# Phishing y qué hacer después (FAQ)

> 29 preguntas sobre Phishing y qué hacer después, en lenguaje claro: qué comprobar, qué muestra NetSenX y qué no ve un sensor.

Source page: https://netsenx.com/es/faq/phishing

## ¿Qué es el phishing?

El phishing es un mensaje que finge venir de alguien de confianza para que usted haga clic en un enlace, abra un archivo, escriba una contraseña o envíe dinero. Llega sobre todo por correo electrónico, pero también por SMS, llamada, chat y código QR. El objetivo suele ser uno de tres: sus credenciales, un punto de apoyo en su ordenador o un pago a la cuenta equivocada. Funciona porque aprovecha un contexto real: un paquete que espera, un documento compartido, una factura pendiente, un mensaje del jefe. Sigue siendo uno de los primeros pasos más habituales de una intrusión, por eso la defensa tiene varias capas: filtrado del correo, autenticación multifactor (MFA), empleados que avisan rápido de los mensajes sospechosos y normas de pago que no dependan solo de un correo. Un sensor de red no lee su correo; ayuda después, si un clic provoca tráfico inusual desde el equipo.

https://netsenx.com/es/faq/what-is-phishing

## ¿Cómo saber si un correo electrónico es phishing?

Fíjese menos en las faltas de ortografía, que el phishing moderno casi no tiene, y más en lo que el mensaje le pide. Señales de alarma: presión para actuar ya, una petición de iniciar sesión, pagar, cambiar datos bancarios o abrir un archivo inesperado, una dirección de remitente ligeramente distinta de la real, una dirección de respuesta que va a otro sitio y un enlace cuyo destino real, visible al pasar el ratón por encima, no coincide con la empresa que dice ser. Un mensaje de un compañero conocido también puede ser phishing si alguien tomó su buzón, así que una petición inusual es motivo para comprobarla por otro canal, por ejemplo con una llamada a un número que ya tenga. Ante la duda, no haga clic: avise a TI y deje que lo revisen. Una falsa alarma cuesta un minuto; ignorar un ataque real puede costar mucho más.

https://netsenx.com/es/faq/how-to-spot-a-phishing-email

## He hecho clic en un enlace de phishing. ¿Qué hago ahora?

Avise a TI enseguida, aunque parezca que no ha pasado nada; la rapidez importa más que la vergüenza. Después, con TI: si escribió una contraseña en la página que se abrió, cámbiela desde otro dispositivo de confianza y cierre todas las sesiones activas de la cuenta. Si se descargó o abrió un archivo, desconecte el ordenador de la red, quitando el cable o apagando el wifi, pero déjelo encendido para que se pueda examinar. Anote la hora, el mensaje y el enlace para que TI pueda bloquearlo para todos y comprobar quién más lo recibió. Si solo abrió la página y no escribió nada, el riesgo es menor, pero TI debería revisar igualmente el equipo con sus herramientas. En los días siguientes, esté atento a peticiones de inicio de sesión inesperadas, solicitudes de MFA que usted no inició o respuestas a correos que nunca envió.

https://netsenx.com/es/faq/i-clicked-a-phishing-link-what-now

## He introducido mi contraseña del trabajo en una página de phishing. ¿Y ahora qué?

Trate la cuenta como comprometida y actúe en minutos. Cambie la contraseña desde un dispositivo de confianza y, si usaba la misma en otro sitio, cámbiela también allí. Pida a TI que cierre todas las sesiones de la cuenta y revoque sus tokens de acceso, porque muchos kits de phishing roban la propia sesión iniciada, así que una contraseña nueva por sí sola puede no dejar fuera al atacante. Después, TI debería revisar el registro de inicios de sesión en busca de accesos desde lugares desconocidos, comprobar los métodos de MFA por si el atacante añadió un teléfono o una aplicación nuevos y buscar reglas de buzón nuevas que reenvíen u oculten correo. Si la cuenta tiene derechos de administrador o acceso a sistemas financieros, suba la prioridad. Aquí lo primero son los pasos de identidad. La monitorización de red ayuda después, vigilando la actividad que suele seguir a un inicio de sesión robado, como el acceso remoto a servidores internos.

