Mejores prácticas de seguridad de correo

Un correo falso con apariencia de factura puede detener pagos, exponer datos bancarios o dar acceso a toda la red de una empresa. Por eso, las mejores prácticas de seguridad de correo no se limitan a elegir una contraseña difícil: combinan configuración técnica, hábitos claros y capacidad de respuesta cuando algo sale mal.

Para una pyme, el correo es mucho más que comunicación. Ahí llegan cotizaciones, comprobantes, contratos, solicitudes de clientes, credenciales de servicios y avisos de bancos. Si una cuenta es comprometida, el atacante puede hacerse pasar por un gerente, redirigir un pago o usar la libreta de contactos para engañar a más personas. Protegerlo debe ser parte de la continuidad operativa, igual que tener internet estable y respaldos funcionales.

Mejores prácticas de seguridad de correo que sí reducen riesgos

Usa contraseñas únicas y autenticación multifactor

Una contraseña reutilizada es una puerta abierta. Si un empleado usa la misma clave para el correo corporativo, una tienda en línea y una red social, una filtración externa puede terminar afectando a la empresa aunque su servicio de correo nunca haya sido atacado directamente.

Cada cuenta debe tener una contraseña única, larga y difícil de adivinar. Un administrador de contraseñas ayuda a evitar que el equipo tenga que memorizar decenas de claves o guardarlas en notas, hojas de cálculo y chats. La clave debe ser propiedad de la empresa, no de la persona que la creó.

Activa también la autenticación multifactor, conocida como MFA o verificación en dos pasos. Además de la contraseña, solicita una confirmación desde una aplicación autenticadora, una llave de seguridad o un método aprobado por la organización. Los mensajes SMS son preferibles a no usar MFA, pero pueden ser más vulnerables a fraudes de duplicación de SIM. Para cuentas de administración, finanzas y dirección, una aplicación autenticadora o una llave física ofrece mejor protección.

La MFA agrega unos segundos al acceso, pero evita muchos incidentes donde una contraseña filtrada sería suficiente para entrar. Ese pequeño ajuste suele ser mucho menos costoso que recuperar una cuenta comprometida.

Protege el dominio contra suplantaciones

Recibir correos falsos es un problema. Que alguien envíe mensajes fraudulentos usando el dominio de tu empresa es peor: daña la confianza de clientes y proveedores, y puede convertirse en un fraude de pagos.

Aquí entran tres configuraciones técnicas del dominio: SPF, DKIM y DMARC. SPF define qué servidores pueden enviar correo en nombre de tu dominio. DKIM agrega una firma digital que permite verificar que el mensaje no fue alterado. DMARC indica qué hacer cuando una validación falla y permite recibir reportes sobre intentos de suplantación.

No conviene configurar estas políticas a ciegas. Una regla demasiado estricta, aplicada antes de identificar todas las plataformas autorizadas, puede bloquear mensajes legítimos de facturación, marketing, puntos de venta o sistemas de tickets. Lo correcto es revisar qué servicios envían correo con tu dominio, validar la configuración y endurecer la política gradualmente.

También revisa quién controla el registro del dominio y sus accesos. Si el dominio vence, es transferido sin autorización o queda ligado al correo personal de un excolaborador, el negocio puede perder mucho más que su dirección de email. Mantén datos de recuperación empresariales, renovación automática y accesos documentados.

Capacita al personal para detectar fraudes reales

Los filtros ayudan, pero no identifican todos los correos peligrosos. Los delincuentes ya no dependen solamente de faltas de ortografía o mensajes mal escritos. Pueden copiar firmas, logotipos, datos públicos del negocio y el tono de un proveedor conocido.

La señal más útil suele ser el contexto. Un correo que exige pagar una cuenta nueva, comprar tarjetas de regalo, abrir un archivo protegido o compartir códigos de acceso debe generar una pausa, incluso si parece venir de un gerente. Los ataques de compromiso de correo empresarial suelen aprovechar la urgencia y la jerarquía: “haz la transferencia ahora”, “no llames, estoy en una reunión” o “envíame el código que te llegó”.

Establece una regla operativa sencilla: cualquier cambio de cuenta bancaria, pago inusual, solicitud de credenciales o movimiento urgente debe confirmarse por un segundo canal conocido. Puede ser una llamada al número que ya está registrado con el proveedor, no al número incluido en el correo sospechoso.

Las capacitaciones cortas y periódicas funcionan mejor que una presentación extensa una vez al año. Muéstrale al equipo ejemplos de mensajes que realmente podrían llegar a su puesto: facturas, pedidos, archivos compartidos, avisos de paquetería o solicitudes de acceso. La meta no es culpar a quien comete un error, sino lograr que reporte rápido.

