¿Correo urgente o phishing? Señales de alerta para proteger a los profesionales sanitarios
Un correo aparentemente rutinario puede resultar inofensivo: una actualización de contraseña, un documento compartido por el hospital, una notificación urgente de un laboratorio, una incidencia con la historia clínica electrónica o una solicitud de acceso enviada por un supuesto compañero. Sin embargo, detrás de algunos de esos mensajes puede haber un intento de phishing.
El phishing es una técnica de engaño digital que busca que una persona haga clic en un enlace, descargue un archivo, introduzca sus credenciales o comparta información sensible. En el entorno sanitario, el riesgo es especialmente relevante porque las credenciales profesionales no solo dan acceso a una bandeja de entrada: pueden abrir la puerta a sistemas clínicos, datos de pacientes, documentación interna, agendas asistenciales, plataformas corporativas o canales de comunicación con otros equipos.
Por eso, el phishing no debe entenderse como un problema exclusivo del departamento de informática. Para un profesional sanitario, reconocer un intento de phishing es una medida básica de autoprotección profesional, de seguridad clínica y de protección de datos.
Por qué el phishing preocupa especialmente en sanidad
Los centros sanitarios manejan información de alto valor: datos identificativos, diagnósticos, informes clínicos, resultados de pruebas, imágenes médicas, tratamientos, datos administrativos y, en muchos casos, información vinculada a seguros, facturación o autorizaciones. Esta combinación convierte al sector salud en un objetivo atractivo para los ciberdelincuentes.
Además, la actividad sanitaria presenta características que pueden facilitar el engaño: presión asistencial, múltiples canales de comunicación, urgencias reales, turnos, movilidad entre dispositivos, contacto continuo con pacientes, laboratorios, proveedores, sociedades científicas y otros centros. En ese contexto, un mensaje que simula urgencia puede resultar creíble.
El objetivo del atacante no siempre es obtener todos los datos de inmediato. A veces solo necesita una credencial, una contraseña reutilizada, una aprobación de doble factor o la descarga de un archivo malicioso. Ese pequeño gesto puede bastar para desencadenar una intrusión mayor.
Cómo se presenta el phishing en el entorno sanitario
El phishing sanitario no siempre llega como un correo mal escrito o evidente. Cada vez es más frecuente que adopte formas realistas, adaptadas al lenguaje profesional y a los procesos habituales del centro.
Puede presentarse como una notificación del departamento de sistemas que solicita “validar la cuenta antes de que expire”. También puede simular un aviso de la historia clínica electrónica, un documento compartido con resultados de laboratorio, una factura pendiente de un proveedor, una convocatoria de formación, una incidencia en la agenda de pacientes o una solicitud urgente de acceso enviada supuestamente por un responsable de servicio.
En otros casos, el ataque no llega por correo electrónico, sino por SMS, mensajería instantánea, llamada telefónica o por una combinación de varios canales. Cuando el engaño se dirige a una persona concreta y utiliza información profesional real —cargo, centro, servicio, evento reciente o nombres de compañeros—, hablamos de spear phishing, una forma más personalizada y difícil de detectar.
Siete escenarios frecuentes que un profesional sanitario puede reconocer
La siguiente tabla resume situaciones habituales en las que un intento de phishing puede confundirse con una comunicación legítima del entorno sanitario. El objetivo no es generar desconfianza permanente, sino incorporar una verificación rápida antes de hacer clic, descargar un archivo o introducir credenciales.