https://netsenx.com/es/faq/i-entered-my-work-password-on-a-phishing-page

## Un empleado introdujo su contraseña en una página de phishing. ¿Qué deberíamos revisar en la red?

Primero, la parte de identidad: restablecer la contraseña, revocar sesiones, revisar el registro de inicios de sesión y los métodos de MFA. Después, busque en la red señales de que el acceso se usó para ir más allá. Preguntas útiles: ¿el equipo o la cuenta del empleado se conectó a servidores que normalmente no usa, como servidores de archivos, el controlador de dominio o sistemas financieros? ¿Empezaron sesiones de escritorio remoto o de administración remota desde una máquina inusual? ¿Algún equipo inició conexiones regulares y periódicas con una dirección externa desconocida, lo que puede indicar un canal de control remoto? ¿Salieron de la red volúmenes de datos inusualmente grandes? En NetSenX, el historial de alertas y el mapa de red muestran estos patrones en todos los planes: beaconing, escaneo interno, movimiento lateral y volúmenes de salida inusuales. Si nada de eso aparece en los días posteriores al clic, es tranquilizador pero no una prueba, porque a los buzones en la nube y a las aplicaciones SaaS se llega por internet y esa actividad nunca pasa por su red.

https://netsenx.com/es/faq/employee-entered-password-what-to-check-on-the-network

## ¿Cómo se limpia un ordenador después de hacer clic en un phishing?

Una herramienta de red no puede limpiar un equipo; eso corresponde a su protección de endpoints y, ante la duda, a una reinstalación. Un orden práctico: desconecte el equipo de la red pero déjelo encendido, para que TI pueda recoger pruebas si hace falta. Haga un análisis completo con su herramienta EDR (endpoint detection and response) o su antivirus, y revise programas nuevos, extensiones del navegador, tareas programadas y elementos de inicio. Si se ejecutó algo sospechoso, o el equipo es de un administrador o de alguien de finanzas, lo más seguro es borrarlo y reinstalarlo desde una imagen limpia conocida, y restaurar los archivos desde la copia de seguridad, en lugar de confiar en una limpieza. Antes de volver a conectarlo, cambie las contraseñas del usuario desde otro dispositivo. Cuando vuelva, vigile su comportamiento en la red durante unas semanas: NetSenX puede mostrar si empieza de nuevo conexiones salientes regulares o tráfico inusual.

https://netsenx.com/es/faq/how-to-clean-a-device-after-a-phishing-click

## Tras un clic en un phishing, ¿cómo pasan los atacantes de un portátil al resto de la red?

Normalmente en unos pocos pasos previsibles. El archivo o enlace malicioso les da un canal de control remoto hacia su propio servidor, que se ve como conexiones salientes regulares. Luego exploran: qué servidores, recursos compartidos y cuentas existen, a menudo escaneando la red interna o consultando el directorio. Después reúnen más credenciales, de la memoria del portátil, de las contraseñas guardadas en el navegador o de otros sistemas, y las usan para entrar en otras máquinas con herramientas de administración normales como el escritorio remoto, PowerShell remoto o carpetas compartidas. Desde ahí apuntan al controlador de dominio, a las copias de seguridad y a los almacenes de datos. Cada paso deja un rastro en la red: conexiones nuevas entre máquinas internas que rara vez se hablan, escaneos, protocolos de administración desde un portátil corriente y datos que se mueven a lugares inusuales. Esos rastros son lo que vigila la detección y respuesta de red (NDR), y por eso un clic en un phishing no tiene por qué acabar en una intrusión completa.

https://netsenx.com/es/faq/how-attackers-move-from-a-phished-laptop-to-the-network

