¿Algo te huele raro?

Míralo en este orden

• La dirección, no el nombre. El nombre que aparece lo escribe quien envía. Ábrelo y lee la dirección real.
• El dominio, letra por letra. Una letra cambiada, un guion de más, un punto donde no iba.
• La prisa. «Hoy vence», «antes de las 5». La urgencia existe para que no verifiques.
• El enlace. Pasa el cursor por encima y lee a dónde va de verdad. En el celular, mantén pulsado.
• Lo que te pide. Si pide usuario y contraseña, ya está: ninguna entidad legítima lo hace por correo.

Ahora míralo en un correo

Qué haces

• No uses su enlace. Abre el navegador y escribe tú la dirección que ya conoces.
• Repórtalo aunque creas que es legítimo. Equivocarse al reportar no cuesta nada.

Lo que casi nadie sabe

• Nadie tiene que hackear nada. Cualquiera con su propio Microsoft 365 puede escribirte por Teams, y el nombre que aparece lo escribe esa persona.
• Busca la etiqueta «Externo». Es pequeña y gris, y es la única pista que da la herramienta.

La secuencia que usan

• Primero algo cordial, solo para que respondas.
• Después, confidencialidad: «no lo comentes todavía». El secreto existe para bloquear que verifiques.
• Luego te sacan a WhatsApp, donde no quedan rastros corporativos.
• Y solo entonces piden el archivo, el usuario o el pago.

Ahora míralo pasar

Qué haces

• Verifica por otro canal. Nunca por donde llegó. Llama al número que ya tenías o camina hasta el puesto.
• Si te pide no contarlo, esa es justamente la razón para contarlo.

Lo que cambió

• Clonar una voz cuesta unos pocos dólares al mes y necesita segundos de audio.
• Si la persona habla en público —radio, televisión, un video corporativo— el material ya está disponible.
• Reconocer la voz dejó de ser una verificación. Es solo una impresión.

Qué haces

• Cuelga y devuelve la llamada al número que ya tenías guardado. Nunca al que te acaban de dar.
• Pacten una palabra clave de equipo, acordada en persona y nunca escrita en un chat.
• Ninguna petición de dinero, claves o datos personales es válida solo por voz.

Pégalo sin problema

• Texto que ya es público, ideas generales, ayuda con una redacción que no lleva datos.

Piénsalo dos veces

• Documentos internos sin datos personales. Si lo haces: cuenta corporativa, nunca la personal, y el historial desactivado.

No lo pegues nunca

• Datos personales, cédulas, contratos, nómina, claves.
• Material no emitido, cifras no publicadas, información de clientes o de talento.

Por qué importa

• Lo que pegas sale del control de la empresa y queda en un tercero que también puede ser vulnerado.
• Y convierte un ataque genérico en uno dirigido: con nombres, cargos y montos reales.
• Borrar el chat no deshace lo que ya salió.

Lo que hay que entender

• La IA no tiene forma de decir «no sé». Está construida para producir la continuación más plausible, no para saber.
• Por eso una mentira le sale con la misma fluidez y la misma seguridad que una verdad.
• El error ya no viene con faltas de ortografía. Viene bien escrito y con fuentes.

Qué haces

• Pídele las fuentes y ábrelas una por una. Las inventa con un formato impecable.
• No le preguntes a la IA si la IA tiene razón. Verifica fuera.
• Cifras, nombres propios, fechas y citas textuales: siempre contra la fuente original.

En este orden, ya

• Reporta primero. Antes de intentar arreglarlo tú. Lo que decide el daño no es el clic: es cuánto tiempo pasa entre el clic y el aviso.
• Cambia la contraseña desde otro dispositivo, y cámbiala en todos los sitios donde usabas la misma.
• Cierra las sesiones abiertas. Pídelo a tecnología: con tu contraseña se llevaron también la sesión, y esa salta el doble factor.
• No borres nada. El correo, el mensaje y la hora exacta son lo que permite entender el alcance.
• Avisa a quien pueda recibir lo mismo. Casi nunca llega a una sola persona.

Y esto

• Reportar no es confesar. Caer en un engaño bien hecho no es un descuido, es lo que estaba diseñado para pasar. Lo único que sí es un problema es el silencio.