Cómo evitar el phishing en Microsoft Teams y proteger tus chats

El auge del trabajo híbrido ha convertido a Microsoft Teams en el centro de la comunicación diaria de muchas empresas. Esa misma popularidad lo ha puesto en el punto de mira de los ciberdelincuentes, que aprovechan chats, llamadas y reuniones para lanzar ataques de phishing e ingeniería social cada vez más sofisticados. Ya no se trata solo del típico correo sospechoso: ahora los engaños llegan también en forma de mensajes, invitaciones o llamadas dentro de Teams.

Microsoft está reforzando la plataforma con nuevas defensas, como las advertencias de alto riesgo en chats y llamadas externas o la Protección contra Suplantación de Marca. Pero, incluso con todas estas capas técnicas, la pieza clave sigues siendo tú: si sabes detectar las señales de phishing y actuar con cabeza, cortarás la mayoría de ataques antes de que hagan daño. En esta guía encontrarás, reunida y explicada de forma práctica, toda la información relevante para evitar el phishing en Teams a nivel de usuario y de administración.

Qué es el phishing y por qué ahora también llega por Microsoft Teams

El phishing es un tipo de ataque en el que un delincuente se hace pasar por otra persona o entidad para conseguir que la víctima comparta datos sensibles como contraseñas, códigos de verificación, números de tarjeta o información bancaria. Tradicionalmente se ha asociado al correo electrónico, pero hoy también llega por SMS, redes sociales, videojuegos, llamadas de teléfono y, cómo no, por plataformas colaborativas como Teams.

En el contexto de Teams, el atacante puede suplantar a un compañero, a un proveedor, a soporte técnico o incluso a tu banco, y usar mensajes directos, invitaciones a reuniones, archivos adjuntos o enlaces dentro del chat para empujarte a hacer clic o a revelar información. Muchos ataques combinan varios canales: te mandan un correo que parece corporativo, te redirigen a un chat de Teams, y desde ahí rematan con un enlace o una llamada.

El motivo de que Teams sea tan interesante para los atacantes es claro: en un entorno de trabajo, la gente tiende a confiar. Si un mensaje llega por un canal «interno» o bajo el paraguas de Microsoft 365, bajamos la guardia. Justo ahí se cuelan los intentos de suplantación y las estafas que tratan de aprovecharse de esa confianza.

Cómo detecta Teams la actividad sospechosa y qué ve el usuario

Microsoft ha incorporado señales de seguridad específicas para reducir el impacto del phishing en Teams. Cuando el sistema detecta actividad potencialmente maliciosa procedente de contactos externos, muestra pantallas y avisos diseñados para que te pares a pensar antes de interactuar.

Uno de los cambios más visibles es la pantalla especial que aparece cuando alguien de fuera de tu organización intenta iniciar un chat individual o grupal contigo y se considera que existe riesgo alto. En esa pantalla verás una vista previa del mensaje, el nombre y la dirección de correo electrónico del remitente, junto a opciones claras para aceptar o bloquear la conversación.

En estos casos, Microsoft recomienda seguir tres pasos básicos antes de hacer nada: volver a revisar quién te escribe (identidad, correo, contexto), analizar si el mensaje tiene algo raro o fuera de lugar, y solo aceptar la conversación si tienes la seguridad de que es un remitente legítimo y de confianza. Si no, lo prudente es bloquear.

Si decides aceptar, debes tener claro que asumes el riesgo: incluso con la advertencia, ese chat podría incluir enlaces de phishing, archivos maliciosos o contenido diseñado para robar tus credenciales. Por eso Microsoft insiste tanto en la educación del usuario y en que los administradores informen a sus equipos sobre el significado de estas nuevas pantallas de Aceptar/Bloquear de alto riesgo.

Señales típicas de un mensaje de phishing en Teams y Outlook

Más allá de los banners y avisos automáticos, la defensa más eficaz contra el phishing sigue siendo saber reconocer las señales. Microsoft describe una serie de patrones que se repiten en correos electrónicos, mensajes de Teams y otros canales que deberías tomar como banderas rojas.