## ¿Deben los empleados avisar de un correo de phishing aunque no hayan hecho clic?

Sí. Un mensaje notificado permite a TI eliminar el mismo correo de todos los demás buzones, bloquear al remitente y el enlace, y avisar al compañero que quizá habría hecho clic mañana. El phishing suele llegar a muchas personas de la misma empresa a la vez, así que un aviso temprano puede proteger a decenas. Facilite el aviso: un botón de notificación en el programa de correo o una única dirección de reenvío, y un breve agradecimiento cada vez, también por las falsas alarmas. No castigue nunca un aviso, aunque la persona admita haber hecho clic: el miedo a la culpa convierte un arreglo de cinco minutos en un incidente de tres semanas. Mida el éxito por cuántas personas avisan y con qué rapidez, no solo por cuán pocas hacen clic. Los avisos también muestran a TI qué cebos llegan a la plantilla, lo que ayuda a ajustar los filtros de correo y la formación.

https://netsenx.com/es/faq/should-employees-report-phishing-they-did-not-click

## ¿La formación en concienciación de seguridad detiene el phishing?

Reduce el daño, pero por sí sola no detiene el phishing y no debería ser su única defensa. Una buena formación enseña cómo son los cebos actuales, convierte el aviso en un hábito y deja claro que un error avisado a tiempo es un buen resultado. Las sesiones breves y frecuentes funcionan mejor que un curso largo una vez al año. Las simulaciones de phishing pueden ayudar si sirven para practicar, no para avergonzar: comparta los resultados como tendencias por equipo, tras un clic ofrezca una lección de dos minutos en lugar de una reprimenda y avise a la plantilla de que se hacen simulaciones. Siempre habrá quien haga clic, porque los buenos cebos están pensados para parecer trabajo normal. Por eso combine la formación con controles que no dependan de un juicio perfecto: filtrado del correo, autenticación multifactor resistente al phishing, verificación telefónica de pagos y una monitorización que note cuándo un equipo comprometido empieza a comportarse de otra forma.

https://netsenx.com/es/faq/does-security-awareness-training-stop-phishing

## ¿Qué es el spear phishing?

El spear phishing es phishing dirigido a una persona o a un grupo pequeño, escrito con detalles que lo hacen creíble: su nombre, su puesto, proyectos en curso, proveedores o compañeros. Los atacantes reúnen esos datos de la web de la empresa, LinkedIn, notas de prensa, filtraciones anteriores o un buzón que ya controlan. Un mensaje a alguien de contabilidad puede citar un proveedor real y un número de factura real; uno a un administrador de TI puede parecer una alerta de una herramienta que la empresa usa de verdad. Cuando el objetivo es un alto directivo, a veces se habla de whaling. Como estos mensajes están hechos a medida, los filtros detienen menos y la plantilla los reconoce peor. Las mejores defensas son de procedimiento: verificar las peticiones inusuales por un segundo canal, limitar lo que publica sobre funciones internas y procesos de pago, y dar primero MFA resistente al phishing a quienes tienen acceso al dinero o derechos de administrador.

https://netsenx.com/es/faq/what-is-spear-phishing

## ¿Qué son el smishing y el vishing?

Son phishing por otros canales. El smishing usa SMS, a menudo sobre paquetes, bancos, devoluciones de impuestos o una cuenta bloqueada, con un enlace a una página de inicio de sesión falsa. El vishing usa llamadas: alguien se hace pasar por soporte de TI, el banco, un proveedor o un responsable y convence a la persona para leer un código, instalar una herramienta de soporte remoto o aprobar un pago. El vishing se ha convertido en una vía habitual de entrada porque un interlocutor convincente sortea controles que frenan el correo, por ejemplo pidiendo al servicio de ayuda que restablezca la contraseña de un empleado o registre un nuevo dispositivo de MFA. Defensas útiles: una norma de que TI nunca pide contraseñas ni códigos por teléfono, un procedimiento del servicio de ayuda que verifique la identidad antes de cualquier restablecimiento y la costumbre de devolver la llamada a un número conocido. Un sensor de red no oye llamadas, pero sí muestra los nuevos servicios externos con los que un equipo empieza a hablar después.

