Un correo con una factura falsa, una contraseña reutilizada o un acceso que nadie revisa puede detener la actividad de una empresa en cuestión de minutos. Esta guía de seguridad del correo empresarial está pensada para autónomos y pymes que necesitan reducir ese riesgo sin convertir su día a día en un proceso técnico difícil de gestionar.
El correo sigue siendo una de las puertas de entrada preferidas para fraudes, robos de credenciales y suplantaciones. También es el canal por el que circulan presupuestos, datos de clientes, contratos, nóminas y comunicaciones internas. Protegerlo no consiste solo en instalar una herramienta: requiere combinar tecnología, normas claras y una respuesta rápida cuando algo no encaja.
Por qué el correo empresarial es un objetivo frecuente
Los atacantes no siempre buscan entrar en grandes corporaciones. Una pequeña empresa puede ser un objetivo rentable si maneja pagos, datos personales o accesos a servicios de terceros. A veces basta con comprometer una cuenta para enviar mensajes fraudulentos a proveedores, pedir un cambio de número de cuenta o acceder a archivos compartidos.
La suplantación de identidad es especialmente delicada. Un mensaje puede aparentar venir de gerencia, de una asesoría o de un proveedor habitual. El tono suele transmitir urgencia: hay que pagar una factura, actualizar una contraseña o descargar un documento antes de que caduque. Esa presión busca evitar que la persona compruebe los detalles.
También hay incidentes menos visibles. Una cuenta que sigue activa después de la salida de un trabajador, un buzón compartido sin responsables definidos o el reenvío automático a una dirección personal pueden exponer información durante meses sin que nadie lo advierta.
Guía de seguridad del correo empresarial: las medidas que más protegen
No todas las empresas necesitan la misma configuración. Una asesoría que recibe documentación de decenas de clientes, por ejemplo, tiene necesidades distintas a un comercio con pocos usuarios. Aun así, hay controles básicos que conviene implantar en casi cualquier organización.
Contraseñas únicas y autenticación en dos pasos
Cada cuenta debe tener una contraseña larga, única y no reutilizada en servicios personales. Si una clave filtrada en otra plataforma coincide con la del correo corporativo, el atacante puede probarla de forma automática y acceder sin necesidad de técnicas complejas.
La autenticación en dos pasos añade una segunda comprobación al iniciar sesión. Aunque alguien consiga la contraseña, necesitará aprobar el acceso desde una aplicación, un dispositivo autorizado o un método adicional definido por la empresa. Es una de las medidas con mejor relación entre esfuerzo y protección.
Conviene usar un gestor de contraseñas cuando hay varias cuentas y servicios. Apuntar claves en libretas, hojas de cálculo o mensajes de correo crea un problema mayor del que resuelve.
Cuentas individuales y permisos bien definidos
Cada persona debe trabajar, siempre que sea posible, con su propia cuenta. Las cuentas genéricas como administracion@ o ventas@ pueden ser útiles como buzones compartidos, pero no deberían servir para iniciar sesión sin control. Lo adecuado es asignar permisos a usuarios concretos, saber quién puede leer o enviar mensajes y revisar esos accesos de forma periódica.
Cuando un trabajador cambia de puesto o deja la empresa, hay que retirar sus permisos de inmediato. No basta con cambiar la contraseña de un buzón común. También deben revisarse los dispositivos vinculados, las sesiones abiertas, los reenvíos configurados y el acceso a archivos o calendarios compartidos.
Filtros antispam y protección frente a archivos maliciosos
Un buen sistema de correo debe filtrar spam, enlaces sospechosos y adjuntos peligrosos antes de que lleguen a la bandeja de entrada. Sin embargo, ningún filtro detecta el cien por cien de las amenazas. Los mensajes bien redactados y dirigidos a una persona concreta pueden superar esa primera barrera.
Por eso es recomendable complementar el filtrado con protección antivirus en los equipos y con actualizaciones al día. El correo es la vía de entrada, pero el daño suele producirse al abrir un archivo, ejecutar un programa o introducir credenciales en una web falsa.
Configuración del dominio para evitar suplantaciones
Si la empresa utiliza un dominio propio, es necesario configurar mecanismos de autenticación del correo. Estos controles ayudan a que los servidores receptores comprueben si un mensaje enviado en nombre de la empresa está autorizado realmente por ella.