Una de las más habituales es la sensación de prisa extrema: mensajes que te urgen a actuar “ya” para evitar una penalización, recuperar el acceso a tu cuenta o aprovechar una recompensa. Crear una falsa urgencia es un truco clásico para que actúes sin pararte a pensar ni contrastar con nadie, y se ve tanto en correos como en chats de Teams.

También es clave prestar atención a los remitentes poco frecuentes o marcados como externos. No es raro recibir por primera vez un mensaje de alguien que no conoces, pero cuando Outlook o Teams te señalen que se trata de un nuevo remitente o de un dominio externo, conviene bajar el ritmo y mirar el contenido con lupa, especialmente si el mensaje contiene peticiones sensibles.

Los errores de ortografía y gramática son otro signo clásico. Aunque no todos los atacantes escriben mal, muchos mensajes fraudulentos tienen traducciones pobres, frases raras o fallos llamativos que no encajan con la comunicación profesional de un banco, un proveedor o el departamento de TI.

Los saludos genéricos (“Estimado cliente”, “Apreciado usuario”) deben hacerte sospechar si se supone que el remitente es una organización que te conoce bien. En la era de los envíos personalizados, un saludo frío y genérico es una pista fuerte de que el mensaje no es lo que parece.

Otro punto crítico es el dominio del remitente. Un correo que dice venir de Microsoft pero llega desde una dirección con @gmail.com, @outlook.com o con pequeñas variaciones maliciosas del dominio real, como micros0ft.com o rnicrosoft.com, suele ser una estafa. En Teams, fíjate también en la dirección asociada a la cuenta externa que te escribe.

Por último, tanto en Outlook como en Teams pueden aparecer banners de advertencia, por ejemplo indicando que no se ha podido verificar al remitente o que el mensaje incumple ciertos estándares de autenticación. Esos avisos significan que, a nivel técnico, algo chirría en el correo, así que conviene extremar la cautela.

Enlaces sospechosos y archivos adjuntos: el verdadero campo de minas

La mayoría de ataques de phishing, también en Teams, se materializan a través de un enlace o un archivo adjunto. Aunque el mensaje parezca legítimo, abrir el recurso equivocado puede instalar malware o llevarte a una web falsa en la que entregas tus credenciales sin darte cuenta.

Si sospechas de un mensaje, no hagas clic directamente. En el correo o en el propio Teams, pon el ratón encima del enlace sin pulsar y comprueba la dirección real que aparece en la previsualización. Si la URL no coincide con el texto del enlace o no corresponde al dominio oficial de la organización, mala señal. Es preferible abrir una nueva pestaña del navegador e ir tú mismo a la web legítima desde tus marcadores o desde una búsqueda.

Con los archivos adjuntos, la norma es aún más estricta: no abras adjuntos que no esperabas, aunque parezcan venir de alguien que conoces. Si dudas, contacta con esa persona por otro canal (llamada, SMS, otro chat) y confirma que realmente ha enviado ese archivo. Muchos ataques se apoyan en cuentas comprometidas que, a primera vista, parecen totalmente confiables.

Recuerda que los ciberdelincuentes no se limitan al correo o al chat: también pueden intentar conducirte a sitios peligrosos con mensajes de texto, llamadas automáticas (robocalls) o sistemas de centralita que te piden que introduzcas códigos PIN u otros datos personales “para verificar tu identidad”. Cuanto más presionen, más sospecha debería darte.

Si te encuentras ya navegando en una web dudosa, Edge incluye opciones para informar del sitio como inseguro. Desde el menú Configuración y más (…) puedes acceder a la opción de reportar un sitio no seguro, lo que ayuda a mejorar los filtros y a proteger a otros usuarios.

Cómo reportar phishing y contenido malicioso en Teams y Outlook

Marcar y reportar los ataques de phishing no es solo una buena práctica para tu empresa: también ayuda a Microsoft a entrenar mejor sus filtros y reducir este tipo de correos y mensajes en el futuro. Tanto Outlook como Teams ofrecen mecanismos directos para hacerlo.