https://netsenx.com/es/faq/what-is-smishing-and-vishing

## ¿Qué es el phishing con código QR?

El phishing con código QR, a veces llamado quishing, esconde el enlace malicioso en un código QR: en un adjunto de correo, en una carta impresa, en un parquímetro o en un aviso falso en la oficina. Funciona por dos razones. Los filtros de correo revisan los enlaces, pero a menudo no pueden leer un enlace dentro de una imagen, y la gente escanea el código con el móvil, que suele estar fuera de la protección de la empresa y solo muestra una vista previa corta de la dirección. La página que se abre suele pedir un inicio de sesión de Microsoft 365 u otra cuenta de trabajo, o datos de tarjeta. Trate un código QR que le pide iniciar sesión como cualquier otro enlace: compruebe la dirección antes de escribir nada y, si un mensaje le apremia a escanear un código para mantener activa su cuenta o leer un documento, pregunte antes a TI. Para la empresa, la MFA resistente al phishing limita el daño cuando se escribe una contraseña en un móvil.

https://netsenx.com/es/faq/what-is-qr-code-phishing

## ¿Qué es el compromiso del correo electrónico empresarial (BEC)?

El compromiso del correo electrónico empresarial, o BEC, es un fraude en el que los delincuentes usan el correo para engañar a una empresa y que les pague o entregue datos sensibles. O entran en un buzón real, a menudo tras robar un inicio de sesión con phishing, o lo imitan con una dirección parecida. Variantes típicas: el falso director general que pide una transferencia urgente y confidencial, el proveedor cuyos datos bancarios cambian de repente, la petición de desviar la nómina de un empleado a una cuenta nueva y el abogado que lleva una operación secreta. El BEC a menudo no usa ni malware ni enlaces, solo un mensaje convincente en el momento justo, por eso los filtros técnicos dejan pasar tantos casos. Es una de las formas de ciberdelincuencia más costosas: el Internet Crime Complaint Center del FBI registró unos 2.800 millones de dólares en pérdidas por BEC en 2024. La mejor defensa es un proceso de pago que exija verificación telefónica, en un número conocido, antes de cualquier cambio de datos bancarios o transferencia inusual.

https://netsenx.com/es/faq/what-is-business-email-compromise

## ¿Puede la monitorización de red detener el fraude del CEO?

En general no, y es mejor saberlo desde el principio. En el fraude del CEO, un correo, una llamada o un mensaje de chat que parece venir de un alto directivo convence a un empleado para hacer un pago. Los mensajes viajan por la nube de su proveedor de correo y el pago por la banca en línea, y ambas cosas parecen totalmente normales en la red. Una herramienta de detección de red como NetSenX no lee el contenido del correo y no puede distinguir una orden de pago real de una falsa. Lo que detiene el fraude del CEO son los procedimientos: la norma de no pagar nunca solo por un mensaje, una llamada de vuelta a un número de sus propios registros, la doble aprobación de transferencias por encima de un importe fijado y el permiso explícito para que la plantilla retrase cualquier petición que se presente como urgente y secreta. La monitorización de red sí ayuda en un caso: cuando el fraude empieza con un buzón hackeado y el atacante llega también a los sistemas de la empresa.

https://netsenx.com/es/faq/can-network-monitoring-stop-ceo-fraud

## ¿Puede un correo de phishing venir de la cuenta real de un compañero?

Sí, y es una de las formas más eficaces porque supera todas las comprobaciones técnicas: la dirección es real, la firma es real y el mensaje puede incluso responder en un hilo existente. Ocurre cuando alguien ha tomado el buzón del compañero, a menudo tras un inicio de sesión robado con phishing, y lo usa para enviar nuevos cebos a toda la libreta de direcciones, dentro de la empresa y también a clientes y proveedores. Las señales de alarma están en el contenido, no en el remitente: una petición inusual, un documento compartido que no esperaba, un tono que no encaja o un mensaje enviado a una hora extraña. Si sospecha, no responda al correo; contacte con el compañero por otra vía y avise a TI. TI debería entonces tratar la cuenta del remitente como comprometida: restablecerla, revocar sus sesiones, revisar sus reglas de buzón y averiguar quién más recibió mensajes desde ella.

