En el correo electrónico empieza buena parte de los incidentes de seguridad: de un simple mensaje puede arrancar un ransomware, el robo de datos o una estafa financiera. La buena noticia es que con formación práctica y comprobaciones sencillas, la mayoría de intentos se pueden frenar antes de que sea tarde.
En esta guía te explico, con detalle y ejemplos reales, cómo reconocer y tratar los correos peligrosos, qué hacer si dudas, cómo actuar si ya has hecho clic y qué herramientas conviene activar. Integra hábitos, controles técnicos y procesos para que el correo deje de ser el eslabón débil tanto a nivel personal como en tu empresa.
Señales claras para detectar correos maliciosos
Antes de leer el mensaje, mira de dónde viene. La dirección del remitente es tu primera pista: si no conoces a la persona, revisa el dominio con lupa, fíjate en faltas mínimas, letras cambiadas o dominios que imitan marcas (ejemplo: banco-santander en lugar del dominio real). Muchos atacantes usan cadenas de letras y números sin sentido o nombres de pantalla que no coinciden con la dirección real.
Analiza la línea de asunto. Los cebos típicos usan urgencia o alarma: actividad sospechosa, premio, factura pendiente, verificación inmediata. Su objetivo es que abras y pulses sin pensar. Si no esperabas ese mensaje, levanta la ceja y aplica el resto de chequeos.
Revisa el contenido con calma. Errores gramaticales, traducciones raras, tono poco natural o fórmulas genéricas como Hola sin personalización en mensajes supuestamente importantes son indicadores habituales. Ojo: cada vez hay campañas muy pulidas, así que no dependas solo de la ortografía.
Valora el nivel de detalle. Los fraudes suelen ser vagos y sin referencias concretas a servicios, pedidos o contactos mutuos. Si te escriben de una empresa, comprueba su web por tu cuenta en Google y contrasta si el contenido encaja con lo que dicen vender.
Comprueba los enlaces sin hacer clic. Pasa el ratón para ver la URL real o mantén pulsado en móvil. Si no coincide con el dominio legítimo, si está acortada para ocultarlo o si te huele raro, no entres. Puedes copiar la URL (clic derecho, copiar) y analizarla con servicios como VirusTotal, Sucuri o URLVoid.
Ojo con los archivos adjuntos. Una factura, un currículum o un informe pueden llevar la carga maliciosa. Desconfía de nombres genéricos, peticiones de habilitar macros en Office o formatos inusuales. Compara la nomenclatura con documentos anteriores si es un proveedor habitual.
Firma y coherencia. Si la firma no cuadra con el remitente o faltan datos corporativos, mala señal. Y si el email presume de legitimidad con marcas, sellos o prioridades de alta importancia para presionar, recuerda que son falsos legitimadores muy usados.
Firma digital. Los mensajes corporativos firmados digitalmente permiten verificar identidad. Muchos clientes, como Outlook, muestran un indicador y ofrecen detalles del certificado. Si un interlocutor con el que sueles tratar firma sus correos, valida esa pista.
Contenido, enlaces y adjuntos: cómo revisar sin caer
Si recibes un correo inesperado pero plausible, investiga fuera del correo. Busca la empresa en Google y contacta por sus canales oficiales. No uses teléfonos ni direcciones ofrecidos en el propio correo hasta confirmar su legitimidad.
Con los enlaces, aplica la regla de oro: ver primero, clicar después o nunca. Comprueba la URL real, tira de analítica en servicios reputados y evita entrar logueado a nada sensible si te genera dudas. Es preferible abrir una nueva pestaña y escribir manualmente la dirección del servicio.
Sobre adjuntos, recuerda los formatos de riesgo. Evita abrir .exe, .js, .jar, .bat, .cmd, .vbs, .msi, .hta, .scr, .pif, .reg, .cpl, .wsf, incluso si el antivirus no los señala. Y sospecha de dobles extensiones del estilo imagen.gif.exe, donde manda la última.
Macros en documentos Office. Es una técnica clásica que ha vuelto con fuerza. Si un Word o Excel te pide habilitar contenido para ver la supuesta factura o informe, cancélalo y contrasta primero por un canal fiable.
Incluso adjuntos aparentemente inofensivos como PDF o imágenes pueden ser peligrosos. Escanéalo con tu antivirus y, si no esperas nada, no lo abras. Cuando la duda persista, solicita reenviar por un canal alternativo o pide detalles concretos difíciles de falsificar.
Tácticas habituales: de la urgencia al spoofing
Urgencia y miedo. Hacen que reacciones en piloto automático. Pueden simular bloqueos de cuenta, cobros extraños o devoluciones de impuestos. En España es frecuente la suplantación de la Agencia Tributaria, un ejemplo del aumento de ciberestafas.
Phishing en el trabajo. Pueden hacerse pasar por directivos solicitando pagos a supuestos clientes o confirmaciones de acceso. Verifica por chat o teléfono interno antes de mover un euro.
Acortadores de enlaces. Ocultan el destino real. Si llegan por correo, analízalos primero con una herramienta externa y no navegues logueado a servicios críticos.
