La alerta para las pymes ya no es solo el archivo adjunto sospechoso. Reportes recientes vuelven a señalar ataques que parecen mensajes normales: un director pidiendo una acción urgente, una carpeta compartida, una aplicación que solicita permisos o un enlace de acceso a documentos.

Para empresas en CDMX, Querétaro y Celaya Guanajuato, el correo corporativo es mucho más que una bandeja de entrada. Ahí viven cotizaciones, facturas, órdenes de compra, conversaciones con clientes, archivos compartidos y accesos a sistemas. Por eso el phishing moderno busca credenciales, sesiones, permisos de aplicaciones y confianza operativa.

La edición reciente de ThreatsDay de The Hacker News reunió casos de kits de phishing ejecutivo, cuentas de Dropbox comprometidas y trampas de OAuth. La lectura práctica para una pyme es clara: el atacante intenta verse como parte del trabajo diario. Si el equipo no tiene reglas para validar solicitudes y permisos, un clic puede convertirse en acceso persistente.

Qué cambió en el riesgo

Durante años, muchas empresas entrenaron al personal para desconfiar de adjuntos extraños. Eso sigue siendo útil, pero ya no alcanza. Un enlace a un archivo compartido puede parecer normal. Una pantalla de consentimiento OAuth puede verse legítima. Un mensaje que imita a dirección o administración puede llegar justo cuando el equipo está cerrando ventas, pagos o entregas.

NCSC recomienda reducir la exposición al phishing con capas: filtrar mensajes, dificultar que el usuario llegue al sitio malicioso, proteger cuentas y preparar una respuesta cuando alguien cae. NIST lo conecta con un enfoque de gestión: identificar activos, proteger accesos, detectar eventos, responder y recuperar. En una pyme, eso debe traducirse en hábitos concretos, no en documentos que nadie usa.

Controles prácticos para esta semana

1. Activar MFA en correo corporativo, administrador del dominio, panel de hosting, nube privada y cuentas de facturación.
2. Revisar aplicaciones conectadas por OAuth y eliminar permisos que no tengan dueño claro o uso vigente.
3. Confirmar cambios de cuenta bancaria, pagos urgentes o solicitudes de tarjetas por llamada o canal alterno validado.
4. Separar cuentas administrativas de cuentas de uso diario para correo, archivos y sistemas internos.
5. Configurar SPF, DKIM y DMARC para reducir suplantación del dominio de la empresa.
6. Definir un flujo de reporte rápido: quién recibe alertas, qué evidencia guardar y cuándo cambiar contraseñas.
7. Revisar reglas de reenvío, sesiones abiertas y dispositivos desconocidos después de cualquier sospecha.

La señal que conviene atender

Si el negocio depende de WhatsApp, correo y carpetas compartidas para mover ventas y administración, necesita validar identidad igual que valida pagos. La seguridad no debe frenar la operación; debe evitar que una orden falsa, un permiso excesivo o una cuenta tomada detenga cobranza, soporte o entrega.