Su utilidad es doble: reduce la posibilidad de que terceros suplanten vuestra dirección y mejora la confianza en los correos legítimos. La configuración debe hacerse correctamente y revisarse cuando se cambia de proveedor de correo, se incorporan herramientas de mailing o se modifican los servicios vinculados al dominio.
Cómo detectar un correo sospechoso antes de que cause un problema
La formación práctica no debe consistir en enviar una presentación una vez al año. Es más útil acordar qué señales deben hacer detenerse a cualquier persona antes de abrir un enlace, descargar un adjunto o realizar un pago.
Hay cuatro señales especialmente relevantes: una dirección de remitente parecida, pero no idéntica, a la original; una petición urgente o fuera del procedimiento habitual; un enlace cuyo destino no corresponde con la empresa que dice enviarlo; y un adjunto inesperado, sobre todo si pide habilitar contenido o introducir credenciales.
Los errores de redacción pueden ser una pista, pero no son una prueba definitiva. Los fraudes actuales pueden estar bien escritos y usar logotipos reales. La comprobación más segura es validar la solicitud por un canal diferente. Si un proveedor pide cambiar el IBAN, conviene llamar al contacto conocido, no responder al mismo mensaje.
En pagos, nóminas y cambios de datos bancarios es recomendable establecer una doble validación. Puede retrasar algunos minutos una operación, pero evita pérdidas que pueden ser difíciles de recuperar. El nivel de control dependerá del volumen y de la operativa de cada negocio, aunque la ausencia total de revisión rara vez es una buena idea.
Copias de seguridad y continuidad de la actividad
Proteger el correo no significa asumir que nunca habrá un incidente. También significa poder continuar trabajando si una cuenta se bloquea, se borra información o un dispositivo queda afectado por malware.
Las copias de seguridad deben planificarse para los datos realmente críticos: documentos, correos que formen parte de expedientes, contactos, configuraciones y aplicaciones de negocio. Hay que comprobar que se restauran correctamente. Una copia que existe pero no puede recuperarse cuando se necesita no es una copia útil.
Es aconsejable definir quién toma decisiones si llega un aviso de acceso extraño o si se detecta un mensaje enviado desde una cuenta comprometida. Debe quedar claro quién contacta con el proveedor, quién cambia las credenciales, cómo se informa al equipo y cuándo se avisa a clientes o proveedores afectados. Tener ese pequeño plan evita improvisar bajo presión.
Qué hacer si alguien ha pulsado un enlace o entregado su contraseña
Lo primero es actuar rápido y sin culpar a la persona. Retrasar el aviso por miedo o vergüenza da más tiempo al atacante. Si se han introducido credenciales en una página sospechosa, hay que cambiar la contraseña desde un equipo fiable, cerrar las sesiones abiertas y revisar si existen reglas de reenvío, mensajes enviados o cambios en los datos de recuperación.
Después conviene comprobar los dispositivos con una solución de seguridad actualizada y revisar otros servicios donde se haya usado la misma clave. Si ha habido operaciones económicas, comunicaciones fraudulentas a clientes o posible exposición de datos personales, será necesario valorar medidas adicionales según el alcance del incidente.
No es recomendable limitarse a borrar el correo. El mensaje puede aportar información útil para entender qué ha ocurrido y proteger al resto del equipo. Guardar una copia y analizar el incidente permite ajustar filtros, permisos y procedimientos.
Una seguridad útil debe adaptarse al negocio
La seguridad excesivamente compleja acaba buscando atajos. Si los usuarios tienen demasiadas contraseñas, permisos confusos o procesos lentos para compartir información, es probable que aparezcan prácticas de riesgo. El objetivo no es dificultar el trabajo, sino protegerlo sin frenar la operativa.
En Info-con trabajamos este tipo de necesidades desde una perspectiva práctica: revisar la configuración actual, identificar puntos débiles y proponer medidas que encajen con el tamaño y la actividad de cada empresa. Para una pyme, muchas veces el mayor avance no es incorporar más herramientas, sino ordenar las que ya utiliza y asignar responsabilidades claras.
Empiece por una revisión sencilla esta semana: compruebe qué cuentas tienen acceso al correo, active la autenticación en dos pasos donde falte y comunique al equipo cómo validar una petición de pago. Son decisiones pequeñas que pueden evitar una incidencia muy costosa.