Email bombing. Saturar tu bandeja para que pases por alto lo importante o para colar campañas masivas que te suscriben en boletines. Filtra, ordena y no pierdas de vista comunicaciones clave durante una avalancha.
Spoofing (suplantación de remitente). El atacante disfraza el campo From para parecer legítimo. Puede simular que viene de tu propio dominio o del de un proveedor. Si el mensaje parece interno pero llega como entrante externo, desconfía y verifica por otro canal.
Falsos legitimadores. Dominios que parecen de seguridad, marcas copiadas y etiquetas de alta prioridad buscan engañar por apariencia. No son pruebas de nada: pesa más el dominio real del enlace, la coherencia y tu verificación externa.
Qué pasa si un correo tiene malware
Si ejecutas la carga, pueden robarte datos personales, credenciales o cifrarte archivos. Los keyloggers registran pulsaciones de teclado; el spyware perfila tu actividad; el ransomware bloquea tu información y pide rescate; y un troyano puede abrir una puerta trasera para formar parte de una botnet.
La entrada puede producirse por descargar un adjunto, pulsar un enlace que activa descarga o conceder permisos en un documento. Un único clic puede bastar para comprometer todo el equipo y, en entornos corporativos, expandirse por la red local.
Cómo consiguen tu dirección y cómo reducir la exposición
Los atacantes alimentan sus listas con múltiples fuentes. Rastreadores recogen emails publicados en webs o foros, cadenas de correos multiplican la visibilidad de direcciones y las filtraciones masivas acaban vendiéndose y circulando por años.
Formularios sin cifrar, redes WiFi públicas y sitios vulnerables pueden exponer tu email y otros datos. Evita introducir direcciones en páginas no cifradas y limita tus registros a servicios confiables. Valora el uso de correos desechables o alias para registros dudosos.
El malware también roba libretas de direcciones. Un contacto infectado puede enviarte malware sin saberlo; trata cualquier adjunto inesperado como sospechoso, aunque venga de alguien conocido.
Buenas prácticas en la empresa
Separa cuentas. Como mínimo, una cuenta exclusiva para trabajo, otra personal y una tercera para registros de bajo valor. Así compartimentas el riesgo y reduces el impacto de filtraciones y spam.
Protege el acceso. Contraseñas largas y únicas, cambiadas periódicamente y con autenticación multifactor reducen la probabilidad de intrusión, incluso si filtran tu clave. Evita cuentas compartidas con claves conocidas por varios.
Privacidad básica. Usa copia oculta al enviar a múltiples destinatarios para no exponer direcciones y cuida dónde publicas tu email. Menos difusión, menos spam y menos dianas para ataques dirigidos.
Formación continua. Simulaciones de phishing, concienciación y procesos claros de reporte (por ejemplo, reenvío a un buzón de seguridad o botón en Outlook) aumentan la detección temprana y evitan clics impulsivos.
Consejos prácticos cuando sospechas
1) No descargues nada. Si no esperas un adjunto, no lo abras. 2) No respondas ni interactúes. 3) Analiza enlaces con herramientas reputadas. 4) Busca referencias en Internet del remitente o del texto del mensaje.
Si el correo dice ser de una empresa o banco, contacta tú por canales oficiales. No llames al número del propio correo ni respondas a la misma dirección sin verificar primero.
Qué hacer si ya has abierto o descargado algo
Elimina los archivos bajados de ese correo si no los has ejecutado aún. Así evitas activar la carga si todavía no lo has abierto. No siempre arregla el problema, pero reduce riesgo.
Actualiza sistema y aplicaciones. Parchea vulnerabilidades para impedir persistencia o escalada. Comprueba Windows Update y las actualizaciones de tu suite ofimática y navegador. Desconecta dispositivos externos. Separa pendrives o discos para evitar propagación. Si trabajas en red, consulta con TI la desconexión temporal del equipo sospechoso.
Evita el rastreo en Gmail y Outlook
Muchas campañas usan píxeles de seguimiento embebidos en imágenes. Configura que tu correo no cargue imágenes externas automáticamente. En Gmail, en Configuración > Ver todos los ajustes > General > Imágenes, selecciona preguntar antes de mostrar. En Outlook, en Configuración > General > Privacidad y datos, desactiva la carga por servicio.
Extensiones útiles. Ugly Email y PixelBlock ayudan a bloquear rastreos en navegadores compatibles. Úsalas como refuerzo, no como sustituto de la configuración del cliente de correo.
¿Es segura tu cuenta? Controles básicos
Revisa la fuerza de tu contraseña y activa 2FA. Sin una clave robusta y un segundo factor, eres un blanco fácil. Evita reutilizaciones: un robo en un servicio arrastra al resto.
Usa apps oficiales. Instala software desde fuentes confiables y evita clientes de terceros dudosos. Revisa el historial de inicios de sesión y cierra sesiones sospechosas.
Evita publicar tu dirección. Cuanta menos exposición pública tenga tu email, menos correo basura y menos intentos de phishing dirigidos recibirás.
