Phishing al administrador de fincas: los correos falsos más habituales

Es lunes, las nueve y diez. Entre quince correos pendientes hay uno de «Ascensores y Mantenimiento» con el asunto «Factura vencida: último aviso». Trae un adjunto y un tono que no admite espera. Su administrativa lo abre porque el cierre de mes está encima y porque, en el fondo, podría ser verdad.

Eso es phishing: un mensaje (correo, SMS, llamada o mensaje de WhatsApp) que se hace pasar por alguien de confianza para que usted abra un adjunto, pulse un enlace o teclee una contraseña. Un despacho de administración lo recibe con frecuencia, y no por ser pequeño: maneja facturas, cuentas bancarias y datos de cientos de vecinos.

Por qué el despacho es un blanco apetecible

Al delincuente no le interesa su despacho en sí. Le interesa lo que hay dentro:

• Acceso al correo, desde el que puede enviar facturas falsas a otros con su nombre.
• Listados de propietarios con nombre, dirección, teléfono y, a veces, IBAN.
• Capacidad de ordenar pagos de las cuentas de las comunidades.
• Muchos contactos conocidos (presidentes, proveedores, bancos) que se fiarán de un mensaje que parezca suyo.

Los disfraces más habituales

No existen cifras fiables que ordenen cuáles son «los que más circulan», pero estos son los que un administrador de fincas ve con frecuencia:

• La factura o el albarán del proveedor. Ascensores, limpieza, seguros, mantenimiento de calderas. Adjunto o enlace «para ver el detalle».
• El aviso de un organismo público. Una supuesta notificación de la Agencia Tributaria, la Seguridad Social, Tráfico o el Catastro, con un enlace «para acceder a la notificación».
• La contraseña que caduca. «Su buzón está lleno» o «su contraseña de Microsoft 365 caduca hoy». La página a la que lleva es una copia de la real.
• El documento compartido. Un aviso de «han compartido un archivo con usted» que imita a OneDrive, Google Drive o a un servicio de envío de archivos.
• El mensaje de alguien conocido. Un presidente o un proveedor cuyo correo ha sido comprometido y que le escribe con su estilo real. Es el más difícil de detectar.
• El SMS del paquete o del banco. Con enlace acortado, o con un código QR en un correo («quishing») que se escanea con el móvil, donde el filtro del correo ya no llega.

Señales que delatan el engaño

Ninguna señal es concluyente por sí sola. Varias juntas deberían hacerle parar:

• La dirección real del remitente no coincide con el nombre que se muestra. Fíjese en el dominio, la parte posterior a la arroba.
• Urgencia artificial: «hoy», «último aviso», «se bloqueará su cuenta».
• Un enlace cuyo destino real, al pasar el ratón por encima sin pulsar, no es el de la empresa que dice escribir.
• Un adjunto inesperado, sobre todo comprimido o que pide «habilitar contenido».
• Una petición de contraseña, código o datos bancarios por una vía que la empresa legítima nunca usaría.
• Saludo genérico («Estimado cliente») en un proveedor que le conoce por su nombre.

Ante la duda, no conteste al propio mensaje: llame al remitente por un teléfono que usted ya tuviera.

Si alguien ya ha hecho clic

Lo importante es la rapidez y no ocultarlo. Quien teme una bronca tarda más en avisar, y cada hora cuenta.

1. Avise de inmediato a la persona que se encargue de la informática del despacho.
2. Si se escribió una contraseña, cámbiela desde otro dispositivo y cierre las sesiones abiertas.
3. Si se abrió un adjunto, desconecte el equipo de la red (cable o wifi) y no lo apague hasta que alguien lo revise.
4. Revise las reglas del buzón: los atacantes suelen crear una regla que reenvía copia de todo a una cuenta suya.
5. Anote qué ocurrió y a qué hora. Lo necesitará si hay que valorar una brecha.

El ángulo de protección de datos

El RGPD exige aplicar medidas técnicas y organizativas adecuadas al riesgo (art. 32). En la práctica, eso incluye formar al personal para reconocer estos correos, filtrar el correo y proteger las cuentas. Puede consultar el texto del Reglamento (se abre en una ventana nueva) para ver el artículo completo.

Si un phishing da al atacante acceso a un buzón con datos de vecinos, hay una posible violación de la seguridad de los datos personales. No toda lo es en el sentido de tener que avisar a la AEPD, pero sí obliga a valorarla y a dejarla documentada. Le explicamos el procedimiento en las 72 horas que deciden si hay que avisar.

Una medida que corta muchos de estos ataques es activar el doble factor de autenticación: aunque el atacante consiga la contraseña, le falta el segundo paso. Y si el correo falso pedía además cambiar un número de cuenta, lea el fraude del cambio de cuenta del proveedor.

Qué puede hacer el despacho antes del próximo correo

La mejor defensa no es una herramienta, sino una rutina sencilla que todo el equipo conozca:

• Una regla de oro: ningún pago, cambio de cuenta ni entrega de contraseñas se hace por una petición recibida por correo, sin comprobarla por teléfono.
• Una formación breve y periódica, con ejemplos reales de los correos que llegan al propio despacho. Quince minutos cada cierto tiempo funcionan mejor que una charla anual.
• Un canal claro para avisar: una dirección o una persona a la que reenviar lo sospechoso, y que nunca responda con un reproche.
• Los equipos y programas actualizados, porque muchos adjuntos maliciosos se aprovechan de fallos ya corregidos.

En resumen

• El phishing suplanta a alguien de confianza para obtener un clic, un adjunto abierto o una contraseña.
• Los disfraces habituales son facturas, avisos de organismos, contraseñas que caducan y documentos compartidos.
• Desconfíe de la urgencia y compruebe el remitente real antes de actuar.
• Si alguien cae, que avise en minutos y sin miedo: esa rapidez limita el daño.
• Un incidente con datos de vecinos puede ser una brecha y hay que valorarla y documentarla.

Si quiere saber cómo está protegido hoy el correo de su despacho y qué documentación tiene al respecto, el siguiente paso es revisarlo con calma, comunidad por comunidad.