¿Qué hizo exactamente el empleado?
Es la primera pregunta y cambia todo lo demás. Hazla sin buscar culpables: quien avisa rápido es tu mejor sensor, y si teme una sanción, el próximo no avisará. Pide la hora aproximada, el correo original (sin reenviarlo a nadie más) y qué vio en pantalla después del clic.
| Qué pasó | Riesgo | Primeras acciones |
|---|---|---|
| Abrió el correo y no hizo nada más | Bajo | Reportarlo y retirarlo de todos los buzones |
| Hizo clic, pero no escribió nada | Bajo o medio | Revisar descargas y alertas del EDR, bloquear el dominio |
| Escribió usuario y contraseña | Alto | Cambiar contraseña, revocar sesiones, revisar MFA y reglas del buzón |
| Aprobó un aviso de MFA o dictó un código | Alto | Revocar sesiones de inmediato y revisar qué se hizo con la cuenta |
| Abrió un adjunto o ejecutó un archivo | Alto | Aislar el equipo y tratarlo como posible infección |
| Respondió con datos o hizo un pago | Alto | Llamar al banco y revisar si es un fraude del CEO o BEC |
¿Qué hacer si solo hizo clic en el enlace?
Muchos enlaces de phishing llevan a una página que imita el inicio de sesión de Microsoft 365, Google o un banco. Hacer clic sin escribir nada suele tener poco impacto, pero no se puede descartar una descarga. Comprueba tres cosas:
- Si se descargó algún archivo (ZIP, ISO, HTML, LNK, JS o MSI) y si llegó a abrirse.
- Si el EDR o el antivirus registraron alguna alerta en ese equipo desde la hora del clic.
- Si el empleado llegó a escribir algo, aunque fuera solo su correo. A veces no lo recuerda bien: el historial del navegador y los registros del proxy ayudan.
Bloquea el dominio y la URL en el filtro de correo, el proxy o el DNS para que nadie más llegue a la página.
¿Qué hacer si introdujo su contraseña en la página falsa?
Asume que el atacante tiene la cuenta, y probablemente también una sesión abierta. Microsoft documentó campañas de phishing con proxy intermedio (AiTM) en las que la página falsa capturaba la contraseña y la cookie de sesión, lo que permitía entrar aunque la cuenta tuviera MFA. En algunos casos, el fraude de pagos empezó apenas cinco minutos después del robo. Cambiar solo la contraseña no basta.
- Cambia la contraseña desde un equipo que sepas que está limpio y no envíes la nueva por correo.
- Revoca todas las sesiones y tokens de la cuenta en tu plataforma de identidad.
- Revisa los métodos de MFA registrados y elimina cualquiera que el empleado no reconozca.
- Revisa las reglas de bandeja de entrada, los reenvíos, las aplicaciones con permisos y las contraseñas de aplicación.
- Revisa los inicios de sesión desde la hora del clic: IP, país, dispositivo y aplicación.
- Si el empleado usaba esa contraseña en otros servicios, cámbiala también allí.
Si encuentras inicios de sesión del atacante o reglas nuevas, pasa al procedimiento de cuenta comprometida, que añade la limpieza del buzón y la investigación de lo que hizo el atacante.
¿Qué hacer si abrió un adjunto o ejecutó un archivo?
Trátalo como una posible infección. Un adjunto de phishing puede instalar un cargador que descarga más malware o un infostealer que roba contraseñas guardadas y cookies de sesión del navegador.
- Aísla el equipo de la red con el EDR o desconectando cable y wifi. No lo apagues: la memoria contiene evidencias.
- Desde otro equipo, cambia la contraseña corporativa del empleado y las que tuviera guardadas en el navegador.
- Revoca sus sesiones abiertas. Con una cookie robada, el atacante puede entrar sin contraseña ni MFA hasta que la sesión caduca o se revoca.
- Analiza el equipo: procesos, conexiones salientes y mecanismos de persistencia. Busca el hash del adjunto y los dominios contactados en el resto de equipos.
- Si se confirma la infección, reconstruye el equipo después de recoger las evidencias. Limpiarlo a mano deja dudas.
¿Y si aprobó una notificación de MFA o dio un código?
Si alguien aprueba un aviso que no pidió o dicta un código por teléfono, lo más probable es que el atacante ya tuviera la contraseña y ahora tenga una sesión válida. Actúa sin esperar: bloquea temporalmente el inicio de sesión si puedes, cambia la contraseña, revoca todas las sesiones y revisa los métodos de MFA, porque el atacante pudo registrar uno propio. A medio plazo, Microsoft recomienda MFA resistente al phishing (FIDO2 o autenticación basada en certificados) y políticas de acceso condicional que exijan dispositivos conformes o IP de confianza.
¿Cómo saber si otros empleados han recibido el mismo correo?
Muchas campañas de phishing llegan a varias personas a la vez. Extrae del correo original el remitente, el asunto, las URL y el hash del adjunto, y búscalos en tu plataforma de correo (el seguimiento de mensajes en Microsoft 365 o la búsqueda de registros de correo en Google Workspace). Retira el mensaje de todos los buzones, revisa en el proxy o el DNS quién visitó el dominio y bloquea los indicadores. Para avisar a la plantilla, envía una captura del correo, nunca el original.
¿Qué no hacer después de un phishing?
- Sancionar o señalar al empleado que lo reportó.
- Cambiar solo la contraseña y dar el caso por cerrado sin revocar sesiones.
- Reenviar el correo malicioso a toda la empresa a modo de aviso.
- Abrir el enlace o el adjunto desde un equipo corporativo para ver qué era.
- Borrar el correo antes de extraer cabeceras, URL y adjunto: son los indicadores para encontrarlo en otros buzones.
Cómo te ayuda Ciberia con el phishing
Un clic en el correo, un inicio de sesión raro una hora después y una regla de reenvío nueva pueden ser el mismo incidente, aunque cada señal salte en una herramienta distinta. Ciberia MDR vigila a cualquier hora la telemetría de correo, identidad y endpoint que ya tienes, y sus agentes de IA investigan en segundos cada alerta con su contexto antes de decidir. La IA automatiza alrededor del 90 % del triaje, un analista valida las decisiones con impacto y la respuesta se orquesta sobre tus propias herramientas. El SLA es de 15 minutos desde la alerta crítica hasta la contención inicial.
Ciberia Intel aporta contexto sobre campañas e IOCs, y Ciberia CTM vigila si aparecen credenciales filtradas de tu plantilla y envía alertas con la acción recomendada.
