Cómo analizar un correo sospechoso sin poner en riesgo el equipo
Un correo fraudulento intenta provocar una acción rápida: abrir un archivo, introducir credenciales, pagar una factura o confirmar información. El análisis debe empezar por el contexto y realizarse sin interactuar con el contenido peligroso.
No pulses ni respondas
No abras enlaces ni adjuntos en el equipo de trabajo. Tampoco respondas para comprobar si el remitente existe. Algunas campañas registran aperturas o respuestas y utilizan esa señal para insistir.
Revisa el contexto
Pregunta si esperabas el mensaje, si el proceso descrito es habitual y si la urgencia tiene sentido. Un correo puede estar perfectamente escrito y seguir siendo fraudulento si solicita un cambio de cuenta bancaria fuera del procedimiento normal.
Comprueba el remitente real
El nombre visible puede falsificarse. Revisa la dirección completa, el dominio y pequeñas sustituciones de caracteres. Aun así, una cuenta legítima puede haber sido comprometida, por lo que la dirección correcta no garantiza autenticidad.
Examina los enlaces sin abrirlos
Visualiza el destino real y compara el dominio. Los acortadores y redirecciones dificultan la revisión. No confíes en que la página use HTTPS: un sitio malicioso también puede tener certificado válido.
Cabeceras completas
Las cabeceras muestran servidores de paso, resultados de SPF, DKIM y DMARC, identificadores y fechas. Interpreta la cadena Received desde abajo hacia arriba y busca inconsistencias entre el dominio visible, el dominio firmado y la infraestructura de envío.
Adjuntos
Los formatos más peligrosos no son únicamente ejecutables. Documentos con macros, archivos comprimidos, imágenes de disco y accesos directos pueden iniciar cadenas de ataque. Analiza hashes o archivos en un entorno aislado y autorizado; evita subir información confidencial a servicios públicos.
Verificación por otro canal
Ante pagos, contraseñas o cambios de cuenta, contacta con la persona mediante un número conocido o un canal iniciado por ti. No utilices los teléfonos o enlaces proporcionados en el mensaje sospechoso.
Preserva evidencia
Guarda el mensaje original con cabeceras, no solo una captura. Registra quién lo recibió, cuándo y qué acciones se realizaron. Si alguien introdujo credenciales, cambia la contraseña desde un equipo confiable, revoca sesiones y revisa MFA.
Señales frecuentes
- Urgencia o amenaza.
- Cambio inesperado de procedimiento.
- Dominio parecido al real.
- Archivo no solicitado.
- Página de inicio de sesión enlazada desde el correo.
- Petición de saltarse una verificación habitual.
Conclusión
El análisis de phishing combina técnica y proceso. Las cabeceras ayudan, pero la defensa más sólida es confirmar las operaciones sensibles por un canal independiente y disponer de un procedimiento claro para reportar mensajes.
Este contenido es informativo y está orientado a administración defensiva, auditorías autorizadas y mejora de la seguridad. Adapta cualquier cambio a tu entorno y conserva una copia de seguridad antes de aplicarlo.