Phishing en empresas: cómo detectarlo y prevenirlo en tu PYME
El phishing en empresas consiste en correos fraudulentos que suplantan identidades de confianza —bancos, proveedores o directivos— para robar credenciales o conseguir transferencias de dinero. Para detectarlo hay que revisar el dominio real del remitente, las URLs ocultas y los indicios de urgencia artificial. Para prevenirlo, una PYME necesita tres capas: autenticación técnica (SPF, DKIM, DMARC y MFA), un protocolo de verificación para pagos, y formación periódica con simulacros reales.
En 2025, el phishing fue el fraude online más frecuente en España: INCIBE gestionó 25.133 incidentes de este tipo, un 19% más que el año anterior, dentro de un total de 122.223 ciberincidentes registrados en todo el año (INCIBE, Balance de Ciberseguridad 2025). El 60% de esos incidentes afectaron a PYMEs y autónomos. Y según el informe Verizon DBIR 2025, el factor humano está detrás del 60% de todas las brechas de seguridad confirmadas, lo que convierte la formación del equipo en una medida tan crítica como cualquier herramienta técnica.
El problema no es solo la frecuencia. Es que el phishing de 2026 ya no se parece al de hace tres años: los errores ortográficos han desaparecido, los correos están personalizados con información real sobre la empresa, y los ataques dirigidos a PYMEs han sustituido los envíos masivos genéricos por campañas de spear phishing diseñadas para engañar incluso a perfiles técnicos experimentados.
Tipos de phishing que atacan a las empresas españolas
No todos los intentos de phishing son iguales. Conocer las variantes ayuda a identificar cuál es el riesgo real para cada empresa y qué medidas priorizas.
Phishing masivo: el más frecuente
El phishing masivo es el que todo el mundo conoce: un correo aparentemente enviado por un banco, por la Agencia Tributaria, por Correos o por un servicio como Microsoft, que pide verificar credenciales o hacer clic en un enlace. Se envía a millones de destinatarios a la vez y no tiene personalización.
En las PYMEs, el impacto suele ser el robo de credenciales corporativas: un empleado introduce su usuario y contraseña en una web falsa y el atacante accede al correo, al sistema de ficheros o a la banca online de la empresa. El daño depende del nivel de acceso de esa cuenta.
Spear phishing: el más peligroso por tasa de éxito
El spear phishing está dirigido a una persona concreta. El atacante investiga previamente: nombre del destinatario, cargo, empresa, proyectos activos, nombre de su responsable o de un proveedor habitual. El correo resultante parece completamente legítimo porque usa información real.
Un ejemplo habitual: el responsable de administración recibe un correo de quien parece ser el director financiero, referenciando un proyecto real de la empresa, pidiendo que procese una factura urgente antes del cierre del trimestre. La tasa de éxito del spear phishing es significativamente mayor que la del phishing masivo precisamente porque la personalización elimina la mayoría de las señales de alerta obvias.
BEC (Business Email Compromise): el más caro
El BEC (Business Email Compromise o compromiso de correo corporativo) es la variante más cara para las PYMEs. El atacante suplanta la identidad del CEO, de un alto directivo o de un proveedor de confianza —a veces accediendo previamente al correo real— para solicitar una transferencia urgente o un cambio de cuenta bancaria para el próximo pago.
Las pérdidas medias por incidente BEC rondan los 50.000 dólares según el FBI, y el dinero transferido raramente se recupera porque el atacante lo mueve a cuentas intermedias en jurisdicciones complicadas en cuestión de minutos. En las PYMEs españolas, los casos más frecuentes que vemos implican proveedores habituales cuya identidad de correo ha sido comprometida, o simulaciones de urgencia del CEO para pagos fuera del circuito normal de aprobación.
Cómo detectar un correo de phishing: 7 señales de alerta
Estas señales no garantizan por sí solas que un correo sea fraudulento, pero dos o más juntas deben activar la verificación:
1. Dominio del remitente alterado. El nombre visible puede ser correcto, pero la dirección real del remitente no. Revisar el campo “De:” completo: soporte@microsoft-ayuda.com no es @microsoft.com. Los atacantes registran dominios parecidos con variaciones mínimas: guiones, letras transpuestas, extensiones diferentes (.net en vez de .es).
