Cómo gestionar un correo sospechoso en la empresa sin redistribuirlo

Publica una ruta de informe fácil de encontrar

Indica a quién avisar, qué botón o canal usar y qué hacer si no se puede acceder al correo corporativo. La persona no debería tener que decidir si el mensaje es realmente malicioso antes de reportarlo. Cuanto más complejo sea el canal, más probable es que un empleado pregunte a un compañero o reenvíe el mensaje a toda la oficina.

Pide conservar el mensaje sin interactuar

Anima a no responder, seguir enlaces ni abrir adjuntos mientras se revisa. Conserva remitente visible, asunto, hora, destinatarios y método de informe; el equipo técnico puede necesitar la estructura completa del mensaje mediante el canal seguro aprobado. Una captura aislada ayuda a describir, pero puede no conservar la información técnica que requiere la investigación.

Pregunta por la interacción de forma no punitiva

Aclara si alguien abrió el enlace, descargó un archivo, respondió, introdujo datos o aprobó una solicitud relacionada. Esa diferencia cambia el siguiente paso. Una comunicación culpabilizadora puede ocultar lo que ocurrió; explica que el dato sirve para contener y proteger, no para decidir quién merece reproche.

Abre un caso y relaciona informes similares

Registra quién reporta, cuándo recibió el mensaje, qué hizo y si otros empleados avisaron. Busca coincidencias de asunto o remitente para agrupar posibles envíos de una misma campaña, conservando las personas y cuentas afectadas en el caso principal. No concluyas que el mensaje es benigno solo porque varios empleados lo hayan recibido.

Escala según evidencia e impacto

El equipo que gestiona seguridad revisa enlaces, adjuntos, actividad de cuenta y otros indicios con las herramientas autorizadas. El agente puede resumir o agrupar informes, pero no debería borrar mensajes, bloquear dominios o aislar equipos sin una regla y un responsable establecidos. Si aparecen indicios de acceso o ejecución, activa el procedimiento de incidente de la empresa.

Devuelve una instrucción concreta al empleado

Confirma que el informe llegó e indica si debe hacer algo, como dejar de usar un equipo o contactar con soporte por otro canal. Usa información aprobada; evita afirmar que una cuenta está comprometida mientras se comprueba. Si el mensaje fue una prueba interna, comunica el resultado conforme a la política de formación, no con una acusación automática.

Cierra el caso después de registrar el resultado

Anota clasificación, cuentas o equipos comprobados, acciones aprobadas y evidencia pendiente. Separa correo bloqueado, cuenta revisada y posible compromiso; no son el mismo estado. Si nuevos informes cambian el alcance, actualiza el caso relacionado para no perder la secuencia de respuesta.

Practica el informe antes de una campaña real

Usa una simulación autorizada para verificar que el canal funciona, el equipo recibe suficiente contexto y el empleado sabe cómo avisar. Mide tiempo hasta triage, informes duplicados y casos que llegaron por rutas informales. Cambia el procedimiento si la persona no encuentra el botón o teme que la reprendan por reconocer una interacción.

Fuentes y documentación

• INCIBE · Ciberamenazas contra entornos empresariales — Guía para empresas que describe amenazas de phishing y pautas de actuación si se introducen credenciales en una página fraudulenta.