--- id: "phishing-020" title: "Phishing interno: Qué hacer si el email procede del buzón de un compañero" description: "¿Un correo sospechoso viene de la cuenta legítima de un empleado? Descubre cómo actuar ante un ciberataque de phishing interno y cuentas comprometidas." canonical: https://startbrain.io/es/cyberseguridad/phishing-interno-cuenta-correo-comprometida-empleado/ slug: "phishing-interno-cuenta-correo-comprometida-empleado" date: "2026-09-24" category: "phishing" product: "superphisher" lang: es author: "Brain Security · I+D Ciber y Factor Humano" frameworks: "INCIBE · CCN-CERT · ENS · NIS 2 · DORA · RGPD" --- # Phishing interno: Qué hacer si el email procede del buzón de un compañero Este escenario provoca sudores fríos a cualquier CISO o responsable de seguridad. A primera hora de la mañana, decenas de empleados reciben un correo con un enlace de inicio de sesión o un adjunto urgente. La dirección del remitente no contiene erratas, el dominio coincide punto por punto con el corporativo y los registros SPF, DKIM y DMARC superan todas las validaciones técnicas. La razón es crítica: el ataque no procede del exterior, sino del buzón legítimo de un compañero cuyas credenciales han sido comprometidas. Cuando un atacante accede a un entorno de Microsoft 365 o Google Workspace, no siempre busca exfiltrar datos de inmediato. Su primer movimiento suele ser el desplazamiento lateral, aprovechando el capital de confianza que los empleados otorgan a las comunicaciones internas. Frente a este vector, las defensas perimetrales convencionales resultan insuficientes. La detección recae por completo en el factor humano y en la ejecución inmediata de protocolos rigurosos. --- ## ¿Cómo actuar ante un correo sospechoso enviado desde la cuenta legítima de un empleado? > **En resumen: Nunca respondas directamente al mensaje para verificar su autenticidad. Contacta de inmediato con el remitente a través de un canal independiente (llamada telefónica o mensajería interna) y reenvía el correo sospechoso al equipo de seguridad informática (CISO o SOC) para aislar la cuenta comprometida.** El primer impulso de un usuario suele ser pulsar en "Responder" y preguntar: "¿Me has enviado tú este archivo?". Se trata de un error grave. Si el buzón del compañero está bajo el control del ciberdelincuente, este tiene acceso a la bandeja de entrada y confirmará la falsedad en pocos segundos para disipar cualquier duda. En muchos casos, habrá configurado previamente reglas de desvío para ocultar estas respuestas a la víctima real. Para frenar la cadena de ataque, la respuesta debe ser inmediata y por partida doble: - **Verificación fuera de banda (Out-of-Band):** Contacta con la persona a través de un canal externo e independiente. Llama a su teléfono corporativo o acércate a su puesto físico si compartís oficina. - **Notificación sin demora al equipo de ciberseguridad:** Utiliza el botón de reporte de phishing del gestor de correo o reenvía el mensaje como archivo adjunto (formato .eml o .msg) a la dirección del SOC o equipo de seguridad, preservando intactas las cabeceras técnicas. --- ## ¿Qué indicios delatan un ciberataque interno a pesar de provenir de una dirección legítima? > **En resumen: La detección se basa en el análisis contextual del mensaje: un cambio brusco en el tono habitual, llamadas de urgencia desmedidas, enlaces hacia repositorios compartidos no previstos o respuestas descontextualizadas dentro de hilos de correo existentes.** La suplantación interna explota la confianza entre compañeros, pero los atacantes suelen dejar señales operativas evidentes. Quien secuestra una sesión rara vez domina el contexto histórico de los proyectos, la cultura corporativa o el estilo de redacción del empleado vulnerado. Varios indicadores clave deben activar las alertas: - **Ruptura del tono y registro habitual:** Un compañero cercano con el que existe un trato informal pasa repentinamente a fórmulas excesivamente rígidas, arcaicas o con giros lingüísticos poco naturales. - **Urgencia injustificada y presión psicológica:** El correo apela a una factura impagada inmediata, a un corte inminente de accesos corporativos o a un acuerdo de