2. Urgencia artificial. “Tu cuenta será bloqueada en 24 horas”, “Acción requerida inmediatamente”, “Pago pendiente de confirmación”. La presión de tiempo es una técnica deliberada para que el destinatario actúe antes de pensar.
3. URL que no coincide con el texto. Antes de hacer clic en cualquier enlace, pasar el cursor por encima (sin clicar) y revisar la URL real que aparece en la barra inferior del navegador o en el tooltip. Si el texto del enlace dice “Accede a tu cuenta de Microsoft” pero la URL apunta a login-microsoft.secureaccount.ru, es phishing.
4. Solicitud de credenciales o datos bancarios. Ningún banco, ningún servicio legítimo ni ningún proveedor real pide contraseñas, PINs o datos completos de tarjeta por correo electrónico.
5. Adjunto inesperado. Una factura de un proveedor con el que no has tenido contacto recientemente, un documento Office que pide habilitar macros al abrirse, un archivo .zip con un ejecutable dentro.
6. Saludo genérico. “Estimado cliente”, “Estimado usuario”. Los servicios donde tienes cuenta conocen tu nombre. Un saludo genérico en un correo que dice ser de tu banco o de Microsoft es señal de envío masivo.
7. Cabecera de respuesta diferente. Si el correo tiene configurada una dirección de respuesta distinta a la del remitente, el atacante recibe las respuestas aunque el correo aparente venir de una dirección legítima.
Por qué el phishing de 2026 es más difícil de detectar que nunca
Hasta hace dos o tres años, la primera señal de phishing era el español deficiente. Los correos fraudulentos tenían errores ortográficos obvios, construcciones gramaticales extrañas y formatos que no coincidían con los originales.
En 2026 eso ya no funciona como filtro. Los atacantes usan modelos de lenguaje para redactar correos gramaticalmente perfectos, con el tono y el vocabulario apropiados para cada sector. Pueden personalizarlos a escala: un mismo ataque puede generar miles de variantes individualizadas con el nombre del destinatario, su cargo, su empresa y referencias a proyectos reales obtenidos de LinkedIn o de información pública.
Además, hay dos variantes que afectan especialmente a las PYMEs:
- Vishing con clonación de voz. Los atacantes extraen audio de vídeos en redes sociales para clonar la voz de un directivo y hacer llamadas telefónicas pidiendo pagos urgentes. Varios casos se han detectado en España en 2025.
- QR phishing (quishing). Los correos incluyen códigos QR en vez de enlaces de texto, porque los filtros de seguridad del correo no analizan el contenido de las imágenes con la misma eficacia que los hipertextos.
El implicar de todo esto para las PYMEs es que la formación del equipo no puede limitarse a “desconfía de correos con errores”. Las señales de alerta han cambiado, y la única defensa fiable en el nivel humano es el hábito de verificación antes de actuar.
Cómo proteger tu empresa del phishing: tres capas de defensa
Una PYME no puede depender de una sola medida. La defensa efectiva requiere tres capas que se complementan.
Capa 1 — Técnica: autenticación y filtros
La capa técnica reduce drásticamente el volumen de correos fraudulentos que llegan al buzón y hace más difícil que los atacantes suplanten el dominio de la empresa.
SPF, DKIM y DMARC en el dominio propio. Estos tres registros DNS determinan qué servidores pueden enviar correo en nombre del dominio y qué hace el servidor receptor cuando un mensaje falla la verificación. Sin ellos configurados correctamente, cualquiera puede enviar correos que parezcan venir de la dirección corporativa. La configuración completa lleva entre 2 y 4 horas con acceso al DNS. Para quienes usan Microsoft 365, el proceso detallado está en nuestra guía sobre cómo proteger el correo corporativo en Microsoft 365.
MFA (autenticación multifactor) en todas las cuentas. Si un empleado cae en un phishing y entrega su contraseña, el MFA evita que el atacante acceda a la cuenta con esa contraseña sola. Microsoft estima que el MFA bloquea más del 99% de los ataques de robo de credenciales. Es la medida con mejor relación coste-impacto de toda la lista.