https://netsenx.com/es/faq/can-phishing-come-from-a-colleagues-real-account

## Un proveedor nos pide cambiar sus datos bancarios. ¿Cómo comprobamos que es auténtico?

Verifíquelo por un canal distinto del que trajo la petición. Llame al proveedor a un número que ya tenga en sus registros, del contrato o de una factura anterior, nunca al que aparece en el nuevo mensaje, y confirme el cambio con alguien que conozca allí. Muchas empresas exigen además una segunda aprobación en finanzas antes de cambiar los datos maestros del proveedor, y marcan el primer pago a la nueva cuenta para una comprobación adicional. Tenga especial cuidado cuando la petición llega con prisa, una persona de contacto nueva, un banco en otro país o una explicación como una auditoría o un cambio de banco. Este fraude funciona incluso cuando el correo viene de verdad de la dirección del proveedor, porque su buzón puede estar tomado. La monitorización de red no puede juzgar una petición así; quien lo hace es la llamada de verificación.

https://netsenx.com/es/faq/supplier-asks-to-change-bank-details

## Hemos pagado una factura fraudulenta. ¿Qué hacemos ahora?

Llame de inmediato a su banco y pida la retrocesión de la transferencia; pídale que contacte con el banco receptor para que congele los fondos. La rapidez decide el resultado: el dinero que aún no se ha movido a otro sitio a veces puede detenerse en las primeras horas o días, mucho menos a menudo después. Luego denuncie el fraude a la policía, guarde todos los correos con sus encabezados completos e informe a su aseguradora de ciberriesgos si la tiene, ya que muchas pólizas cubren este tipo de fraude solo con condiciones y plazos concretos. Averigüe cómo conocía el estafador los detalles: ¿un dominio parecido, su propio buzón o el del proveedor? Si se usó una de sus cuentas, trátelo como un incidente: restablézcala, revoque sus sesiones, revise sus reglas de buzón y a quién más se contactó. Por último, avise al proveedor real, porque puede ser la parte comprometida, y endurezca la norma de llamada de verificación para cambios de datos bancarios.

https://netsenx.com/es/faq/we-paid-a-fraudulent-invoice-what-now

## Hackearon la cuenta de correo de un proveedor y nos escribió. ¿Qué debemos hacer?

Suponga que cualquier mensaje reciente de ese proveedor puede ser falso hasta que se confirme. Suspenda brevemente los pagos a su favor y confirme los datos bancarios por teléfono, en un número que ya tenga. Avise a finanzas y a quien trate con el proveedor, y pida a TI que busque en sus buzones mensajes de esa dirección en el periodo afectado, sobre todo los que llevan enlaces, adjuntos o instrucciones de pago, y que los elimine o los ponga en cuarentena. Si alguien hizo clic en un enlace o escribió una contraseña, siga sus pasos de respuesta ante phishing. Pregunte al proveedor cuándo empezó el compromiso y qué sabe, y lleve un registro breve: la seguridad de la cadena de suministro es una de las medidas de gestión de riesgos que NIS2 espera de las empresas sujetas. Compruebe si alguien de su plantilla respondió enviando datos sensibles. En la red, mire si los equipos de quienes abrieron esos mensajes muestran conexiones salientes nuevas o actividad inusual.

https://netsenx.com/es/faq/supplier-email-was-hacked-what-should-we-do

## ¿Por qué una herramienta de seguridad de red no puede detener el fraude de facturas?

Porque el fraude de facturas ocurre en conversaciones y decisiones, no en el tráfico de red. La factura falsa llega como un correo normal a un buzón en la nube; la persona que la paga usa la banca en línea como cualquier otro día; y no tiene que ejecutarse malware en ninguna parte. Desde el punto de vista de la red, todo es normal. Una herramienta de detección y respuesta de red (NDR) observa cómo se comportan los equipos: qué máquinas hablan con cuáles, contactos regulares con servidores externos, escaneo interno, volúmenes de datos inusuales. No lee el texto de los correos y no puede saber que un número de cuenta es incorrecto. No es una debilidad que esconder, sino un límite que hay que planificar. El fraude de facturas se detiene con controles de pago, con la autenticación del correo de su propio dominio y con personas a las que se permite parar y llamar para verificar. La NDR solo es relevante cuando el fraude empieza con una intrusión, por ejemplo un buzón hackeado que se usa para entrar en otros sistemas.