En Microsoft 365 Outlook y Outlook.com, basta con seleccionar el mensaje sospechoso y usar la opción de la cinta Informar > Suplantación de identidad (phishing). Con ello, el correo se envía a Microsoft para su análisis, se retira de tu bandeja de entrada y los modelos antispam se ajustan para tratar de bloquear variantes similares.

En Teams, el proceso pasa por el propio mensaje del chat. Coloca el ratón sobre el mensaje malicioso sin abrir ningún enlace, haz clic en Más opciones > Más acciones > Informar de este mensaje y selecciona la categoría Riesgo de seguridad: correo no deseado, suplantación de identidad, contenido malintencionado. Al confirmar el informe, contribuyes a que la organización y Microsoft ajusten reglas y protecciones.

Si recibes un phishing con apariencia de correo corporativo o de plataforma oficial, pero fuera de Teams, también puedes aprovechar otros canales de denuncia (por ejemplo, portales de fraude de tu país o unidades especializadas en ciberdelincuencia). Cuantos más datos se recopilen sobre una campaña activa, antes podrán cortarla.

Desde el lado de la administración, si se sospecha de una campaña de phishing en Teams que no ha sido reportada por el propio usuario, es posible usar herramientas como Microsoft Purview eDiscovery para localizar mensajes por palabras clave. Una vez localizados, se pueden analizar, documentar el incidente y, si procede, ajustar políticas, bloquear remitentes o aplicar medidas correctivas.

Qué hacer si crees que has caído en un ataque de phishing

Nadie está libre de caer en un engaño bien montado, especialmente cuando se mezcla Teams con correos, llamadas o webs que imitan a la perfección a una entidad legítima. Si sospechas que ya has mordido el anzuelo, lo importante es reaccionar rápido y de forma ordenada para limitar el daño.

Lo primero es apuntar todo lo que recuerdes del incidente: qué mensaje abriste, en qué canal (Teams, Outlook, SMS), qué enlaces visitaste, qué datos compartiste (nombres de usuario, contraseñas, números de tarjeta, códigos), a qué hora, etc. Ese registro puede resultar clave para el equipo de TI, tu banco o incluso las autoridades si la cosa va a más.

Después, cambia inmediatamente las contraseñas de todas las cuentas que puedan haberse visto afectadas, y de cualquier otra donde uses la misma clave o una parecida. Aprovecha para crear contraseñas únicas y robustas, idealmente apoyadas en un gestor de contraseñas, y revisa la activación de la autenticación multifactor (MFA) allí donde esté disponible.

Si el incidente implica tu cuenta corporativa o educativa, informa sin demora al departamento de TI o soporte de tu organización; si hace falta, considera cambiar el propietario de la cuenta en Microsoft Teams. Ellos podrán revocar sesiones activas, revisar accesos inusuales, aplicar bloqueos en cuentas y supervisar posibles filtraciones internas. Cuanto antes sepan lo que ha ocurrido, más margen tendrán para actuar.

En el caso de haber compartido datos bancarios o de tarjeta, ponte en contacto con tu entidad financiera para bloquear la tarjeta, vigilar movimientos y, si es necesario, emitir nuevos medios de pago y activar alertas adicionales. En muchos países, las entidades aconsejan también interponer denuncia ante la policía o la unidad especializada en delitos informáticos.

Si has perdido dinero o sospechas de un robo de identidad, no lo dejes pasar. Presenta denuncia, conserva capturas de pantalla y comunicaciones, y proporciona a las autoridades toda la información anotada en los primeros minutos tras detectar el ataque. Esa documentación puede marcar la diferencia en la investigación.

Malware, ransomware y otros riesgos asociados al phishing

El phishing no siempre busca directamente tus credenciales: muchas veces el objetivo es que descargues e instales malware. Bajo formas aparentemente inofensivas (documentos, instaladores, supuestas actualizaciones del navegador o aplicaciones útiles), se esconden virus, gusanos, troyanos o ransomware capaces de cifrar tus archivos o usar tu equipo para atacar a otros.