Filtros anti-phishing y análisis de adjuntos en sandbox. Las soluciones como Microsoft Defender for Office 365 (incluida en Business Premium) analizan los adjuntos en un entorno aislado antes de entregarlos al buzón, y reescriben los enlaces para verificarlos en tiempo real cuando el usuario hace clic. Herramientas como Bitdefender GravityZone incluyen protección equivalente a nivel de endpoint.
Bloqueo del reenvío automático al exterior. Una vez que un atacante accede a un buzón, configura el reenvío automático para recibir todos los correos sin que el usuario lo note. Esta regla se bloquea en la política de salida anti-spam en Microsoft 365 y debe estar activa por defecto.
Si no tienes claro el estado actual de la configuración de tu correo o tu dominio, nuestro servicio de ciberseguridad para empresas incluye la auditoría completa de SPF/DKIM/DMARC y la revisión de las políticas anti-phishing activas.
Capa 2 — Procedimental: el protocolo de doble verificación
Esta es la capa que más diferencia hace frente al BEC y al spear phishing, y la que menos PYMEs tienen implementada.
La regla fundamental: ninguna solicitud de transferencia, cambio de cuenta bancaria, acceso a datos sensibles o aprobación de gasto significativo recibida únicamente por correo electrónico se ejecuta sin verificación independiente.
El protocolo concreto que recomendamos en IBERSYA para PYMEs de 20 a 80 empleados:
- Si recibes una solicitud de transferencia o cambio de datos bancarios por correo, llama al remitente al número de teléfono que ya tenías registrado —nunca al que aparezca en el correo.
- Si el correo “urgente” viene supuestamente del CEO o de un directivo fuera de la oficina, no lo proceses sin confirmación verbal o por un segundo canal (Teams, mensaje al móvil conocido).
- Las facturas de proveedores con cambio de IBAN se verifican llamando a la persona de contacto habitual antes de actualizar los datos.
- Cualquier solicitud que incluya “urgente”, “confidencial” o “no lo comentes con nadie” activa automáticamente el protocolo de verificación.
Este protocolo documentado, incluido en la política de seguridad de la empresa, es la protección más efectiva contra el BEC. Un atacante no puede superar una llamada de teléfono al número real.
Capa 3 — Humana: formación con simulacros reales
La formación puntual, del tipo “charla de media hora anual”, no cambia el comportamiento. Lo que funciona son los simulacros periódicos: enviar correos de phishing falsos a los empleados, sin avisar, para medir cuántos hacen clic, cuántos reportan el correo y qué tipo de señales pasan desapercibidas.
Los datos de las empresas donde hemos implementado esta metodología muestran una reducción de la tasa de clic del 60% al 8% en tres rondas de simulacros a lo largo de seis meses. El efecto es que el equipo desarrolla el hábito de verificar antes de actuar, no porque lo hayan memorizado, sino porque lo han practicado.
La formación debe incluir:
- Cómo verificar el dominio real del remitente en el cliente de correo
- Cómo ver la URL real de un enlace antes de hacer clic
- El protocolo de la empresa para reportar correos sospechosos (y a quién)
- Qué hacer si ya se ha hecho clic: los primeros diez minutos importan
Las formaciones bonificadas por FUNDAE permiten financiar estos programas sin coste para la empresa. Nuestro servicio de formación en ciberseguridad para empresas incluye simulacros de phishing, talleres prácticos y seguimiento de métricas para medir el nivel de resiliencia del equipo.
¿Tu equipo sabría distinguir un correo de phishing dirigido de uno legítimo? En IBERSYA diseñamos simulacros reales y formación práctica adaptada a PYMEs. Consulta cómo funciona el programa.
Errores frecuentes ante el phishing en PYMEs
Confiar en que “eso no nos va a pasar a nosotros”. Las PYMEs son el objetivo del 60% de los ciberataques en España precisamente porque tienen datos valiosos y defensas menores que las grandes empresas. El ataque no discrimina por tamaño: automatiza el targeting.
Depender solo de los filtros de spam. Los filtros de spam eliminan el phishing masivo obvio. No detectan el spear phishing personalizado, el BEC ni el quishing (phishing por QR). Tratar el spam como la única capa de defensa deja el correo corporativo expuesto a los ataques más peligrosos.