Herramientas y servicios que ayudan
Microsoft Defender para Office 365 (Explorador de amenazas y Detecciones en tiempo real). Si tu organización tiene Plan 2 (Explorador) o Plan 1 (Detecciones en tiempo real), puedes investigar y responder casi en tiempo real: buscar y eliminar mensajes, identificar IPs de remitentes maliciosos e iniciar incidentes.
Cómo buscar correo sospechoso entregado: 1) Abre el Explorador o Detecciones en tiempo real. 2) Selecciona la vista adecuada (Todo el correo, Malware, Phish) y el rango de fechas (por defecto, ayer y hoy). 3) Crea filtros por propiedades útiles: acción de entrega (entregado, no deseado, bloqueado), ubicación original y última ubicación, direccionalidad (entrantes, intra-org, salida) para detectar suplantaciones, invalidaciones por políticas (de organización o usuario) y amenazas de URL (malware, phishing, spam). 4) Actualiza y revisa la pestaña Email con columnas clave para entender el recorrido del mensaje. 5) Exporta si necesitas (hasta 200.000 resultados) y aplica corrección eliminando el correo de los buzones afectados.
Simuladores y concienciación. Plataformas como Keepnet Labs permiten simular phishing, medir vulnerabilidad y educar, además de probar tu antispam/antivirus y facilitar el reporte con complementos para Outlook.
Privacidad y cifrado con Mailfence. Servicio de correo con foco en cifrado de extremo a extremo (AES-256/OpenPGP), firmas digitales y 2FA. Útil para comunicaciones sensibles, con opciones gratuitas suficientes para muchos usuarios.
Alias con Firefox Relay. Crea direcciones pantalla que reenvían a tu buzón real. Puedes eliminarlas cuando quieras y limitar la exposición. Ideal para registros en servicios que no inspiran total confianza.
Verificar direcciones con Captain Verify. Herramienta online que valida emails, sintaxis y existencia en servidor. Útil para depurar listas y detectar cuentas falsas o caducadas. Recuerda: verificar validez no indica que un correo sea seguro, solo que la dirección existe.
Bloquear IP en Gmail con extensiones. Con Block Sender puedes bloquear por IP una fuente de correo: identifica la IP en Mostrar original (cabecera Received), crea un nuevo bloqueo en la extensión y decide destino (papelera, spam). Mantén un inventario para revertir si fuera necesario.
Por qué no debes guardar información sensible en el correo
Si atacan tu buzón, todo lo almacenado queda expuesto: datos personales, documentos, incluso contraseñas que hayas guardado en mensajes. Además, apps de terceros con acceso a tu cuenta pueden leerlo.
La privacidad del proveedor varía y existen fallos. Una vulnerabilidad o una mala política pueden filtrar tus datos. Mejor usa gestores de contraseñas y almacenes cifrados para lo crítico.
Correos que suplantan marcas cercanas
En España, empresas de logística y mensajería son objetivo frecuente. Los delincuentes usan la marca para notificar supuestos envíos, tasas o actualizaciones y así robar datos o realizar cargos. Contrasta siempre en la web oficial y evita pagar o introducir credenciales desde un correo sospechoso.
Casos típicos de phishing que verás
Cuentas suspendidas que no son tuyas, 2FA falso para que inicies sesión, devoluciones de impuestos con formularios para datos bancarios, confirmaciones de pedidos con adjuntos maliciosos, y órdenes internas de pago. Todos comparten un patrón: prisa, apariencia creíble y un clic que quieren forzarte.
Usa entornos aislados para revisar contenido de riesgo
Si necesitas abrir algo dudoso, hazlo en una máquina virtual dedicada y desechable (VirtualBox u otros). Si se estropea, la borras y listo, sin tocar tu equipo principal.
Otra opción es desempaquetar en un móvil viejo sin cuentas sensibles. Conéctalo solo a WiFi, sin apps críticas, y úsalo como zona de riesgo. Aun así, no introduzcas contraseñas en páginas que no has verificado: la captura de credenciales no depende de infectar el dispositivo.
Organiza tus correos por sensibilidad
Para proteger bien, mantén una cuenta limpia para banca, organismos y negocios clave, sin boletines ni registros masivos. Usa otra para foros y pruebas. Así reduces ruido y la probabilidad de que un phishing se cuele donde importan las credenciales.
Si algún día dudas, recuerda la regla de oro: cuando no lo ves claro, no hagas clic ni descargues nada. Verifica por otro canal, pregunta a TI si estás en empresa y reporta para que otros no caigan.
Con una mezcla de sentido común, verificación de remitente y enlaces, gestión prudente de adjuntos, autenticación en dos factores, desactivación de imágenes externas, uso de alias y herramientas como Defender para Office 365, Mailfence o Firefox Relay, puedes reducir drásticamente el riesgo del correo y cortar el paso a la mayoría de campañas de malware y phishing. Si se te cuela alguna, actúa rápido: desconecta, analiza, actualiza y pide ayuda.