Un escenario habitual es el “caballo de Troya”: una aplicación que parece legítima, pero que en realidad incorpora funciones ocultas para robar información o abrir puertas traseras. Otro patrón recurrente es la falsa actualización de navegador o de software crítico, que aparece como ventana emergente insistente mientras navegas por sitios dudosos.

Entre las variantes más peligrosas se encuentra el ransomware, que cifra tus archivos y te exige un pago a cambio de recuperarlos. Cada vez más, estas bandas no solo cifran, sino que también roban datos para amenazar con publicarlos si no pagas. Los organismos de seguridad, como el propio FBI, recomiendan no pagar el rescate, ya que no hay garantías de recuperación y te conviertes en objetivo preferente para futuros ataques.

Para reducir la exposición a malware, Microsoft insiste en tres pilares: sentido común al abrir adjuntos y enlaces, mantener el sistema operativo y aplicaciones siempre actualizados, y disponer de un antivirus o solución antimalware activa y actualizada. En Windows 10 y 11, Microsoft Defender viene integrado y ofrece una capa de protección por defecto, aunque pueden complementarse con soluciones de terceros.

En el entorno de Teams, es esencial combinar estas medidas con políticas de seguridad que limiten la descarga de archivos desde orígenes no verificados y con formación periódica a los usuarios sobre cómo identificar comportamientos anómalos en sus dispositivos o cuentas.

Estafas de soporte técnico y llamadas fraudulentas aprovechando Teams

Otro tipo de engaño muy frecuente son las estafas de soporte técnico. En ellas, los atacantes se hacen pasar por personal de Microsoft, del banco, de tu operadora o del departamento de TI de tu empresa para convencerte de que tienes un problema grave en el ordenador o en la cuenta y que debes dejarles acceder o facilitar datos.

El primer gancho suele ser un mensaje de error falso en el navegador o una página emergente que bloquea parcialmente la pantalla y te insta a llamar a un número de teléfono “de soporte”. A veces, esos engaños llegan también como llamadas VoIP o videollamadas que utilizan plataformas como Teams, aprovechando la confianza en el entorno corporativo.

Una vez establecen contacto, los estafadores insisten en que necesitan conectarse de forma remota a tu equipo para “arreglarlo”, o que les facilites información personal para verificar la cuenta. Es común que pidan datos extremadamente sensibles como números de identificación, contraseñas, códigos de un solo uso o datos de tarjeta. También intentan cobrar supuestas tarifas por el soporte, capturando así tus datos de pago.

La regla de oro es clara: ni Microsoft ni otras grandes empresas te llamarán de forma espontánea para decirte que tu ordenador está infectado o que tu cuenta tiene un problema, ni te mostrarán errores con números de teléfono incrustados para que llames. Si tú no has abierto un caso de soporte, desconfía por defecto de cualquiera que se presente como técnico, ya sea por teléfono, correo o a través de Teams.

Si te topas con uno de estos mensajes, cierra el navegador (usa ALT+F4 si no responde), reinicia el equipo si hace falta y, sobre todo, no instales herramientas de acceso remoto ni facilites información personal por indicación de desconocidos. Si crees que realmente puede existir un problema, contacta tú mismo con el soporte oficial de la empresa o con el departamento de TI por los canales habituales.

Nuevas funciones: advertencias de alto riesgo y Protección contra Suplantación de Marca

Para reforzar todavía más la seguridad, Microsoft está introduciendo nuevas características centradas específicamente en el phishing que llega a través de contactos externos, tanto en forma de mensajes como de llamadas VoIP.

La primera gran novedad es la pantalla de advertencia para ataques de phishing dirigidos a organizaciones que tienen habilitado el acceso externo. Cuando recibes por primera vez un mensaje de un dominio externo considerado de alto riesgo, Teams muestra un panel especial con vista previa del mensaje y las opciones Aceptar o Bloquear. El objetivo es interrumpir la respuesta automática de “abrir y contestar” y obligarte a evaluar el riesgo.