https://netsenx.com/es/faq/why-cant-a-network-tool-stop-invoice-fraud

## Alguien está enviando facturas falsas en nombre de nuestra empresa. ¿Qué podemos hacer?

Primero averigüe cómo lo hace, porque la respuesta cambia. Si los mensajes llevan su propio dominio sin pasar por sus servidores de correo, necesita autenticación del correo: SPF, DKIM y una política DMARC estricta, para que los servidores receptores rechacen las falsificaciones. Si llegan desde un dominio parecido, por ejemplo con una letra cambiada, puede presentar una queja por abuso ante el registrador y el proveedor de alojamiento, y plantearse registrar usted mismo las variantes más obvias. Si llegan desde su buzón real, este está comprometido y tiene un incidente que gestionar: restablecer la cuenta, revocar sesiones, revisar reglas del buzón. En todos los casos, avise a sus clientes por un canal de confianza, diciéndoles que sus datos bancarios nunca cambian por correo y cómo verificarlo; denuncie el fraude a la policía; y guarde las muestras con sus encabezados completos. Los departamentos financieros de sus clientes agradecerán un aviso claro.

https://netsenx.com/es/faq/someone-sends-fake-invoices-in-our-name

## ¿Cómo evitamos que los delincuentes envíen correos que fingen venir de nuestro dominio?

Publique tres registros DNS que permiten a los servidores receptores comprobar su correo. SPF enumera los servidores autorizados a enviar en nombre de su dominio. DKIM añade una firma criptográfica a cada mensaje saliente. DMARC indica a los receptores qué hacer cuando un mensaje no supera esas comprobaciones y le envía informes sobre quién envía en su nombre. Empiece DMARC con la política none, que solo informa, y lea los informes durante unas semanas para encontrar a todos los remitentes legítimos: su proveedor de correo, la herramienta de boletines, el sistema de facturación y el CRM. Añádalos a SPF y DKIM, pase después a quarantine y por último a reject. Desde 2024, Google y Yahoo exigen DMARC a los remitentes masivos, así que también protege la entregabilidad de sus correos. Detiene las falsificaciones exactas de su dominio, no los dominios parecidos, que requieren vigilancia y solicitudes de retirada.

https://netsenx.com/es/faq/how-to-stop-someone-spoofing-our-email-domain

## ¿Qué es DMARC?

DMARC, siglas de Domain-based Message Authentication, Reporting and Conformance, es una regla publicada que indica a otros servidores de correo cómo tratar los mensajes que dicen venir de su dominio. Se basa en dos comprobaciones más antiguas: SPF, que dice qué servidores pueden enviar en nombre del dominio, y DKIM, que firma los mensajes. Un mensaje supera DMARC cuando al menos una de esas comprobaciones tiene éxito y coincide con el dominio de la línea De, que es lo que el lector ve realmente. La política puede ser none (solo informar), quarantine (enviar los fallos a spam) o reject (rechazarlos). DMARC también le envía informes agregados con cada origen que envió correo en su nombre, y a menudo es la primera vez que una empresa ve todos sus remitentes olvidados. Por sí solo no detiene el phishing en general, porque los atacantes usan simplemente otro dominio parecido. Pero cierra la puerta más fácil: la suplantación exacta de su propia dirección.