confidencialidad que exige firma en menos de una hora. - **Petición anómala de credenciales:** El enlace redirige hacia un portal de acceso falso que solicita introducir usuario y contraseña para ver un supuesto documento alojado en SharePoint, OneDrive o Google Drive. - **Secuestro de hilos de conversación (Thread Hijacking):** El atacante reactiva un intercambio antiguo de correos de hace semanas para intercalar su enlace malicioso, sin coherencia directa con las últimas conversaciones reales. --- ## ¿Por qué el phishing interno facilita la propagación lateral? El phishing de buzón a buzón representa una de las vías de escalada más agresivas dentro de una infraestructura corporativa. En cuanto una cuenta inicial cae (a menudo mediante el robo de cookies de sesión tras un ataque de tipo adversary-in-the-middle), el intruso obtiene acceso directo al directorio activo de la organización. A partir de ahí, identifica puestos clave: departamentos financieros, recursos humanos o administradores de sistemas. En cuestión de minutos, despliega trampas dirigidas a usuarios con altos privilegios. Al originarse dentro del propio perímetro de confianza, los receptores bajan la guardia frente a lo que considerarían una amenaza externa. Para neutralizar este vector, las organizaciones deben ir más allá de la formación teórica tradicional. El entrenamiento práctico ante situaciones reales resulta determinante. Con nuestro simulador [Super Phisher](/es/catalogo/super-phisher/), desplegado a medida junto a nuestro equipo, puedes exponer a tus profesionales a escenarios de ingeniería social creíbles, recreando dinámicas de salto lateral para consolidar reflejos defensivos antes de que ocurra una brecha real. --- ## ¿Qué procedimiento técnico debe ejecutar el equipo de IT y seguridad ante la alerta? En cuanto se confirma una alerta de phishing interno, el tiempo de respuesta resulta crucial para acotar el incidente y frenar el impacto en el resto de los sistemas: - **Revocación inmediata de sesiones:** El equipo de TI debe restablecer la contraseña de la cuenta comprometida e invalidar al instante todos los tokens de autenticación y sesiones activas en cualquier dispositivo. - **Auditoría de reglas de buzón:** Los ciberdelincuentes suelen programar reglas en la bandeja de entrada para camuflar su rastro (reenvíos automáticos o borrado directo de correos que contengan términos como "seguridad", "phishing" o "contraseña"). Estas directivas deben auditarse y eliminarse. - **Eliminación masiva del mensaje malicioso:** Mediante las consolas de administración centralizada (como las herramientas de búsqueda y purga de Microsoft 365 o Google Workspace), el equipo debe suprimir el correo malicioso de todos los buzones internos donde se haya entregado antes de su apertura. - **Análisis de registros de acceso (logs):** La revisión exhaustiva de direcciones IP, ubicaciones geográficas y huellas de navegador permite determinar el momento exacto del compromiso y dimensionar qué información ha podido ser expuesta. Proteger la organización frente a intrusiones internas exige una coordinación estrecha entre herramientas técnicas y cultura de ciberseguridad en los equipos. Para diseñar un plan de entrenamiento adaptado a tus riesgos operativos, [cuéntanos tus necesidades](/es/reservar/) y habla directamente con los especialistas de Brain Security. ### Operational Review Checklist: Phishing interno: Qué hacer si el email procede del buzón de un compañero | Ref. | Operational Control Point | Expected Outcome & Verification | | --- | --- | --- | | **CTRL-01** | Verificación fuera de banda (Out-of-Band) | Contacta con la persona a través de un canal externo e independiente. Llama a su teléfono corporativo o acércate a su puesto físico si compartís… | | **CTRL-02** | Ruptura del tono y registro habitual | Un compañero cercano con el que existe un trato informal pasa repentinamente a fórmulas excesivamente rígidas, arcaicas o con giros lingüísticos poco… | | **CTRL-03** | Revocación inmediata de sesiones | El equipo de TI debe restablecer la contraseña de la cuenta comprometida e invalidar al instante todos los tokens de autenticación y sesiones