Reduce privilegios y controla las cuentas administrativas

No todos necesitan acceso administrativo al correo, al dominio o a las reglas de seguridad. Una cuenta de uso diario no debería tener permisos para cambiar políticas de toda la organización. Separar las cuentas normales de las cuentas administrativas reduce el alcance de un robo de credenciales.

Revisa con frecuencia los reenvíos automáticos y las reglas de bandeja de entrada. Cuando un atacante toma control de una cuenta, suele crear reglas para ocultar alertas, borrar respuestas o enviar copias de mensajes a una dirección externa. Es una forma silenciosa de vigilar conversaciones y mantener el acceso por semanas.

Aplica el principio de mínimo privilegio. Finanzas puede requerir acceso a ciertos buzones compartidos; recepción, a los mensajes generales; soporte, a cuentas técnicas. Dar acceso total a todos por comodidad crea un riesgo difícil de rastrear después.

Cuando alguien cambia de puesto o deja la empresa, desactiva su cuenta, revoca sesiones activas, elimina dispositivos vinculados y transfiere la información necesaria. No basta con cambiar la contraseña. También hay que revisar buzones compartidos, grupos, licencias, aplicaciones conectadas y métodos de recuperación.

Seguridad del correo en dispositivos y redes de trabajo

Un correo protegido puede quedar expuesto si se consulta desde una computadora sin actualizaciones, un teléfono perdido o una red WiFi abierta. Instala actualizaciones del sistema operativo, navegador y aplicaciones de correo. Mantén protección antimalware administrada en los equipos y cifra los dispositivos que almacenan información corporativa.

En celulares personales, el nivel de control depende del tipo de negocio y de los datos que se manejan. Una empresa pequeña puede comenzar exigiendo bloqueo de pantalla, actualización automática y MFA. Si hay información sensible, acceso a cuentas financieras o varios empleados remotos, conviene implementar administración de dispositivos para separar datos personales y corporativos, aplicar políticas y borrar información empresarial en caso de extravío.

La red también importa. El personal no debe introducir credenciales en portales que aparecen al conectarse a WiFi público ni ignorar alertas de certificados. Para accesos remotos frecuentes, una VPN bien configurada y políticas de acceso por dispositivo pueden reducir exposición. Aun así, una VPN no corrige una contraseña robada ni un equipo infectado: debe formar parte de un conjunto de controles.

Respalda lo que no puedes perder

Tener correo en la nube no significa que todos los mensajes estén protegidos ante cualquier escenario. Un usuario puede borrar un correo, un atacante puede eliminar archivos o una política de retención puede expirar. Las opciones de recuperación del proveedor tienen límites de tiempo y alcance.

Define cuánto tiempo necesita conservar tu empresa los correos, contactos, calendarios y archivos adjuntos. Finanzas, recursos humanos y operaciones pueden tener obligaciones distintas. Un respaldo independiente permite restaurar información específica sin depender de que el mensaje siga disponible en la papelera o de que exista una copia local.

El respaldo debe revisarse. Guardar copias sin probar restauraciones crea una falsa sensación de seguridad. De vez en cuando, recupera un mensaje, una carpeta o un buzón de prueba y confirma que la información abre correctamente y que el procedimiento está documentado.

Qué hacer si sospechas que una cuenta fue comprometida

La rapidez hace una diferencia considerable. Si un usuario reporta actividad extraña, no esperes a tener todas las respuestas para actuar. Aísla el riesgo y conserva evidencia para entender qué ocurrió.

Sigue un proceso ordenado:

• Cambia la contraseña desde un equipo confiable y revoca las sesiones activas.
• Revisa métodos de recuperación, dispositivos conectados, reenvíos, reglas de bandeja y aplicaciones autorizadas.
• Confirma si hubo correos enviados, pagos solicitados, archivos descargados o contactos afectados.
• Informa a clientes o proveedores si pudieron recibir mensajes fraudulentos desde la cuenta.
• Documenta el incidente y corrige la causa: falta de MFA, permisos excesivos, equipo infectado o capacitación insuficiente.

No borres de inmediato todos los mensajes sospechosos si necesitas investigar el caso. Conserva encabezados, horarios y capturas cuando sea posible. Esta información ayuda a identificar el origen, advertir a otros usuarios y ajustar filtros o políticas.

En Computo Inteligente ayudamos a empresas a revisar configuraciones de correo, dominios, respaldos y equipos para que una alerta no se convierta en una interrupción mayor. Si tu operación depende de correos para vender, cobrar o atender clientes, define hoy quién tiene acceso, cómo se valida un pago y a quién se llama ante una sospecha. Ese acuerdo sencillo puede proteger una jornada completa de trabajo.