Atendí a un kiosquero de barrio que una mañana abrió un mail del banco. Decía que su cuenta estaba en revisión y que tenía que confirmar sus datos en un link. Lo abrió. Puso usuario, clave y el token que le llegó al celular. A las dos horas tenía la cuenta vacía. Cuando me llamó, lo primero que me dijo fue: «pero si era el logo del banco, Lucía». Sí. Era el logo. Y también era falso.
El phishing que se hace pasar por tu banco empresa es hoy uno de los fraudes más comunes contra pymes. No es un mail con faltas de ortografía y un príncipe nigeriano. Es un mail prolijo, con el logo correcto, que te apura y te pide algo que el banco nunca te va a pedir. La buena noticia: se detecta. Y se detecta antes de tocar el link.
Qué es el phishing bancario, en criollo
Phishing es cuando alguien se hace pasar por una entidad de confianza para que vos le entregues tus datos. En el caso del banco empresa, el objetivo es claro: entrar a tu home banking, hacer una transferencia y desaparecer.
No te hackean el banco. Te hackean a vos. Te convencen. Te apuran. Te asustan. Y vos, sin querer, les abrís la puerta.
Lo vi mil veces. El patrón se repite: mail o mensaje que parece oficial, un problema urgente, un link, un formulario. Y del otro lado, alguien esperando que caigas.
Las 6 señales que delatan un mail falso del banco
Mirá el mail con estos seis filtros. Si falla uno solo, desconfiá.
1. El remitente no es el dominio oficial. El nombre que muestra puede decir «Banco X» pero la dirección real es otra. Fijate en lo que va después del arroba. Si dice algo raro, tipo @banco-seguridad.info o @bancox-clientes.net, es falso. El banco te escribe desde su dominio real, no desde un dominio parecido.
2. Te piden datos que el banco nunca pide. Clave, token, PIN, número completo de tarjeta, contraseña de home banking. Ningún banco te pide eso por mail, ni por WhatsApp, ni por teléfono. Nunca. Si te lo piden, es fraude.
3. Hay urgencia o amenaza. «Su cuenta será bloqueada en 24 horas». «Detectamos un movimiento sospechoso, confirme ahora». La urgencia es la herramienta número uno del estafador. Te apuran para que no pienses.
4. El link no lleva al sitio oficial. Pasá el mouse por encima sin hacer clic. Mirá la dirección real abajo. Si no es exactamente el dominio del banco, no entres. Ojo con los parecidos: banco.com.ar no es lo mismo que banc0.com.ar ni banco.com.ar-seguro.net.
5. El saludo es genérico. «Estimado cliente» en vez de tu nombre. Los bancos te conocen. Los estafadores, no.
6. Hay errores de forma. Logo mal recortado, tipografía rara, firma que no cierra, mail que llega a cualquier hora desde una dirección que no conocés. Todo eso suma.
Si querés profundizar en el paso a paso de detección, lo desarrollé en esta guía sobre phishing bancario.
Qué hacer si recibís un mail sospechoso: el orden correcto
Te lo simplifico en cuatro pasos. En este orden.
Primero: no toques nada. No hagas clic. No respondas. No reenvíes. No descargues adjuntos. El solo hecho de abrir un adjunto puede ejecutar algo.
Segundo: verificá por el canal oficial. Abrí la app del banco o entrá escribiendo la dirección a mano en el navegador. Nunca desde el link del mail. Ahí vas a ver si hay algún aviso real. Si el banco tenía algo que decirte, te lo va a decir dentro de su app o su web oficial.
Tercero: reportalo. Reenviá el mail a la casilla de seguridad del banco si la tenés a mano, o marcalo como phishing en tu correo. Gmail y Outlook tienen esa opción. Ayudás a que otros no caigan.
Cuarto: avisá a tu equipo. Si el mail llegó a tu casilla, puede haber llegado a la de tus empleados. Mandá un mensaje corto: «Ojo, están mandando mails falsos del banco, no toquen ningún link».
El caso del proveedor que cambió el CBU
Hay un phishing hermano que vacía cuentas de pymes todos los meses. El estafador se hace pasar por un proveedor tuyo, te manda un mail desde una dirección parecida y te avisa que cambiaron el CBU. Vos pagás. La plata va a otra cuenta. Cuando el proveedor real te reclama, ya es tarde.
La defensa es la misma lógica: verificar por otro canal. Llamá al proveedor al número que ya tenías guardado. No al que aparece en el mail. Si te contesta y te confirma el cambio, listo. Si no, frená el pago. Lo expliqué con más detalle en la estafa del proveedor que cambió el CBU.
Qué hacer si ya hiciste clic y diste tus datos
No entres en pánico. Actuá rápido. Cada minuto cuenta.
1. Llamá al banco por el canal oficial. El número que está en el dorso de tu tarjeta o dentro de la app. No el que aparece en el mail. Pedí que bloqueen la cuenta y las transferencias.