No tener protocolo para correos sospechosos. Cuando un empleado recibe un correo dudoso y no sabe qué hacer, o lo ignora o lo reporta por el canal equivocado. Sin un procedimiento claro —a quién reportar, qué información incluir, qué no hacer— los incidentes se reportan tarde o no se reportan.
Borrar el correo sospechoso inmediatamente. Si un empleado ha hecho clic en un enlace de phishing, borrar el correo destruye evidencia forense y dificulta el análisis del incidente. El correo debe conservarse y exportarse con cabeceras completas antes de eliminarlo.
Pensar que el MFA es suficiente sin formación. El MFA protege la cuenta incluso cuando la contraseña está comprometida, pero no evita que el empleado autorice él mismo una operación fraudulenta porque creyó que era legítima. La técnica y lo humano tienen que trabajar juntos.
Olvidar a los proveedores. Un proveedor con el correo comprometido es la puerta de entrada a un BEC casi imposible de detectar: el correo viene de una dirección real, conocida, con el tono correcto. La verificación por doble canal aplica también cuando el remitente es alguien de confianza.
Preguntas frecuentes sobre phishing en empresas
¿Cómo saber si un correo es phishing?
Un correo de phishing suele presentar alguna de estas señales: remitente con dominio ligeramente alterado (por ejemplo, @microsoft-soporte.com en vez de @microsoft.com), urgencia artificial como “Tu cuenta será bloqueada en 24 horas”, enlace cuya URL real no coincide con el texto visible al pasar el cursor, solicitud de contraseñas o datos bancarios, y archivos adjuntos inesperados en formatos como .exe, .zip o documentos Office con macros. Si el correo incluye dos o más de estas señales, trátalo como fraude y verifica con el remitente por teléfono antes de actuar.
¿Qué diferencia hay entre phishing, spear phishing y BEC?
El phishing masivo se envía a millones de destinatarios sin personalización, como correos falsos de bancos o servicios. El spear phishing está dirigido a una persona concreta usando información real —nombre, empresa, cargo o proyecto activo— para parecer legítimo. El BEC (Business Email Compromise) va un paso más allá: el atacante suplanta al CEO, a un directivo o a un proveedor para solicitar una transferencia urgente o un cambio de datos bancarios. El BEC es el más caro: según el FBI, las pérdidas medias rondan los 50.000 dólares por incidente.
¿Qué hacer si un empleado ha hecho clic en un enlace de phishing?
Actuar en los primeros diez minutos es crítico. Primero, desconectar el equipo de la red (cable y WiFi) para evitar que el malware se propague. Segundo, no apagar el equipo —preserva la memoria volátil para análisis forense. Tercero, cambiar inmediatamente las contraseñas de todas las cuentas a las que se accedió desde ese equipo, especialmente correo y banca online. Cuarto, notificar al responsable IT para evaluar si hay credenciales o datos comprometidos. Quinto, si hay datos personales afectados, notificar a la AEPD en un plazo máximo de 72 horas según el RGPD.
¿Cómo funciona un ataque BEC y cómo prevenirlo?
En un ataque BEC, el atacante estudia la empresa durante días antes de enviar un correo suplantando al CEO o a un proveedor de confianza para solicitar una transferencia urgente. La prevención más efectiva es un protocolo de doble verificación: ninguna solicitud de transferencia, cambio de cuenta bancaria o acceso a datos sensibles recibida por correo se ejecuta sin confirmarla por teléfono al número conocido —nunca al que aparezca en el propio correo sospechoso.
El phishing es el vector de ataque más frecuente en España y el que más incidentes genera en PYMEs, según los datos de INCIBE 2025. La buena noticia es que también es uno de los más prevenibles con medidas al alcance de cualquier empresa: autenticación técnica correctamente configurada, un protocolo de verificación para pagos y decisiones críticas, y formación periódica con simulacros reales que convierten el hábito de verificar en parte del día a día del equipo.
Si quieres saber en qué punto está tu empresa y qué medidas prioritarias faltan, en IBERSYA hacemos una valoración inicial gratuita e implementamos programas de formación anti-phishing con simulacros para PYMEs de toda España. Cuéntanos tu situación.