Una panadería de barrio me llamó un martes a las siete de la mañana. El dueño había recibido un mail del ‘banco’ avisándole que su token estaba por vencer. Hizo clic, puso usuario, clave y el código que le llegó al celular. A las dos horas tenía la cuenta de la empresa vacía. Lo que más me dolió no fue el monto: fue que el mail tenía tres errores que él mismo podía haber visto si alguien le hubiera mostrado dónde mirar.
Por eso te lo simplifico: detectar un mail de phishing que se hace pasar por tu banco empresa no es cosa de expertos. Es cosa de mirar cuatro cosas antes de tocar un link. Y de tener el doble factor bien puesto, que es el cinturón de seguridad del negocio.
Qué mira el estafador antes de escribirte
El que manda el mail no te conoce. Sabe tu razón social, el nombre del banco y poco más. Eso lo saca de filtraciones, de la web, de un proveedor descuidado. Con eso arma un mensaje que suena urgente y te apura. Si te apura, sos vos el que tiene que frenar.
El patrón se repite. Lo vi mil veces en el soporte de la fintech: el mail llega un viernes a la tarde, o un lunes temprano, o el día que vence un pago. Nunca un miércoles a las tres de la tarde. Eligen el momento en que estás apurado y no querés leer dos veces.
Las 5 señales que sí podés verificar en 30 segundos
Ordená esto. No hace falta que revises todo el mail: con dos señales ya tenés para sospechar.
1. El remitente real, no el nombre. El nombre que muestra dice ‘Banco X’. Pero si tocás el nombre o pasás el mouse, ves la dirección real. Si no termina en el dominio oficial del banco, es trucho. Punto. Un banco no te escribe desde un Gmail ni desde un dominio raro tipo ‘banco-x-seguridad.info’.
2. El link, antes de tocarlo. Pasá el mouse por encima sin hacer clic. Abajo del navegador o del cliente de mail aparece la dirección real. Si el texto dice ‘www.bancosantander.com.ar’ pero la dirección real es otra cosa, no entres. Regla simple: nunca entrés al home banking desde un link de un mail. Entrá siempre desde la app oficial o escribiendo la dirección a mano.
3. La urgencia y la amenaza. ‘Su cuenta será bloqueada en 24 horas’. ‘Detectamos un movimiento sospechoso, confirme sus datos’. Los bancos no te piden usuario, clave ni token por mail. Nunca. Si el mail te pide eso, ya está: es phishing.
4. Los errores de forma. Logo mal pixelado, colores que no son, ‘estimado cliente’ en vez de tu nombre, faltas de ortografía, frases raras traducidas. Los bancos escriben con tu nombre y apellido. Si te tratan genérico, sospechá.
5. El archivo adjunto. Un banco no te manda un PDF para ‘actualizar tus datos’ ni un Excel con un supuesto resumen. Si viene adjunto y te pide abrirlo para algo urgente, no lo abras.
Qué hacer si el mail ya te llegó
Primero: no toques nada. No hagas clic, no respondas, no reenvíes a tus contactos. Segundo: si tenés dudas, llamá al banco por el número que figura en el dorso de tu tarjeta o entrá a la app oficial. Nunca por el teléfono que aparece en el mail.
Tercero: si ya cargaste datos, actuá rápido. Cambiá la clave del home banking desde la app oficial, avisá al banco por el canal oficial y revisá los movimientos. Cada minuto cuenta. Cuarto: marcá el mail como phishing en tu cliente de correo. Eso ayuda a que otros no caigan.
Si el problema fue con un proveedor o un cliente que te apuró para pagar, el orden es parecido. Te lo dejo desarrollado en cómo verificar que un cliente o proveedor es real antes de operar.
El error que casi todos cometen: confiar en el SMS
Muchos bancos todavía mandan el código por SMS. El problema es que ese código se puede interceptar o simular. Si tu banco empresa te deja elegir, pasate a una app de autenticación. Es gratis y es mucho más difícil de vulnerar. Te explico la diferencia en app de autenticación vs SMS.
Y si el banco no te da esa opción, al menos activá el doble factor en todas las cuentas del negocio: home banking, Mercado Pago, mail corporativo, redes. El doble factor es el cinturón de seguridad: ponelo siempre, aunque te parezca molesto.
Lo que le digo a cada pyme que asesoro
La seguridad de una pyme no es cara, es ordenada. No necesitás un sistema carísimo. Necesitás hábitos. Un mail de phishing se cae con dos cosas: mirar el remitente real y no entrar nunca desde un link. Eso es gratis y lo puede hacer cualquiera de tu equipo.
El dato del cliente es prestado, no tuyo. Y tu cuenta bancaria también. Cuidala como si fuera plata de otro, porque en el fondo lo es: es la plata con la que pagás sueldos, proveedores y el alquiler.
¿Cómo sé si un mail es realmente de mi banco?
Mirá la dirección real del remitente, no el nombre que muestra. Si no termina en el dominio oficial del banco, es trucho. Y recordá: el banco nunca te pide usuario, clave ni token por mail.
¿Qué hago si ya hice clic en el link?
No cargues ningún dato. Cerrá la página. Si ya cargaste usuario y clave, cambiá la contraseña desde la app oficial del banco y avisá por el canal oficial. Revisá los movimientos de la cuenta.
¿El doble factor por SMS sirve?
Sirve más que no tener nada, pero es vulnerable. Si tu banco te deja usar una app de autenticación, mejor. Es gratis y más difícil de interceptar.
¿Los bancos mandan mails con links?
Algunos mandan avisos, pero nunca te piden datos por mail ni te apuran con bloqueos. Si el mail te pide usuario, clave o token, es phishing. Entrá siempre desde la app oficial.
¿Qué hago si un empleado cayó en el phishing?
No lo retes, eso hace que después nadie avise. Cambiá las claves de las cuentas afectadas, activá el doble factor y revisá movimientos. Después capacitá al equipo: 30 minutos alcanzan para bajar el riesgo.
Esta semana, sentate 20 minutos y hacé dos cosas. Primero, revisá el remitente de los últimos mails que te llegaron del banco. Segundo, activá el doble factor en las tres cuentas más importantes del negocio. Con eso ya estás más protegido que la mayoría. 🔒
Cada negocio es distinto; tomá esto como guía y, ante un fraude o filtración en curso, contactá los canales oficiales y, si corresponde, hacé la denuncia.
Asesora de pymes, cinco años en el soporte de una fintech. Escribe sobre datos de clientes, antifraude y seguridad del negocio, en criollo.
Mas sobre Lucía Sandoval
Lucía trabajó cinco años en el soporte de una fintech, atendiendo a comercios que se comían fraudes, contracargos y cuentas hackeadas. Vio de todo, y vio que casi siempre se podía evitar. Ahora asesora a pymes y emprendedores para que protejan los datos de sus clientes y la plata del negocio sin volverse locos ni gastar una fortuna. No promete blindajes mágicos: enseña lo que de verdad mueve la aguja. Voz de Negocio Blindado, con asistencia de IA.
