¿Qué hacer si un empleado pulsa un enlace de phishing?

Si un empleado pulsa un enlace de phishing, hay que actuar de inmediato, pero sin asumir que todo está perdido. Primero averigua qué ocurrió después del clic: si solo se abrió una página, si se escribió una contraseña, si se aprobó una notificación de acceso o si se descargó y ejecutó un archivo.

Si introdujo credenciales, cambia la contraseña desde otro dispositivo fiable, cierra las sesiones abiertas y revisa los métodos de verificación. Si descargó o ejecutó algo, desconecta ese equipo de la red y solicita una revisión técnica antes de volver a utilizarlo.

En una pyme de Tenerife, los primeros minutos importan porque una cuenta de correo comprometida puede usarse para engañar a clientes, proveedores o compañeros. La prioridad es contener el incidente, proteger las cuentas y comprobar si ya hubo actividad no autorizada.

¿Qué hay que preguntar al empleado antes de tocar nada?

No borres el mensaje ni cierres todas las ventanas sin anotar lo sucedido. Recoge estos datos:

• Hora aproximada del clic.
• Remitente, asunto y dirección del enlace.
• Qué página apareció y qué datos se escribieron.
• Si se aceptó una petición de autenticación o un código.
• Si se descargó, abrió o instaló algún archivo.
• Qué cuenta estaba iniciada en el navegador en ese momento.

Una captura de pantalla y el correo original pueden ayudar a distinguir una web falsa de una alerta legítima. No reenvíes el mensaje a toda la oficina: conserva la evidencia y avisa por un canal interno seguro.

¿Qué cambia si solo hizo clic, escribió una contraseña o abrió un archivo?

Solo abrió la página

El riesgo puede ser menor si no introdujo datos, no concedió permisos y no descargó nada. Aun así, cierra la página, revisa las descargas recientes, actualiza el navegador y comprueba si la dirección intentaba imitar a Microsoft 365, Google, un banco, una mensajería o un proveedor.

Escribió una contraseña o aprobó un acceso

Trátalo como una posible exposición de la cuenta. Desde un equipo fiable:

1. Cambia la contraseña por una nueva y exclusiva.
2. Cierra o revoca las sesiones activas que no sean necesarias.
3. Comprueba los métodos de recuperación y la autenticación multifactor.
4. Revisa aplicaciones conectadas y permisos concedidos recientemente.
5. Busca reglas de bandeja de entrada, reenvíos o delegaciones que nadie reconozca.

Si esa contraseña se reutilizaba en otros servicios, también deben protegerse. No basta con cambiarla únicamente en el correo.

Descargó o ejecutó un archivo

Desconecta el ordenador del WiFi y del cable de red para limitar comunicaciones no deseadas. No conectes memorias USB ni intentes “limpiarlo” instalando herramientas al azar. Un técnico debe revisar procesos, persistencia, protección del equipo y posibles accesos antes de devolverlo a producción.

¿Cómo saber si la cuenta ya fue utilizada por otra persona?

Comprueba las señales que dejan muchos accesos no autorizados:

• Inicios de sesión desde ubicaciones, dispositivos u horarios extraños.
• Mensajes enviados, eliminados o archivados que el usuario no reconoce.
• Reglas que ocultan respuestas, facturas o avisos de seguridad.
• Reenvíos hacia direcciones externas.
• Cambios en el teléfono, correo de recuperación o métodos MFA.
• Aplicaciones nuevas con acceso al correo, archivos o contactos.

Las reglas ocultas son especialmente peligrosas porque permiten vigilar conversaciones con clientes y proveedores incluso después de cambiar la contraseña. Consulta también nuestra guía sobre cómo detectar reglas sospechosas en el correo corporativo.

¿Hay que avisar a clientes, proveedores o al banco?

Depende de lo que haya quedado expuesto. Si la cuenta envió mensajes falsos, informa cuanto antes a los destinatarios por un canal distinto y pide que no abran enlaces ni atiendan cambios de pago.

Si el incidente afecta a facturas, datos bancarios o una transferencia en curso, contacta inmediatamente con la entidad bancaria y verifica cualquier cambio de IBAN por teléfono usando un número ya conocido. No respondas al mismo hilo sospechoso para confirmar.

Cuando pueda haber datos personales afectados, documenta el incidente y busca asesoramiento sobre las obligaciones aplicables. No ocultes el problema: una comunicación rápida y concreta reduce el daño y evita que el atacante aproveche la confianza en la cuenta real.

¿Qué no conviene hacer después del clic?

• No regañar al empleado ni retrasar el aviso por buscar culpables.
• No seguir abriendo el enlace para “comprobar” si era falso.
• No cambiar la contraseña desde el mismo equipo si se ejecutó un archivo sospechoso.
• No aprobar nuevas notificaciones MFA para hacer desaparecer los avisos.
• No limitar la respuesta a borrar el correo.
• No avisar a clientes desde una cuenta que aún podría estar comprometida.

La rapidez depende de que el personal pueda comunicar un error sin miedo. Un clic detectado y reportado en minutos suele ser más manejable que una incidencia escondida durante todo el día.

¿Cómo reducir el riesgo de que vuelva a ocurrir?

Después de contener el incidente, convierte lo ocurrido en mejoras concretas:

• Activa MFA y conserva métodos de recuperación controlados por la empresa.
• Separa las cuentas administrativas de las cuentas de uso diario.
• Evita compartir contraseñas entre empleados.
• Mantén equipos, navegadores y protección de endpoint actualizados.
• Define a quién se avisa y qué canal se usa ante un correo sospechoso.
• Practica verificaciones fuera del correo para pagos y cambios bancarios.

Si el mensaje fingía que Microsoft o Google cerrarían la cuenta, revisa también cómo comprobar ese tipo de aviso sin entregar las credenciales.

¿Qué puede revisar BGR Solutions en Tenerife?

BGR Solutions puede ayudar a una pyme a delimitar el incidente, revisar el equipo, proteger Microsoft 365 o Google Workspace, comprobar sesiones y reglas de correo y dejar un procedimiento sencillo para el personal.

Si acaba de ocurrir, anota la hora, deja de usar el equipo afectado y contacta con BGR Solutions. Para orientación pública en España también está disponible la Línea de Ayuda en Ciberseguridad de INCIBE.

Preguntas frecuentes

¿Cambiar la contraseña es suficiente?

No siempre. También hay que revocar sesiones, revisar métodos MFA, aplicaciones conectadas, reglas, reenvíos y actividad reciente.

¿Hay que formatear el ordenador?

No automáticamente. Si solo se abrió una página, la respuesta puede centrarse en la cuenta y el navegador. Si se ejecutó un archivo, hace falta una evaluación técnica antes de decidir cómo recuperar el equipo.

¿Qué pasa si el empleado introdujo la contraseña pero tenía MFA?

MFA reduce el riesgo, pero no garantiza que el acceso haya fallado: el usuario pudo aprobar una solicitud, revelar un código o conceder permisos. Revisa las sesiones y la actividad igualmente.

¿Debemos avisar a toda la empresa?

Avisa a quienes puedan recibir el mismo mensaje o verse afectados, con instrucciones claras y sin redistribuir el enlace peligroso. Evita alarmas genéricas sin una acción concreta.

¿Cuándo es urgente pedir ayuda?

Cuando se introdujeron credenciales, se aprobó un acceso, se abrió un archivo, aparecieron mensajes enviados sin autorización o el incidente afecta a pagos, clientes o datos sensibles.