| Escenario | Cómo puede presentarse | Señales de alerta | Respuesta recomendada |
| “Su contraseña caduca hoy” | Correo supuestamente enviado por sistemas o soporte técnico para renovar la contraseña antes de que se bloquee la cuenta. | Urgencia artificial, amenaza de bloqueo, enlace externo o dominio parecido al corporativo. | No acceder desde el enlace. Entrar manualmente al portal oficial o contactar con soporte por el canal habitual. |
| “Nuevo informe clínico compartido” | Aviso de documento pendiente, resultado urgente, derivación o archivo compartido con información clínica. | Adjunto inesperado, remitente dudoso, archivo comprimido, petición de habilitar macros o acceso con credenciales. | Verificar si el documento era esperado y confirmar el canal antes de abrir o descargar. |
| “Paciente reclama una respuesta inmediata” | Mensaje que simula una queja, una reclamación o una solicitud de información clínica con tono urgente. | Presión emocional, petición de datos sensibles, remitente no verificado o canal no habitual. | No responder con información clínica desde ese mensaje. Confirmar identidad y seguir el circuito del centro. |
| “Actualización obligatoria de la HCE” | Notificación que imita al sistema de historia clínica electrónica y solicita acceso para validar la cuenta o instalar una actualización. | Falso portal, URL extraña, solicitud de credenciales o comunicación fuera de los canales internos definidos. | Acceder solo desde la ruta oficial del centro y consultar a soporte si la actualización no estaba prevista. |
| “Apruebe este acceso MFA” | Solicitud de doble factor, cambio de dispositivo o verificación de acceso que el profesional no ha iniciado. | Notificación inesperada, presión para aprobar, mensaje de soporte no verificado o llamada solicitando códigos. | No aprobar accesos no iniciados. Reportar la solicitud y cambiar credenciales si se sospecha compromiso. |
| “Convocatoria de congreso o formación” | Invitación a curso, webinar, congreso o acreditación que solicita registro, descarga de programa o pago. | Entidad poco clara, dominio no oficial, formulario que pide demasiados datos o credenciales profesionales. | Verificar la entidad organizadora y acceder desde la web oficial, no desde enlaces sospechosos. |
| “Mensaje de proveedor o laboratorio” | Comunicación con factura, presupuesto, resultado, incidencia logística o enlace a carpeta compartida. | Cambio inesperado de cuenta, adjunto no solicitado, lenguaje extraño o petición de acción urgente. | Confirmar por un segundo canal antes de abrir archivos, pagar, reenviar información o compartir datos. |
Señales de alerta antes de hacer clic
No existe una señal única que confirme que un mensaje es fraudulento. La clave está en detectar combinaciones sospechosas y revisar el contexto antes de actuar.
Una primera señal es la urgencia artificial: “último aviso”, “acceso bloqueado”, “acción inmediata”, “respuesta obligatoria”. La urgencia busca reducir el pensamiento crítico y empujar al profesional a actuar sin verificar.
Otra señal es el remitente. Puede parecer legítimo a primera vista, pero incluir pequeñas variaciones: letras cambiadas, dominios similares, extensiones extrañas o direcciones personales que simulan ser corporativas. Conviene revisar la dirección completa, no solo el nombre visible.
También debe observarse el enlace. Al pasar el cursor sobre él, puede comprobarse si dirige realmente al sitio esperado. En móvil, esta comprobación puede ser más difícil, por lo que conviene extremar la prudencia ante cualquier acceso solicitado de forma inesperada.
Los archivos adjuntos inesperados son otro punto crítico, especialmente si son comprimidos, ejecutables o documentos que piden habilitar macros. En sanidad, donde se comparten documentos con frecuencia, este riesgo puede pasar desapercibido.
Por último, cualquier mensaje que solicite contraseñas, códigos de verificación, aprobación de doble factor, datos de pacientes o descarga urgente de documentación clínica debe considerarse de alto riesgo hasta que se verifique.
La regla de los 30 segundos
En momentos de carga asistencial, el phishing funciona porque interrumpe y exige una respuesta rápida. Antes de hacer clic, abrir un adjunto o introducir credenciales, puede ser útil hacer una breve pausa para verificar.
- ¿Esperaba este mensaje, documento o solicitud?
- ¿El remitente es exactamente quien dice ser?
- ¿El enlace lleva al dominio oficial del centro o de la entidad?
- ¿Me pide actuar con urgencia o saltarme un procedimiento habitual?
- ¿Solicita credenciales, datos clínicos, códigos o aprobación de acceso?
Si alguna de estas preguntas genera duda, es preferible detenerse y verificarlo por otro canal. Esta pausa no elimina el riesgo, pero reduce las decisiones impulsivas que los atacantes intentan provocar.
Qué hacer si se sospecha de phishing
Si un mensaje parece sospechoso, lo más importante es no interactuar con él: no hacer clic, no descargar archivos, no responder, no reenviarlo a compañeros ni introducir credenciales.