activas… | | **CTRL-04** | Notificación sin demora al equipo de ciberseguridad | Utiliza el botón de reporte de phishing del gestor de correo o reenvía el mensaje como archivo adjunto (formato .eml o .msg) a la dirección del SOC o… | | **CTRL-05** | Urgencia injustificada y presión psicológica | El correo apela a una factura impagada inmediata, a un corte inminente de accesos corporativos o a un acuerdo de confidencialidad que exige firma en… | --- ## Para profundizar: artículos relacionados y soluciones de Brain Security ### Artículos complementarios sobre este tema - **[Teletrabajo, tren y hotel: Los 6 errores de ciberseguridad en movilidad que exponen a la empresa](/es/cyberseguridad/errores-ciberseguridad-movilidad-teletrabajo-empresas/)** (Phishing e Ingeniería social) : Descubre los hábitos clave de ciberseguridad en movilidad: Wi-Fi público, shoulder surfing y VPN para proteger a tus empleados itinerantes. - **[Infostealers: Por qué guardar contraseñas de empresa en navegadores no gestionados es crítico](/es/cyberseguridad/infostealers-contrasenas-navegador-no-gestionado-riesgo/)** (Phishing e Ingeniería social) : Descubre cómo los infostealers roban credenciales y cookies de sesión en navegadores no gestionados para infiltrarse en tu empresa. - **[Scareware y falsas alertas del navegador: Guía práctica para empleados](/es/cyberseguridad/scareware-alertas-falsas-navegador-clickfix-seguridad/)** (Phishing e Ingeniería social) : Bloquea el scareware y falsos virus web. Conoce las técnicas ClickFix y forma a tus empleados para blindar el navegador frente a trampas online. - **[Despachos de abogados y consultoría: Proteger el secreto profesional frente a ataques dirigidos](/es/cyberseguridad/despachos-abogados-consultoria-ciberseguridad-secreto-profesional/)** (Sectores y Perfiles) : Descubra por qué los despachos de abogados y consultoras son blanco del cibercrimen y cómo proteger a sus equipos frente al spear-phishing avanzado. ### Descubrir las soluciones de Brain Security en el sitio web - **Solución asociada : [Super Phisher](/es/catalogo/super-phisher/)** : El simulador de phishing que entrena a sus equipos frente a ataques reales, del falso correo al código QR trampa, en un marco controlado que nunca captura una contraseña. - **[Consultar los casos de uso por objetivo y sector](/es/casos-de-uso/)** - **[Comparar nuestros formatos de concienciación ciber e IA](/es/comparacion/)** - **[Explorar todo el catálogo interactivo de Brain Security](/es/catalogo/)** - **[Hablar de sus necesidades con nuestro equipo (demo y puesta en marcha)](/es/reservar/)** --- - https://startbrain.io/es/cyberseguridad/phishing-interno-cuenta-correo-comprometida-empleado/ - [Français](https://startbrain.io/fr/cybersecurite/phishing-interne-boite-mail-collegue-piratee/) - [Deutsch](https://startbrain.io/de/cybersecurity/internes-phishing-gekapertes-mitarbeiterkonto-reaktion/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/internal-phishing-compromised-colleague-email-response/) - [English (US)](https://startbrain.io/en-us/cybersecurity/internal-phishing-compromised-colleague-email-response/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/phishing-interno-email-compromessa-collega-cosa-fare/) - [Nederlands](https://startbrain.io/nl/cybersecurity/interne-phishing-gehackt-account-collega-aanpak/) - [Português](https://startbrain.io/pt/ciberseguranca/phishing-interno-email-conta-colega-seguranca/) - [日本語](https://startbrain.io/ja/cybersecurity/internal-phishing-compromised-account-ciso-response/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/wewnetrzny-phishing-przejete-konto-pracownika-reakcja/) - [Svenska](https://startbrain.io/sv/cybersakerhet/internt-natfiske-kapat-konto-atgarder-ciso/) - [Dansk](https://startbrain.io/da/cybersikkerhed/intern-phishing-angreb-kompromitteret-mailkonto/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/sisainen-kalastelu-kollegan-sahkoposti-tilimurto-ciso/) - [Norsk](https://startbrain.io/no/cybersikkerhet/internt-phishing-kompromittert-konto-tiltak/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/internal-phishing-compromised-account-incident-response/) - [llms.txt](https://startbrain.io/llms.txt)