https://netsenx.com/es/faq/what-is-dmarc

## ¿Qué es la fatiga de MFA?

La fatiga de MFA, también llamada push bombing, es un ataque contra cuentas que usan notificaciones push para la autenticación multifactor. El atacante ya tiene la contraseña, a menudo por phishing o por una filtración, y lanza intentos de inicio de sesión una y otra vez, de modo que el móvil del usuario no deja de pedir aprobación, a veces de madrugada. Al final la persona pulsa aprobar para que pare, o alguien que llama haciéndose pasar por TI la convence. Defensas: cambiar las aprobaciones push a coincidencia de números, en la que el usuario debe escribir un número que aparece en la pantalla de inicio de sesión, algo que Microsoft Authenticator aplica ya por defecto; limitar el número de solicitudes por periodo; permitir avisar de solicitudes inesperadas con un toque; y pasar las cuentas de alto riesgo a métodos resistentes al phishing, como llaves de seguridad o passkeys. Diga claramente a la plantilla que una solicitud de MFA que no han iniciado significa que alguien tiene su contraseña, y que deben rechazarla y llamar a TI.

https://netsenx.com/es/faq/what-is-mfa-fatigue

## ¿Puede el phishing saltarse la autenticación multifactor?

Sí, algunos tipos de MFA se pueden eludir, por eso importa el tipo. En un ataque de intermediario (adversary-in-the-middle), la página de phishing se sitúa entre usted y la página de inicio de sesión real: pasa en tiempo real su contraseña y su código de un solo uso o su aprobación push al servicio real, y se queda con la cookie de sesión que el servicio devuelve. Con esa cookie, el atacante ha iniciado sesión sin necesitar de nuevo la contraseña ni la MFA. Los códigos por SMS, los de aplicaciones de autenticación y las aprobaciones push simples están expuestos a esto. La MFA resistente al phishing, es decir, las llaves de seguridad FIDO2 y las passkeys, no lo está, porque la llave comprueba la dirección web y no responde a un sitio falso. Cualquier MFA sigue siendo mucho mejor que ninguna. Pasos prácticos: dé primero passkeys o llaves de seguridad a administradores y finanzas, active políticas de inicio de sesión que marquen dispositivos y ubicaciones desconocidos, y revoque sesiones, no solo contraseñas, tras cualquier incidente de phishing.

https://netsenx.com/es/faq/can-phishing-bypass-multi-factor-authentication

## ¿Restablecer la contraseña pone fin a la toma de un buzón?

No siempre. Los atacantes que toman un buzón suelen dejar vías para seguir dentro que sobreviven a una contraseña nueva. Revise y elimine todas: sesiones activas y tokens de actualización, que hay que revocar expresamente; métodos de MFA que registró el atacante, como un número de teléfono o una aplicación de autenticación nuevos; reglas del buzón que reenvían correo a una dirección externa, mueven los mensajes sobre facturas o seguridad a una carpeta poco visible o borran respuestas; el reenvío automático configurado en las opciones del buzón; contraseñas de aplicación y aplicaciones de terceros conectadas con acceso al correo; y accesos delegados a otra cuenta. Después mire qué se hizo mientras estuvieron dentro: mensajes enviados, archivos compartidos, contactos exportados. En Microsoft 365 y Google Workspace, el registro de auditoría muestra estos cambios con su hora. Anote lo que encuentre, porque determina a quién hay que avisar y si el incidente debe notificarse.

https://netsenx.com/es/faq/does-a-password-reset-end-a-mailbox-takeover

## ¿Qué son las llamadas falsas del CEO con deepfake y cómo protegernos?

Los delincuentes usan ya voz, y a veces vídeo, generados por IA para hacerse pasar por un alto directivo en una llamada telefónica o por vídeo y pedir un pago urgente o datos confidenciales. Unos minutos de audio público, de una conferencia o un pódcast, pueden bastar para clonar una voz. En un caso muy difundido en Hong Kong en 2024, un empleado transfirió unos 25 millones de dólares tras una videollamada en la que todos los demás participantes eran deepfakes. No puede confiar en detectar la falsificación, porque la calidad no deja de mejorar. Proteja el proceso: ningún pago ni entrega de datos solo por una llamada, una llamada de vuelta a un número de sus propios registros, un segundo aprobador para transferencias por encima de un importe fijado y quizá una pregunta de verificación acordada para las peticiones de la dirección. Deje claro que la plantilla puede colgar y devolver la llamada, aunque quien llama suene exactamente como el director general. La monitorización de red no tiene ningún papel para frenar esto.

