El correo del proveedor parece real: cómo detectar phishing en una oficina

A veces el fraude no llega con una dirección extraña ni con faltas de ortografía. Llega con el nombre de un proveedor conocido, el logo de siempre y una frase que parece normal: “Hemos cambiado la cuenta bancaria, ¿puedes usar esta para el próximo pago?”. Si alguien responde deprisa, el problema no es solo informático. Puede convertirse en una factura pagada a la persona equivocada y en horas de llamadas para intentar recuperar el dinero.

El correo falso puede parecer completamente normal

El phishing es un engaño para robar credenciales, datos o dinero haciéndose pasar por una entidad legítima. INCIBE registró más de 122.000 incidentes de ciberseguridad en 2025; dentro de los fraudes online, contabilizó 25.133 casos de phishing. La cifra no significa que todos afecten a una oficina pequeña, pero sí deja una idea clara: no hace falta ser una gran compañía para estar en el punto de mira.

Hay un tipo de engaño especialmente incómodo para un despacho, una tienda o una empresa que compra material de forma habitual: la suplantación de proveedores. El mensaje puede pedir un cambio de IBAN, confirmar un pedido, descargar una factura o abrir un enlace para “revisar” una cuenta. El atacante intenta aprovechar una relación comercial real, no inventarse una desde cero.

Antes de mirar el botón, mira la situación:

• ¿El mensaje llega justo cuando esperas una factura o una entrega?
• ¿Pide cambiar un dato que nunca se cambia por correo sin confirmación?
• ¿Introduce prisa, secreto o una amenaza de bloqueo?
• ¿Te manda a una página de inicio de sesión aunque no la hayas solicitado?

La presión es parte del truco. Si el correo te obliga a decidir en dos minutos, la respuesta correcta es parar dos minutos.

El nombre del remitente no demuestra nada

En una bandeja de entrada puedes ver “Proveedores Shoroban”, “Banco Ejemplo” o el nombre de una persona de tu equipo. Eso es el nombre visible, no la prueba de quién ha enviado el correo. Pulsa sobre el remitente y revisa la dirección completa. Un dominio como proveedor.es no es lo mismo que proveedor-pagos.es, proveedor.es.facturas.com o una variante con una letra cambiada.

INCIBE advierte que los delincuentes usan typosquatting y ataques homográficos: modifican un carácter del dominio o emplean letras visualmente parecidas. En un móvil, una diferencia mínima puede pasar desapercibida. También pueden falsificar el nombre mostrado y utilizar una cuenta comprometida de un contacto real.

Los enlaces merecen la misma calma. Coloca el cursor encima desde el ordenador, sin hacer clic, y observa la dirección que aparece. En un teléfono, mantén pulsado el enlace para verla antes de abrirla. Desconfía si:

• El dominio no coincide con el de la empresa que supuestamente escribe.
• La URL es muy larga y contiene una cadena de letras sin sentido.
• Te lleva a un acortador o a un formulario que pide contraseña y código.
• El mensaje mezcla un dominio legítimo con una dirección distinta después de una barra.

No te fíes solo del candado del navegador. HTTPS cifra la conexión, pero no convierte una web falsa en una web de confianza. Una página fraudulenta también puede tener certificado.

¿Qué debes hacer cuando pide un pago o un cambio de cuenta?

Aquí conviene separar la lectura del correo de la verificación. En vez de responder al mensaje recibido, usa un canal que ya conocías: llama al teléfono guardado en tu ficha de proveedor, abre su web escribiendo la dirección a mano o pregunta a tu contacto habitual por otra vía. No uses el número ni el enlace que aparecen en el mensaje sospechoso.

Para cambios de cuenta bancaria, aplica una regla sencilla: ningún cambio se valida con un único correo. Pide confirmación verbal y deja constancia de quién la ha realizado. Si tu empresa tiene dos personas disponibles, una prepara el pago y otra comprueba la factura, el importe y el IBAN. No hace falta montar un departamento de seguridad para evitar un error de este tipo; hace falta que el proceso no dependa de una sola persona con prisa.

Una comprobación útil puede seguir este orden:

• Compara el pedido con la factura: proveedor, número, concepto, IVA e importe.
• Revisa si el cambio de cuenta aparece en una comunicación anterior o en el contrato.
• Llama al contacto habitual y pregunta por el cambio sin reenviar el correo.
• Guarda la confirmación y anota la fecha, la persona y el número desde el que se verificó.
• Si hay una urgencia inusual, aplaza el pago hasta completar la comprobación.

Esto también sirve para compras de oficina. Una factura de papel, tóner, mobiliario o material escolar puede parecer rutinaria, y precisamente por eso alguien puede intentar que la tramites sin revisarla. Si quieres ordenar mejor las compras y trabajar con un solo proveedor, puedes consultar el catálogo de Shoroban, pero la confirmación de una cuenta bancaria siempre debe hacerse por un canal independiente del correo que la solicita.

Contraseñas y códigos: el segundo engaño llega después

Muchos ataques no buscan que pagues directamente. Primero intentan entrar en tu correo. Para conseguirlo, envían un enlace a una página que imita Microsoft 365, Google Workspace, una entidad bancaria o una plataforma de transporte. La página pide usuario, contraseña y, a veces, un código de doble factor. Si entregas esos datos, el atacante puede leer conversaciones, localizar facturas y escribir desde tu propia cuenta.