En paralelo, Microsoft está desplegando la función de Protección contra Suplantación de Marca para llamadas entrantes. Esta característica analiza las llamadas VoIP externas nuevas en busca de indicios de que alguien podría estar haciéndose pasar por una empresa u organización conocida. Si detecta riesgo alto, se muestra una advertencia clara antes de que respondas.

Durante la propia llamada, si la protección sigue detectando señales sospechosas, las alertas pueden mantenerse visibles para recordarte el riesgo. De nuevo, se persigue romper la inercia de “contestar sin pensar” y fomentar que el usuario bloquee o cuelgue cuando note incoherencias en el discurso, peticiones extrañas o presión injustificada.

Estas protecciones se activan de forma automática para las organizaciones, sin requerir cambios de configuración iniciales. Lo que sí recomienda Microsoft es que los administradores actualicen la documentación interna, expliquen a los usuarios el significado de las nuevas pantallas y revisen si realmente necesitan tener abierto el acceso externo a dominios que no sean de confianza.

Mientras estas funciones se terminan de extender, una medida muy eficaz para organizaciones con poco trato externo es deshabilitar temporalmente la comunicación con dominios externos en el Centro de administración de Teams, dentro del apartado de acceso externo. Menos superficie de ataque implica menos oportunidades para los estafadores.

Buenas prácticas para usuarios: cómo moverte con seguridad en Teams

Más allá de las capas técnicas, la seguridad real en el día a día se decide en pequeños gestos. Un usuario informado y prudente es la mejor barrera contra el phishing en Teams. Hay una serie de prácticas que conviene interiorizar y repetir hasta que salgan solas.

En primer lugar, desconfía por sistema de cualquier mensaje que mezcle urgencia, petición de datos sensibles y enlaces o archivos adjuntos inesperados. Aunque aparezca bajo el logo de Microsoft o parezca venir del “equipo de TI”, verifica siempre por un canal alternativo antes de cumplir con lo que piden.

Mantén las aplicaciones actualizadas: tanto el cliente de Teams como el sistema operativo y el navegador. Las actualizaciones de seguridad corrigen fallos que los atacantes podrían aprovechar para ejecutar código o escapar de las protecciones. Activar las actualizaciones automáticas es una forma sencilla de ir al día sin complicarte.

Activa y respeta la autenticación en dos pasos siempre que tu organización lo ofrezca. Introducir un código adicional desde el móvil o aprobar una notificación puede parecer pesado, pero marca una diferencia enorme cuando alguien intenta entrar con tus credenciales robadas por phishing. Si recibes solicitudes de MFA que tú no has iniciado, asume que alguien intenta entrar y avisa inmediatamente.

Otro hábito recomendable es limitar la cantidad de información sensible que circula por chats y canales. Aunque Teams cifra los datos en tránsito y en reposo, evita compartir contraseñas, números de tarjeta o documentos extremadamente sensibles en conversaciones abiertas. Utiliza los canales seguros que marque la política de tu empresa (gestores de contraseñas, portales internos, etc.).

Y, por último, reporta siempre que veas algo raro. No lo dejes pasar pensando que “seguro que no es nada”: si un mensaje te huele mal, puede ser la punta de lanza de una campaña mayor. Usar las funciones de informar de phishing en Teams y Outlook, y avisar al equipo de seguridad, ayuda a proteger a toda la organización.

La combinación de medidas técnicas (cifrado, autenticación robusta, detección de suplantaciones y avisos de alto riesgo), políticas de administración bien definidas y usuarios formados crea una red de defensa mucho más sólida. Cuando entiendes qué buscan los atacantes, cómo utilizan Teams para llegar a ti y qué pasos concretos puedes tomar en cada situación, resulta mucho más sencillo mantener a raya el phishing y seguir aprovechando la plataforma con tranquilidad.