https://netsenx.com/es/faq/what-are-deepfake-ceo-calls

## ¿Qué es un ataque de CAPTCHA falso o ClickFix?

Es un truco que consigue que la víctima ejecute ella misma la orden del atacante. Una web comprometida o falsa muestra algo que parece un CAPTCHA o un mensaje de error, con instrucciones para demostrar que es humano o arreglar el problema: pulsar una combinación de teclas que abre una ventana de comandos o de ejecución, pegar y pulsar Intro. La página ya ha copiado una orden maliciosa en el portapapeles, así que la persona en realidad lanza un script que descarga malware, a menudo un ladrón de información o una herramienta de acceso remoto. Como lo ejecuta el propio usuario, muchas protecciones del navegador y del correo nunca ven un archivo que bloquear. Investigadores de seguridad, entre ellos Microsoft, han informado de un fuerte aumento de esta técnica desde 2024. Defensas: diga a la plantilla que ninguna web real pide nunca pegar comandos, limite quién puede ejecutar scripts en los puestos normales y mantenga al día la protección de endpoints. Si ocurre, trate el equipo como comprometido; en la red, vigile las nuevas conexiones salientes regulares que haga.

https://netsenx.com/es/faq/what-is-a-fake-captcha-clickfix-attack

## ¿Siguen siendo peligrosos los adjuntos de correo?

Sí, aunque los tipos peligrosos han cambiado. Desde 2022, Microsoft Office bloquea por defecto las macros en archivos descargados de internet, lo que cerró para la mayoría de las empresas la vieja vía del documento de Word infectado. Los atacantes pasaron a otros formatos: archivos comprimidos con una contraseña indicada en el texto del mensaje, archivos de imagen de disco, archivos de acceso directo, adjuntos HTML que al abrirse montan una página de inicio de sesión falsa o descargan un archivo, y PDF que solo contienen un enlace o un código QR. Regla práctica para la plantilla: un adjunto inesperado que pide habilitar contenido, escribir una contraseña, escanear un código o abrir otro archivo es motivo para parar y preguntar. Para TI: bloquee los tipos de adjuntos poco habituales en la pasarela de correo, mantenga el bloqueo de macros y asegúrese de que la protección de endpoints examina los archivos abiertos desde archivos comprimidos. Si alguien abrió algo sospechoso, siga los mismos pasos que tras un clic en un phishing.

https://netsenx.com/es/faq/are-email-attachments-still-dangerous

## ¿Qué ve NetSenX después de que alguien haga clic en un enlace de phishing?

NetSenX ve lo que el equipo hace después en la red, no el correo ni el clic en sí. No lee el contenido del correo y no descifra el tráfico. Lo que puede mostrar, en todos los planes: un equipo que empieza conexiones regulares y periódicas con un servidor externo que nunca había usado (beaconing); un equipo que empieza a escanear otras máquinas; conexiones entre hosts internos que apuntan a movimiento lateral; y volúmenes inusuales de datos saliendo de la red. Donde el agente captura paquetes, en Linux o a través de un puerto espejo (SPAN), los planes desde Starter muestran también huellas TLS, que ayudan a detectar herramientas que no encajan con el software habitual del equipo. Las alertas indican la técnica de MITRE ATT&CK y, desde Starter, incluyen recomendaciones de respuesta. Si el phishing solo roba un inicio de sesión en la nube que luego se usa desde el ordenador del atacante, nada de ese tráfico pasa por su red, y el lugar donde mirar son los registros de inicio de sesión de su proveedor de identidad.

https://netsenx.com/es/faq/what-does-netsenx-see-after-a-phishing-click

FAQ: https://netsenx.com/es/faq