El siguiente paso es reportarlo a través del canal interno definido: soporte informático, seguridad, delegado de protección de datos o responsable designado, según el protocolo del centro. Si existe un botón de “reportar phishing” en el correo corporativo, debe utilizarse.
Cuando sea necesario verificar la solicitud, conviene hacerlo a través de un canal alternativo: una llamada al número interno conocido, el acceso manual al portal oficial o la consulta directa con el área correspondiente. No se debe usar el teléfono, el enlace o el contacto incluidos en el mensaje sospechoso.
Si ya se ha hecho clic o se han introducido credenciales, el tiempo es clave. Hay que comunicarlo de inmediato, cambiar la contraseña según el procedimiento corporativo, cerrar las sesiones abiertas, si es posible, y seguir las indicaciones del equipo responsable. En un entorno sanitario, ocultar el error puede aumentar el impacto del incidente.
Qué no hacer
No conviene reenviar el correo sospechoso a varios compañeros “para preguntar”, porque puede aumentar la exposición. Tampoco se debe intentar investigar por cuenta propia accediendo al enlace varias veces o descargando el archivo en otro dispositivo.
No debe aprobarse una notificación de doble factor que no se haya iniciado voluntariamente. Tampoco deben compartirse códigos temporales, capturas de pantalla de accesos, contraseñas o datos de pacientes para resolver una supuesta incidencia.
Y, sobre todo, no debe asumirse que “si parece venir del hospital, es seguro”. La suplantación de identidad se basa precisamente en parecer familiar.
Medidas básicas que reducen el riesgo
La prevención del phishing combina tecnología, procesos y hábitos individuales. Para el profesional sanitario, algunas medidas resultan especialmente importantes.
Usar contraseñas únicas y robustas evita que una credencial comprometida en un servicio externo permita acceder a sistemas profesionales. Un gestor de contraseñas puede ayudar a reducir la reutilización de contraseñas y, además, alertar cuando una página falsa no coincide con el dominio real.
A nivel organizativo, la cultura de reporte es fundamental
La autenticación multifactor añade una capa de seguridad, aunque nunca debe aprobarse una solicitud inesperada. Cuando la organización lo permite, los métodos más resistentes al phishing, como llaves de seguridad o sistemas basados en passkeys, pueden reducir el riesgo asociado a páginas falsas y robo de códigos.
También es esencial mantener los dispositivos actualizados, utilizar canales corporativos para la información clínica, evitar el uso de correo personal para la documentación asistencial y no compartir datos de pacientes por vías no autorizadas.
A nivel organizativo, la cultura de reporte es fundamental. Los profesionales deben sentirse seguros al comunicar sospechas o errores. Un entorno punitivo puede retrasar la notificación y aumentar su impacto. En ciberseguridad sanitaria, reportar pronto una sospecha suele ser más seguro que intentar resolverla en silencio.
Phishing y protección de datos: por qué reportar rápido importa
En sanidad, un incidente de phishing puede derivar en una brecha de datos personales si permite el acceso no autorizado, la pérdida, la alteración o la comunicación indebida de información de pacientes. No corresponde al profesional valorar en solitario las obligaciones legales del centro, pero sí es clave que informe de inmediato para que los responsables puedan evaluar el riesgo, documentar el incidente y activar los procedimientos correspondientes.
La rapidez de comunicación puede marcar la diferencia entre un incidente contenido y una brecha con impacto asistencial, reputacional y legal. En protección de datos, detectar tarde suele ser más costoso que reconocer pronto una sospecha.
Ciberseguridad también forma parte de la práctica clínica
El phishing funciona porque imita situaciones reales: una urgencia, un documento pendiente, una incidencia técnica, una solicitud de acceso o una comunicación interna. Por eso, la defensa no depende solo de “saber informática”, sino de reconocer cuándo una interacción digital se sale del circuito habitual.
Para el profesional sanitario, la mejor respuesta no es desconfiar de todo, sino incorporar una breve verificación antes de actuar. Pausar, revisar, confirmar y reportar son gestos sencillos que protegen las credenciales, los sistemas clínicos y los datos de los pacientes.
En una consulta, en una planta, en un laboratorio o en un servicio hospitalario, hacer clic también puede ser una decisión profesional. Y, ante la duda, reportar siempre es mejor que asumir el riesgo.
PC-ES-119290-082026