Phishing en Eslovenia: cómo proteger a los empleados de las estafas

El phishing es una forma de ingeniería social en la que un atacante utiliza un correo electrónico, SMS o llamada falsa para convencer a la víctima de que revele sus credenciales, confirme una transacción o abra un archivo adjunto con código malicioso. Según datos de SI-CERT, el phishing es el ataque con éxito más frecuente contra las empresas en Eslovenia; por ello, una protección integral es necesaria, no opcional.

TL;DR — puntos clave

• Configure SPF, DKIM y DMARC (primero `p=none`, más tarde `p=quarantine`/`p=reject`)
• Active obligatoriamente la autenticación de doble factor (MFA) para todos los usuarios — preferiblemente passkeys
• Realice simulacros de phishing y microformaciones al menos trimestralmente
• Establezca un punto de reporte sencillo (botón "Reportar phishing" en Outlook)

Cómo es un ataque típico a una empresa eslovena

El atacante envía un correo electrónico en nombre de un banco, correos, un proveedor o el propio director (el llamado fraude del CEO). El mensaje genera una sensación de urgencia ("por favor, haz la transferencia hoy", "su cuenta será bloqueada") y dirige a la víctima a una página de inicio de sesión falsa. Cuando el usuario introduce sus credenciales de Microsoft 365, el atacante obtiene acceso al correo, documentos en OneDrive y, a menudo, a todos los servicios conectados.

En los últimos dos años, observamos que los atacantes suelen dirigirse a los departamentos de contabilidad con facturas falsificadas y avisos de cambio de IBAN. El daño de un solo ataque con éxito en las PYMES eslovenas oscila entre los 5.000 y los 80.000 EUR.

Protección técnica: SPF, DKIM y DMARC

Tres registros DNS son el mínimo hoy en día, sin los cuales se arriesga a que su dominio sea suplantado mediante spoofing:

Recomendamos una implementación gradual: comience con `p=none` y reciba informes; luego, tras eliminar los falsos positivos, pase a `p=quarantine` y finalmente a `p=reject`. Existen servicios gratuitos para revisar los informes, o bien los gestionamos dentro de nuestro servicio de ciberseguridad.

MFA y passkeys

Si un atacante obtiene la contraseña, el MFA es el único muro ante la toma de control de la cuenta. En Microsoft 365, active las Security Defaults o (mejor) las políticas de Conditional Access, que exigen MFA para todos los usuarios y condiciones adicionales según la ubicación y el dispositivo. Para la mejor protección, estamos migrando a passkeys (FIDO2), que eliminan por completo el riesgo de phishing de credenciales.

Filtrado de archivos adjuntos y enlaces

Microsoft Defender para Office 365 (Plan 1 o 2) añade Safe Attachments (entorno de pruebas para adjuntos) y Safe Links (revisión de URLs en tiempo real al hacer clic). Para empresas sin licencia de Defender, recomendamos instalar una puerta de enlace avanzada o soluciones de terceros. Los archivos adjuntos de tipo `.iso`, `.js`, `.hta`, `.lnk` y documentos de Office con macros habilitadas deberían estar bloqueados por defecto.

Formación y simulacros

La técnica sin usuarios concienciados no es suficiente. Recomendamos:

1. Una formación básica breve (15 minutos) al contratar y una vez al año.
2. Simulacros de phishing trimestrales — quien hace clic recibe un microcurso de 5 minutos, no un castigo.
3. Comunicación interna sobre intentos de ataque reales (sin exponer a individuos).
4. Un botón sencillo de "Reportar phishing" en Outlook, que envía el mensaje a IT y lo retira de la bandeja de entrada.

Qué hacer ante un incidente

Si un usuario ha introducido sus credenciales en una página de phishing:

1. Cambie la contraseña inmediatamente y anule todas las sesiones activas (`Revoke Sessions` en Entra ID).
2. Revise las reglas de la bandeja de entrada (los atacantes suelen crear reglas de desvío automático).
3. Revise los Sign-in logs en busca de ubicaciones y dispositivos desconocidos.
4. Si el robo de la cuenta se utilizó para un fraude, informe del incidente a SI-CERT y, si es necesario, a la policía.

Breve repaso de medidas adicionales

• Cuentas administrativas separadas sin correo electrónico
• Limite la caducidad de las contraseñas (60–90 días) solo si no usa MFA — de lo contrario, la rotación forzada es contraproducente
• Active la Impersonation Protection para directores y contabilidad
• Revise regularmente los registros de dominios similares (ej. `vitalitsi.com`, `vita1it.si`)

¿Es Google Workspace más seguro que Microsoft 365?

Ambas plataformas ofrecen una protección comparable si se configuran correctamente SPF/DKIM/DMARC, MFA y las políticas pertinentes. La diferencia radica en los detalles (conjunto de reglas, integración con Windows), no en el nivel general de seguridad.

¿Cuál es la eficacia de los simulacros de phishing?

En las empresas donde trabajamos en VitalIT, la tasa de clics con éxito en un año cae típicamente del 25–35 % a menos del 5 %, siempre que los simulacros vayan acompañados de microformaciones.

¿Es DMARC un riesgo para la entregabilidad del correo?

Si se pasa demasiado rápido a `p=reject`, existe el riesgo de que mensajes legítimos terminen en spam o sean rechazados. Por ello, empiece siempre con `p=none` y analice los informes.

¿Qué son los passkeys y ya son útiles?

Los passkeys son claves criptográficas vinculadas al dispositivo y desbloqueadas con huella dactilar o PIN. Microsoft 365, Google y las principales plataformas ya los soportan — los recomendamos como el siguiente paso tras el MFA clásico.