Phishing en Google Workspace: las protecciones que ya pagás y tenés apagadas

El mail llegó un martes a la mañana, a la casilla de administración. Era el proveedor de siempre, con el mismo asunto de siempre, avisando que habían cambiado de banco y que la factura del mes se pagaba a un CBU nuevo. Nadie dudó: el logo estaba bien, el tono estaba bien, hasta la firma con el nombre del contacto de siempre estaba bien. La transferencia salió esa misma tarde. El proveedor real reclamó el pago tres semanas después.

No hubo hackeo, no hubo virus, no hubo nadie forzando un servidor. Hubo un correo que entró a la bandeja de entrada como si fuera legítimo.

El problema ya no es que tu gente sea distraída

Durante años la recomendación fue "fijate bien antes de hacer clic": buscá los errores de ortografía, mirá que el remitente sea raro, desconfiá del apuro. Ese consejo hoy sirve cada vez menos. Los correos de phishing que circulan en 2026 están bien escritos, respetan el estilo de la empresa que imitan y muchas veces citan datos reales de la operación, porque quien los arma ya leyó tu sitio, tu LinkedIn y el mail que alguien reenvió sin pensar.

Pedirle a una persona que detecte a ojo un correo diseñado para no ser detectado es una estrategia que empieza perdiendo.

Por eso el filtro no puede depender del ojo del que recibe. Tiene que estar antes, en la plataforma. Y si tu empresa trabaja con Google Workspace, buena parte de ese filtro ya está incluido en lo que pagás todos los meses. El detalle es que viene desactivado.

Tres protecciones que Google ya te incluye y probablemente tenés apagadas

1. Entorno aislado de seguridad de Gmail (sandbox)

Con esta opción activada, todos los archivos adjuntos compatibles se abren y se ejecutan en un entorno aislado de Google antes de llegar a la casilla del destinatario. Si el archivo se comporta como malware, no llega: va directo a spam. El costo es una demora leve en algunos correos con adjuntos. A cambio, el Excel con macros que alguien iba a abrir sin pensar nunca toca la computadora de la oficina.

2. Protección mejorada contra phishing y malware

Suma a Gmail las listas de bloqueo y los modelos de detección que Google usa para identificar enlaces peligrosos en tiempo real, y reclasifica el spam más rápido. Es la diferencia entre bloquear un dominio malicioso al día siguiente o bloquearlo mientras el correo todavía está entrando.

3. Navegación segura mejorada en Chrome

Verifica en tiempo real cada sitio, descarga y extensión que abre el usuario, y le avisa antes de que cargue la página falsa. Es la red que atrapa al que ya hizo clic, que es exactamente el escenario que importa: alguien va a hacer clic. Google la incluye sin costo adicional sumando la suscripción a Chrome Enterprise Core.

Un dato para tener sobre la mesa: la navegación segura mejorada implica compartir más información de navegación con Google, porque el chequeo de cada sitio se hace del lado de ellos. Para la mayoría de las pymes es un intercambio razonable, pero es una decisión que conviene tomar sabiéndolo y no descubrirlo después.

La segunda puerta: las cuentas

Filtrar el correo resuelve la mitad del problema. La otra mitad es qué pasa cuando una contraseña se filtra igual, por una base de datos vieja o por un usuario que la reutiliza en cinco servicios.

• Verificación en dos pasos, para todos. No para los gerentes ni para "los que manejan plata": para todos. Alcanza con una cuenta sin segundo factor para que alguien entre, lea el historial de correo y arme el mail del CBU con información verdadera.
• Llaves de acceso (passkeys). Es el salto real contra el phishing: la llave está atada al dispositivo y al dominio legítimo, así que no hay nada que el usuario pueda tipear en un sitio falso. Aunque caiga en la página clonada, no tiene qué entregar.
• Contraseñas seguras obligatorias. Al activarlo, el que hoy tiene una contraseña débil está forzado a cambiarla en el próximo inicio de sesión. Es de las medidas más baratas que existen.

El chequeo de quince minutos

Si sos administrador de Workspace, esto se revisa en una sentada, sin proyecto ni presupuesto de por medio:

• Entrá a la consola de administración y mirá cuántos usuarios no tienen activada la verificación en dos pasos. El listado está ahí y suele sorprender.
• Revisá si el entorno aislado de seguridad de Gmail está activo para adjuntos.
• Verificá si está activada la protección mejorada contra phishing y malware.
• Fijate si hay accesos a aplicaciones desde dispositivos no gestionados: notebooks personales, celulares sin bloqueo de pantalla, equipos que nadie sabe de quién son.
• Confirmá si están permitidas las llaves de acceso para inicio de sesión.

Cada una de esas casillas es un clic. Ninguna requiere migrar nada ni frenar la operación.

Lo que no viene incluido (y cuándo conviene)

Hay una capa que sí depende de la edición que tengas contratada: la protección automática de datos que detecta información sensible saliendo por Drive o por correo (CUIT, datos bancarios, legajos, más de cincuenta tipos distintos) y bloquea o advierte solo cuando aparece, en lugar de molestar en cada envío. Lo mismo con las políticas de cumplimiento de dispositivos, que verifican cifrado de disco, firewall y bloqueo de pantalla antes de dejar entrar a una notebook.

Eso vive en las ediciones superiores de Workspace. Nuestra recomendación es siempre el mismo orden: primero activá todo lo que ya pagaste y está apagado, medí qué queda descubierto, y recién ahí evaluá si justifica subir de edición. Al revés se gasta de más y se protege igual de poco.

Los números, para quien tiene que decidir

• Google reporta que, en una sola semana, organizaciones de Workspace con la seguridad mejorada activada detectaron más de 149.000 correos de phishing.
• El costo promedio de un ataque originado por correo electrónico ronda los 50.000 dólares, según los datos que la propia Google comparte con los administradores.
• La verificación en dos pasos reduce el robo de cuentas alrededor de un 50%, de acuerdo con los estudios publicados por Google en 2022.

Puesto en criollo: la configuración que evita el incidente ya está paga y desactivada, y el incidente que evita cuesta bastante más que la hora de trabajo que lleva activarla.

En Tecnicanet lo revisamos con vos

Hacemos la revisión completa de la consola de Google Workspace, activamos las protecciones que corresponden sin frenar la operación, ordenamos el despliegue de la verificación en dos pasos usuario por usuario y dejamos documentado qué quedó activo y por qué. Si además hay que capacitar al equipo que recibe las facturas, también lo hacemos: la tecnología filtra, pero el criterio se entrena.