2. Cambiá la contraseña del home banking. Desde otro dispositivo, si podés. Y activá el doble factor si no lo tenías.
3. Revisá los movimientos. Mirá si hubo transferencias que no hiciste. Anotá fechas, montos y destinatarios.
4. Hacé la denuncia. En la comisaría o por el canal que corresponda. El banco te la va a pedir para iniciar el reclamo.
5. Avisá a tus clientes si tenés sus datos expuestos. Si el phishing derivó en un acceso a tu base de clientes, hay que avisar. Lo desarrollé en qué hacer si filtraron la base de datos de tus clientes.
La defensa que evita el 90% de estos casos
El doble factor es el cinturón de seguridad del negocio. Con el doble factor activo, aunque el estafador tenga tu usuario y tu clave, no puede entrar. Necesita el segundo código, que llega a tu celular o a tu app de autenticación.
Y hay algo más importante todavía: la app de autenticación es mejor que el SMS. El SMS se puede interceptar. La app, no. Lo comparé en app de autenticación vs SMS.
Segundo: separá los accesos. Que la persona que paga no sea la misma que aprueba. Que el mail del banco no sea el mismo mail que usás para todo. Que las claves no estén en un Excel compartido.
Tercero: educá a tu equipo. Un mail falso que llega a la casilla de tu administrativa puede terminar en una transferencia. Con 30 minutos de charla se evita. Lo armé en capacitar a tu equipo para no caer en estafas.
El error que veo siempre: «a mí no me va a pasar»
Cada vez que un cliente me dice eso, anoto la fecha. Siempre vuelven. No porque sean tontos. Porque el phishing no ataca la inteligencia. Ataca el apuro, el cansancio, el momento en que estás cerrando el mes y ves un mail del banco que dice que hay un problema.
La Marta de la óptica me dijo lo mismo. Hasta que un mail la apuró un viernes a la tarde y casi paga una factura trucha. Ahora tiene el doble factor en todo y me llama antes de tocar cualquier link. Ese es el cambio.
El dato del cliente es prestado, no tuyo. Y tu cuenta bancaria es la que sostiene el negocio. Cuidala como tal.
¿Cómo sé si un mail del banco es real o falso?
Mirá el remitente real (lo que va después del arroba), no el nombre que muestra. Si no es el dominio oficial del banco, es falso. Además, ningún banco te pide clave, token o PIN por mail. Si te lo piden, es fraude.
¿Qué hago si ya hice clic en el link?
No entres en pánico. Llamá al banco por el número oficial (el del dorso de la tarjeta o dentro de la app), pedí el bloqueo de la cuenta, cambiá la contraseña y activá el doble factor. Después revisá movimientos y hacé la denuncia.
¿El banco me puede pedir el token por teléfono?
Nunca. Ningún banco te pide el token, la clave ni el PIN por teléfono, mail o WhatsApp. Si alguien te lo pide haciéndose pasar por el banco, cortá y llamá vos al número oficial.
¿El doble factor evita el phishing?
No evita que te llegue el mail, pero evita que entren a tu cuenta aunque tengan tu usuario y clave. Es la defensa más simple y más efectiva que podés activar hoy. Mejor con app de autenticación que con SMS.
¿Qué diferencia hay entre phishing y smishing?
Phishing es por mail. Smishing es por SMS o mensaje de texto. Vishing es por llamada telefónica. Los tres buscan lo mismo: que entregues tus datos. La defensa es la misma: desconfiar, verificar por canal oficial y no dar nunca claves ni tokens.
¿Cómo protejo a mi equipo de estos mails?
Con una charla de 30 minutos alcanza para lo básico: no tocar links de mails del banco, verificar siempre por la app oficial, avisar si algo raro llega. Repetilo cada tanto. La memoria se olvida.
Esta semana, sentate 20 minutos y hacé tres cosas. Activá el doble factor en la cuenta del banco empresa. Revisá que el mail del banco no sea el mismo que usás para todo. Y mandale un mensaje a tu equipo avisando que están circulando mails falsos. Con eso ya estás más protegido que la mayoría. 🔒
Cada negocio es distinto; tomá esto como guía y, ante un fraude o filtración en curso, contactá los canales oficiales y, si corresponde, hacé la denuncia.
Asesora de pymes, cinco años en el soporte de una fintech. Escribe sobre datos de clientes, antifraude y seguridad del negocio, en criollo.
Mas sobre Lucía Sandoval
Lucía trabajó cinco años en el soporte de una fintech, atendiendo a comercios que se comían fraudes, contracargos y cuentas hackeadas. Vio de todo, y vio que casi siempre se podía evitar. Ahora asesora a pymes y emprendedores para que protejan los datos de sus clientes y la plata del negocio sin volverse locos ni gastar una fortuna. No promete blindajes mágicos: enseña lo que de verdad mueve la aguja. Voz de Negocio Blindado, con asistencia de IA.