INCIBE explica que la formación de los empleados ayuda a reconocer el phishing y otras técnicas de ingeniería social. La formación no tiene que ser una charla interminable. Una vez al mes puedes dedicar diez minutos a revisar un ejemplo real y recordar tres reglas:

• La contraseña no se introduce después de abrir un enlace inesperado.
• Un código de doble factor nunca se dicta ni se reenvía a otra persona.
• Si ya has escrito la contraseña, se cambia desde la web oficial y se avisa al responsable.

Usa contraseñas diferentes para el correo, la banca y los servicios de proveedores. Un gestor de contraseñas permite evitar combinaciones fáciles de repetir. Activa el doble factor, pero no lo trates como una garantía absoluta: si recibes una solicitud de aprobación que no has iniciado, recházala y avisa.

También ayuda separar permisos. La persona que consulta pedidos no necesita necesariamente permiso para cambiar cuentas bancarias ni para administrar todo el correo de la empresa. Cuanto más amplio es un acceso, más daño puede causar una cuenta robada.

Si alguien ha caído, actuar rápido reduce el daño

No regañes a quien ha pulsado. El miedo hace que la persona oculte el incidente y retrase la respuesta. Lo primero es cortar la sesión sospechosa, avisar al responsable y guardar las pruebas: correo original, dirección, capturas, hora, factura y justificante de pago si lo hay.

Si se ha introducido una contraseña, cámbiala desde un dispositivo limpio y cierra las sesiones abiertas. Cambia también esa contraseña en otros servicios donde se reutilizara. Si se ha enviado dinero, contacta inmediatamente con el banco y solicita la retirada o bloqueo de la operación. En España puedes pedir orientación al 017 de INCIBE y valorar la denuncia con las pruebas conservadas.

Si el atacante ha usado la cuenta para escribir a clientes o proveedores, avisa a los destinatarios con claridad. Diles qué mensaje deben ignorar y cuál es el canal válido. Revisa las reglas de reenvío del correo, los usuarios recientes y los cambios en los datos de pago. Después, no borres todo sin guardar una copia: esos datos pueden ser necesarios para investigar.

Un pequeño protocolo escrito evita improvisaciones. Puede estar junto a la documentación de pedidos o en la intranet:

1. No contestar ni seguir enlaces.
2. Avisar a la persona responsable.
3. Guardar el mensaje y las pruebas.
4. Verificar por teléfono o canal conocido.
5. Cambiar credenciales y avisar al banco si procede.

En el blog de Shoroban encontrarás más ideas para organizar el trabajo de oficina; la seguridad debe formar parte de esa organización, igual que tener localizable el papel, el tóner o los archivadores.

La prevención cabe en una hoja junto al ordenador

No necesitas convertir cada compra en una investigación policial. Sí necesitas que las excepciones tengan un camino claro. Imprime una hoja con los teléfonos habituales de proveedores, el procedimiento para cambiar un IBAN y el contacto interno al que se avisan los incidentes. Revísala cuando cambien las personas o los contratos.

Haz también una prueba sencilla: pide a alguien del equipo que explique qué haría si recibe una factura urgente con un número de cuenta nuevo. Si la respuesta es “la pago porque viene del proveedor”, el proceso aún depende demasiado de la confianza en el remitente.

Si quieres revisar material, organización o equipamiento para tu oficina, puedes escribir a través de la página de contacto. Para el correo, quédate con una idea concreta: un proveedor no cambia tus reglas de verificación porque el mensaje parezca convincente. Si el correo pide dinero, contraseña o urgencia, cambia de canal antes de tomar una decisión.

Preguntas frecuentes

¿Cómo sé si un correo de un proveedor es falso?

Revisa la dirección completa del remitente, el dominio de los enlaces y la petición concreta. Si solicita un cambio de cuenta, una contraseña o un pago urgente, verifica la información por un teléfono o canal que ya tuvieras guardado, nunca usando los datos del propio correo.

¿El doble factor evita todos los ataques de phishing?

No. Dificulta el acceso, pero una persona puede aprobar una solicitud falsa o entregar el código. Rechaza cualquier petición de doble factor que no hayas iniciado y cambia la contraseña si has interactuado con una página sospechosa.

¿Qué hago si ya he pagado en una cuenta fraudulenta?

Contacta de inmediato con tu banco para intentar bloquear o retirar la operación. Conserva el correo, la factura, los datos bancarios y los justificantes. Avisa al responsable de la empresa, consulta el 017 de INCIBE y presenta denuncia si corresponde.

¿Debo avisar al proveedor real si han suplantado su identidad?

Sí. Usa un canal independiente para informarle. Así puede advertir a otros clientes, revisar su cuenta de correo y confirmar si existe algún acceso o cambio no autorizado.

Un protocolo de cinco pasos y una llamada a tiempo valen más que revisar cien veces el nombre visible del remitente. Si necesitas preparar compras recurrentes de oficina sin dejar decisiones sensibles al azar, contacta con Shoroban y plantea tu caso.