He hecho clic en un phishing: qué hacer ahora mismo

Si has hecho clic en un enlace de phishing, lo que hagas en los primeros minutos importa más que lo que ocurra después. Lo esencial: no hace falta entrar en pánico, pero sí actuar ya. Desconecta el equipo de la red si has descargado o abierto algo, cambia la contraseña de la cuenta afectada desde otro dispositivo, avisa a quien gestione la seguridad en tu empresa y no borres el correo, porque sirve como evidencia.

Qué hacer según lo que ocurrió

Hice clic, pero no escribí nada

Cierra la pestaña. Si el navegador descargó un fichero, no lo abras y bórralo. Pasa un análisis con el antivirus. En muchos casos no ha pasado nada, pero avisa igualmente: otras personas pueden haber recibido el mismo correo.

Escribí mi contraseña en la página falsa

1. Cambia la contraseña ya, desde otro dispositivo si dudas del equipo.
2. Cierra todas las sesiones abiertas de esa cuenta (en Microsoft 365: "Cerrar sesión en todas partes", o que el administrador revoque las sesiones). Cambiar la contraseña sin cerrar sesiones puede dejar al atacante dentro si ya tiene una sesión activa.
3. Si usas esa contraseña en otros servicios, cámbiala también allí.
4. Revisa los métodos de MFA registrados: el atacante puede haber añadido el suyo.
5. Revisa reglas de bandeja de entrada y reenvíos: son lo primero que crean para esconderse. Qué buscar, en señales de BEC en Microsoft 365.

Descargué y abrí un fichero o instalé algo

1. Desconecta el equipo de la red (cable y Wi-Fi). No lo apagues si puedes evitarlo: apagarlo borra información útil para la investigación.
2. Avisa al responsable de seguridad o a tu proveedor informático, y no sigas usando ese equipo.
3. Cambia las contraseñas desde otro dispositivo, empezando por correo y banca.

Introduje datos de una tarjeta o bancarios

Llama a tu banco ya, bloquea la tarjeta y pide que revisen los movimientos. Si hay un cargo no reconocido, denuncia ante la Policía o los Mossos d'Esquadra.

Qué NO hacer

• No borres el correo ni lo reenvíes a compañeros: se reenvía como adjunto al equipo de seguridad.
• No te quedes callado por vergüenza. Un aviso rápido evita que otros caigan, y cualquier SOC prefiere veinte avisos falsos a un incidente tardío.
• No respondas al atacante.

Qué mira el equipo de seguridad después

Revisa si el enlace se abrió desde más usuarios, si hubo un inicio de sesión sospechoso tras el clic, si se crearon reglas de bandeja o consentimientos OAuth, y si el equipo ejecutó algo raro. Con un EDR o XDR se ve la cadena completa; es lo que explico en XDR, SIEM y EDR.

Para que el próximo clic sea menos peligroso: MFA resistente a phishing, que no cae aunque el usuario introduzca todo en la web falsa.

Preguntas frecuentes

¿Qué pasa si hago clic en un enlace de phishing?

Depende de lo que haga la página: puede pedirte credenciales, descargar un fichero malicioso o solo registrar que el correo es real. Hacer clic sin más rara vez compromete el equipo, pero conviene avisar.

¿Me pueden robar la cuenta aunque tenga MFA?

Sí, con phishing en tiempo real que roba también la sesión. Por eso conviene cerrar sesiones y revisar los métodos de MFA, y usar métodos resistentes a phishing.

¿A quién aviso?

En una empresa, al equipo de seguridad o de informática. Si eres particular y hay fraude económico, a tu banco y a la policía. INCIBE tiene una línea gratuita de ayuda: 017.