidad.
- Contactar con la persona por otra vía diferente al mail.
- No abrir ningún archivo comprimido adjunto ni hacer clic en enlaces.
- Desconfiar de cualquier cambio de número de cuenta. Ningún proveedor serio comunica un IBAN nuevo por correo sin confirmarlo también por teléfono.
- Ante cualquier duda, llamar al 017 del INCIBE (Instituto Nacional de Ciberseguridad).
No necesitan que piquen todos, con una persona o empresa entre todo el bombardeo que hacen es suficiente. Quien hace el clic puede ser cualquiera, por eso la mayoría de las estafas son mails o mensajes que imitan a alguien de confianza.
Y no es solo nuestra sensación: según el balance de INCIBE, en 2024 se gestionaron 97.348 incidentes de ciberseguridad en España, de los cuales 51.571 fueron casos de phishing.
Si alguien del equipo duda, es mejor que pregunte. Cuesta menos confirmar una transferencia por teléfono que recuperarla después.
Proximamente os facilitaremos una segunda parte de este articulo. Donde os mostraremos los casos concretos que más estamos viendo entre nuestros clientes, desde los avisos falsos de caducidad de dominio hasta los mensajes que suplantan a Instagram o Facebook, y qué hacer en las primeras horas si ya se ha picado.