El phishing sigue siendo la puerta de entrada más usada para comprometer una empresa: no hace falta encontrar una falla técnica si basta con que una persona haga clic en el lugar equivocado. Y contra la intuición común, las pymes no son un blanco menor — son, muchas veces, el blanco preferido.
Por qué una pyme es un blanco atractivo
Un atacante no necesariamente busca a la empresa más grande, busca la más fácil de comprometer con el menor esfuerzo. Las pymes suelen reunir justo esas condiciones:
- No tienen un equipo de TI dedicado a monitorear correo o accesos, o esa función recae en una sola persona con muchas otras responsabilidades.
- El correo, WhatsApp y herramientas personales se mezclan con el trabajo, ampliando la superficie de ataque.
- Suelen ser proveedores o contratistas de empresas más grandes — comprometer a la pyme puede ser el camino de entrada a un cliente mayor.
- Manejan datos que sí tienen valor: información de clientes, facturación, cuentas bancarias, credenciales de acceso a sistemas de terceros.
Cómo luce un ataque real
Los correos de phishing dirigidos a empresas chilenas rara vez se ven como el clásico "premio ganado". Los patrones más efectivos imitan trámites cotidianos:
- Suplantación de organismos públicos — notificaciones falsas que imitan al SII o a otras entidades, pidiendo "regularizar" una situación con un enlace.
- Alertas bancarias — avisos de "movimiento sospechoso" que llevan a un formulario falso de verificación.
- Fraude del proveedor (BEC) — un correo que parece venir de un proveedor real, avisando un "cambio de cuenta bancaria" para el próximo pago.
- Suplantación interna — un mensaje que aparenta venir de gerencia pidiendo una transferencia o información urgente, apostando a que nadie se atreva a verificar.
El objetivo del atacante no es verse sofisticado. Es verse normal.
El costo real no termina en el clic
Una credencial entregada casi nunca se queda en un solo lugar. Es habitual que la misma contraseña se reutilice en otros sistemas, que ese acceso sirva para moverse lateralmente dentro de la red, o que sea el primer paso hacia un secuestro de datos (ransomware). El correo comprometido es el inicio del incidente, no el incidente completo — y para una empresa pequeña, el tiempo de inactividad que sigue puede pesar mucho más que la filtración inicial.
Qué puedes hacer hoy
- Activa verificación en dos pasos (MFA) en correo, banca y cualquier sistema crítico — reduce el impacto aunque la contraseña se filtre.
- Verifica el remitente real, no solo el nombre que aparece: revisa el dominio completo del correo antes de hacer clic.
- Confirma cambios de datos bancarios por otro canal (llamada telefónica conocida, no respondiendo al mismo correo) antes de pagar.
- Define un canal simple para reportar correos sospechosos, sin miedo a "molestar" si resulta ser una falsa alarma.
- Mide, no asumas: la única forma de saber qué tan expuesto está tu equipo hoy es probarlo con un escenario controlado.
Cómo lo medimos en Uroboros
Operamos campañas de phishing simulado con Gophish sobre nuestro propio laboratorio antes de llevarlas a un cliente: señuelos realistas, sin riesgo real para nadie, con un embudo medible de enviados, abiertos, clics y datos entregados.
Un embudo claro, no una suposición
Así se ve el resultado de una campaña real: sabes exactamente cuántos abrieron, cuántos hicieron clic y cuántos llegaron a entregar datos — la base para enfocar la formación donde de verdad se necesita.
Si quieres saber qué tan expuesto está tu equipo hoy, en Phishing & Concienciación explicamos cómo funciona una campaña de principio a fin. Y si el foco es cumplir con obligaciones normativas (Ley 21.719, ISO 27001), en Cumplimiento y Certificaciones vemos cómo se integra la concienciación de phishing dentro del programa completo.