Cómo Detectar y Evitar el Phishing en tu Correo

El phishing sigue siendo, por lejos, la forma más común en que una PYME termina comprometida: no hace falta una vulnerabilidad técnica, basta con que una persona haga clic en el lugar equivocado un día ocupado.

Las señales más comunes

• Urgencia artificial: "tu cuenta será suspendida en 24 horas", "factura vencida, paga ahora". Los atacantes cuentan con que actúes rápido sin pensar.
• Remitente que casi coincide: soporte@bancoestado.cl vs soporte@banco-estado.cl o bancoestado.support.cl. Revisa siempre el dominio completo, no solo el nombre visible.
• Enlaces que no coinciden con el texto: pasa el mouse sobre el link (sin hacer clic) y mira la URL real que aparece abajo del navegador.
• Archivos adjuntos inesperados: especialmente .zip, .exe, o macros de Word/Excel que "necesitan habilitar contenido".
• Errores de ortografía o formato raro: aunque el phishing moderno con IA ha mejorado mucho en este punto, sigue siendo una señal útil.

Casos típicos en Chile

Los más frecuentes contra PYMEs chilenas suelen imitar: SII (supuestas notificaciones de fiscalización o devolución de impuestos), bancos (BancoEstado, Banco de Chile, Santander), Correos de Chile / empresas de envío (falsa notificación de paquete retenido), y proveedores de hosting/dominio (falsa alerta de "tu dominio está por vencer, renueva aquí").

Qué hacer antes de hacer clic

1. Si es de una entidad que ya conoces (banco, SII, proveedor), entra directamente escribiendo tú mismo la URL en el navegador — nunca desde el link del correo.
2. Si pide datos sensibles (contraseña, tarjeta, clave única) por correo, es phishing. Ninguna entidad seria pide eso por email.
3. Si tienes dudas sobre un adjunto, pregunta por otro canal (llamada, WhatsApp) al supuesto remitente antes de abrirlo.

Protecciones técnicas que ayudan

Si tienes tu propio dominio de correo (ej. contacto@tuempresa.cl), configurar correctamente los registros SPF, DKIM y DMARC reduce mucho que alguien pueda enviar correos falsificando tu dominio — y también reduce que tus propios correos legítimos caigan en spam. Es una configuración técnica de una sola vez a nivel de DNS.

Si ya hiciste clic o entregaste datos

1. Cambia esa contraseña inmediatamente, en el sitio real (no en un link recibido).
2. Activa 2FA si no lo tenías.
3. Si entregaste datos bancarios o de tarjeta, contacta a tu banco de inmediato para bloquear/monitorear la cuenta.
4. Avisa al equipo — si te llegó a ti, probablemente le llegó a más personas del negocio.