Título: El phishing cambió: un correo bien escrito también puede ser una estafa

ESET advierte que las señales clásicas de phishing siguen siendo útiles, pero su ausencia no demuestra legitimidad. Verificar solicitudes por otro canal y contar con un procedimiento de respuesta resulta cada vez más importante.

Durante años, detectar un correo fraudulento parecía depender de encontrar faltas de ortografía, logos deformados o mensajes mal traducidos. Hoy, un correo impecable también puede ser una trampa.

En un análisis publicado el 30 de septiembre, ESET explica que los atacantes utilizan inteligencia artificial para mejorar la redacción y adaptar los mensajes al destinatario. Además, buscan introducir sus solicitudes dentro de tareas laborales que parecen normales. welivesecurity.com

La apariencia ya no alcanza

Un mensaje puede parecer una factura, un documento compartido o una solicitud de un proveedor. Lo importante es revisar qué acción pide y si tiene sentido en ese contexto.

Por ejemplo, si recibís un cambio de cuenta bancaria, confirmalo llamando al contacto que ya tenés registrado. Usar el teléfono incluido en el mismo correo sospechoso no constituye una verificación independiente.

ESET recomienda confirmar pagos y otras acciones sensibles mediante un canal previamente validado, con una segunda aprobación cuando corresponda. welivesecurity.com

Los códigos QR también pueden llevar al engaño

Un QR puede ocultar la dirección de destino y trasladar la interacción de la computadora al celular. Eso dificulta revisar el enlace y puede dejar parte del ataque fuera de los controles corporativos.

El análisis también describe técnicas que buscan obtener permisos o tokens de acceso en lugar de limitarse a robar contraseñas. welivesecurity.com

Por eso, antes de escanear un código inesperado, abrir un documento o aprobar un acceso, conviene comprobar la solicitud desde la aplicación o el sitio habitual del servicio.

La autenticación adicional sigue siendo necesaria

Activar la autenticación multifactor sigue siendo una medida importante, aunque los métodos ofrecen distintos niveles de protección.

CISA recomienda avanzar hacia opciones resistentes al phishing, como las basadas en FIDO/WebAuthn, cuando estén disponibles. Estas ofrecen una protección diferente a los códigos que una persona puede terminar introduciendo en una página falsa. CISA

En una empresa, reportar importa tanto como detectar

ESET señala que eliminar un mensaje sospechoso sin reportarlo puede hacer perder una oportunidad para advertir a otros empleados e investigar una campaña. welivesecurity.com

Un negocio debería definir un contacto claro para estos casos. Si alguien ingresó datos, aprobó permisos o ejecutó instrucciones, necesita poder comunicarlo rápidamente y explicar qué hizo.

Como regla práctica:

• Verificá solicitudes inesperadas por un canal conocido.
• No compartas contraseñas ni códigos de acceso.
• No pegues comandos recibidos en correos o páginas desconocidas.
• Reportá el intento al responsable técnico.
• Mantené actualizados el navegador, el sistema y las aplicaciones.

La buena redacción no acredita al remitente. Una solicitud sensible debe comprobarse antes de actuar, incluso cuando el mensaje parezca formar parte de una conversación habitual.

En Black Point Informática podemos ayudarte a revisar la protección del correo y establecer pautas de seguridad para tu negocio.