El correo electrónico sigue siendo, en 2026, el principal vector de entrada para los ciberataques contra empresas chilenas. Según datos de organismos internacionales, más del 90% de los ciberataques exitosos comienzan con un correo de phishing. Lo alarmante es que proteger tu correo corporativo no requiere grandes presupuestos: requiere configuración correcta y buenas prácticas que cualquier empresa puede implementar.
Un ataque exitoso de phishing puede resultar en robo de credenciales, compromiso de cuentas bancarias, filtración de datos de clientes, secuestro de archivos (ransomware) o suplantación de identidad ante tus propios clientes y proveedores.
Práctica 1: Activa la autenticación de dos factores (MFA) en todas las cuentas
La autenticación multifactor (MFA) es la medida de seguridad con mejor relación costo-beneficio disponible hoy. Si alguien roba la contraseña de un colaborador, el MFA impide que pueda acceder al correo sin el segundo factor de verificación (un código enviado al celular, una app autenticadora, etc.).
¿Cómo activarlo?
- Microsoft 365: En el centro de administración, ve a Usuarios → Usuarios activos → Autenticación multifactor. Puedes forzarlo para todos los usuarios con una política de acceso condicional.
- Google Workspace: En la consola de administración, Seguridad → Autenticación → Verificación en dos pasos. Actívala como obligatoria.
Usa una aplicación autenticadora (Microsoft Authenticator, Google Authenticator, Authy) en lugar de SMS. Los SMS pueden ser interceptados mediante ataques de SIM swapping.
Práctica 2: Configura SPF, DKIM y DMARC en tu dominio
Estos tres registros DNS son el "documento de identidad" de tu correo. Sin ellos, cualquier persona puede enviar correos haciéndose pasar por tu empresa, y tus propios correos pueden llegar a spam o ser rechazados por los servidores de destino.
¿Qué hace cada uno?
- SPF (Sender Policy Framework): Define qué servidores están autorizados para enviar correos en nombre de tu dominio. Evita la suplantación básica.
- DKIM (DomainKeys Identified Mail): Añade una firma digital a cada correo enviado, que el destinatario puede verificar para confirmar que el mensaje no fue alterado en tránsito.
- DMARC (Domain-based Message Authentication): Indica a los servidores receptores qué hacer con los correos que no pasen SPF o DKIM. Puede configurarse en modo de monitoreo, cuarentena o rechazo.
Una configuración DMARC en modo p=reject rechaza completamente los correos que no sean enviados desde tus servidores autorizados, eliminando el riesgo de suplantación de identidad (spoofing) de tu dominio.
Práctica 3: Activa los filtros avanzados antiphishing y antispam
Tanto Microsoft 365 como Google Workspace incluyen filtros avanzados que van mucho más allá del antispam básico. Sin embargo, en muchas organizaciones estos filtros vienen desactivados o con configuración mínima por defecto.
En Microsoft 365 (Defender for Office 365):
- Activa las políticas antiPhishing con protección de suplantación de identidad.
- Habilita Safe Links: escanea los URLs en tiempo real antes de que el usuario haga clic.
- Habilita Safe Attachments: abre los adjuntos en un entorno virtual (sandbox) antes de entregarlos.
- Configura la protección contra spoofing interno (suplantación de ejecutivos).
En Google Workspace:
- Activa el modo de cumplimiento de Gmail con protección avanzada.
- Habilita la detección de suplantación de identidad y autenticación adicional.
- Configura advertencias para correos de remitentes externos similares a dominios internos.
Práctica 4: Capacita a tus colaboradores en reconocimiento de phishing
La tecnología puede filtrar la mayoría de los ataques, pero un colaborador no entrenado puede omitir todas las barreras técnicas con un solo clic. La capacitación en ciberseguridad es indispensable y debería realizarse al menos una vez al año, complementada con simulaciones de phishing.
¿Qué debe incluir la capacitación?
- Cómo identificar correos de phishing: URLs sospechosas, urgencia artificial, remitentes falsificados.
- Qué hacer al recibir un correo sospechoso (reportar, no hacer clic, no responder).
- Riesgos específicos: CEO fraud (suplantación de gerentes), facturas falsas, links maliciosos.
- Protocolos internos: a quién avisar y cómo ante un incidente.
Las pruebas simuladas de phishing (enviar correos falsos a tus propios empleados para ver quién hace clic) son una de las herramientas más efectivas para medir el nivel de riesgo real y motivar la capacitación. Adecua puede ayudarte a implementar este tipo de ejercicios.
Práctica 5: Establece una política de contraseñas seguras y única por servicio
El uso de contraseñas débiles o repetidas entre servicios es una de las principales causas de compromiso de cuentas. Una contraseña filtrada de un servicio menor puede dar acceso al correo corporativo si la misma se usa en ambos.
Política de contraseñas recomendada:
- Mínimo 12 caracteres combinando mayúsculas, minúsculas, números y símbolos.
- Prohibir el uso de contraseñas que contengan el nombre de la empresa, el año o datos personales.
- No reutilizar contraseñas entre diferentes servicios.
- Usar un gestor de contraseñas corporativo (1Password Teams, Bitwarden, Keeper).
- Cambiar contraseñas inmediatamente al detectar cualquier sospecha de compromiso.
Lista de verificación rápida
- MFA activado para todos los usuarios
- Registros SPF, DKIM y DMARC configurados en el DNS del dominio
- Filtros avanzados antiphishing habilitados en M365 o Google Workspace
- Capacitación anual en ciberseguridad para todos los colaboradores
- Política de contraseñas definida y un gestor corporativo implementado
Conclusión
Proteger el correo corporativo de tu empresa no requiere un presupuesto millonario. Con estas cinco prácticas —que son estándar en cualquier organización bien gestionada— reduces drásticamente el riesgo de sufrir un incidente de seguridad iniciado desde el correo electrónico. Lo más importante es actuar antes de que ocurra el problema.
En Adecua podemos ayudarte a implementar todas estas medidas, desde la configuración técnica de SPF/DKIM/DMARC hasta la capacitación de tus equipos en conciencia de seguridad. Contacta con nosotros para una evaluación inicial.
¿Quieres que revisemos la configuración de seguridad de tu correo?
Realizamos una auditoría de seguridad de tu correo corporativo e implementamos las mejoras necesarias.
Solicitar auditoría