BLUETEAM ACADEMY — GUÍA PRÁCTICA DE CONCIENCIACIÓN ANTE PHISHING Microsoft 365 / Entra, Google Workspace y amenazas con IA Edición del curso: octubre de 2026. Sigue los procedimientos aprobados por tu organización. 1. DETÉNGASE Y REVISE LA SOLICITUD ¿Qué me piden cambiar, revelar, autorizar, pagar, descargar o ejecutar? ¿Esperaba este trabajo? ¿Tiene el remitente autoridad para esta acción? Un nombre familiar, un logotipo, un hilo existente, gramática correcta, HTTPS, voz o vídeo no responde a esas preguntas. Una cuenta genuina puede estar comprometida. 2. VERIFICA SIN USAR LA VÍA DEL MENSAJE Utiliza un marcador establecido, el lanzador de la empresa, el service desk o un contacto guardado. Para pagos y cambios en cuentas bancarias, sigue las normas de confirmación y doble aprobación. No llames a un número proporcionado por la solicitud sospechosa ni apruebes una excepción. porque la solicitud afirma urgencia, secretismo o jerarquía. 3. ENLACES Y CÓDIGOS QR Si su cliente proporciona una vista previa segura, revise el destino completo sin abrirlo El host no es una marca que aparezca antes en un subdominio o después en un ruta. Una URL acortada o un código QR pueden ocultar el destino. No abra un enlace a prueba si es seguro. Utiliza directamente el servicio empresarial conocido. 4. CÓDIGOS DE DISPOSITIVO DE MICROSOFT Y CONSENTIMIENTO Una página legítima de Microsoft puede autorizar una solicitud iniciada por un atacante. No introduzcas un código de dispositivo procedente de una reunión, reclutador o mensaje de soporte no solicitado. Solo complete un flujo de dispositivo que haya iniciado deliberadamente para una app conocida y aprobada. Iniciar sesión no es lo mismo que conceder permiso a una aplicación para acceder al correo o archivos. Verifique la identidad de la aplicación, los permisos solicitados, el propósito empresarial y el estado de aprobación. Nunca apruebes una solicitud inesperada de MFA, ni siquiera si te lo pide alguien por teléfono. 5. GOOGLE WORKSPACE Una notificación real de Drive compartido no significa que el documento sea seguro. Un documento externo o invitación de Calendario puede contener un enlace o solicitud no seguro. Utiliza la vía conocida de Drive/Calendar y verifica el propósito comercial por separado. Revisa los permisos de aplicaciones de terceros con TI. Eliminar acceso posteriormente no puede recuperar datos ya copiados. Google también admite la autorización legítima de dispositivos; trate instrucciones inesperadas del dispositivo como una cuestión de autorización, no de marca. 6. IA, COLABORACIÓN Y ARCHIVOS ADJUNTOS Una voz o vídeo convincente no sustituye los controles de identidad y de aprobación de pagos. Un resumen de IA puede repetir instrucciones maliciosas de un documento que resume. Los mensajes externos de Teams o Chat requieren las mismas comprobaciones que el correo electrónico. No abras archivos comprimidos protegidos con contraseña para eludir el análisis, ni ejecutes archivos o no habilite macros solo para leer un documento. Un CAPTCHA falso o una reparación de reunión puede solicitar te pide pegar y ejecutar un comando. Para: no lo ejecutes. No instales una extensión de navegador o herramienta de soporte remoto no aprobada. 7. VIRUSTOTAL ÁRBOL DE DECISIÓN — ANTES DE CUALQUIER CONSULTA O ENVÍO A. ¿Permiten la política de la empresa y las condiciones del servicio este uso? NO / NO SEGURO -> utiliza el canal interno de seguridad aprobado. B. ¿El archivo o indicador contiene información confidencial, personal o de acceso? SÍ / NO ESTOY SEGURO -> no lo subas ni pegues en servicios públicos de escaneo. Ejemplos: nóminas, contratos, datos de pacientes/clientes, enlaces privados de compartición, enlaces de restablecimiento de contraseña, URLs de descarga firmadas, tokens de acceso y detalles internos. C. Para un archivo permitido que ya se guarda de forma segura, ¿se dispone de un SHA-256 aprobado? Pida seguridad o utilice una herramienta local autorizada sin ejecutar el archivo. No descargues un archivo adjunto sospechoso solo para obtener su hash. D. Busca el hash permitido para un informe EXISTENTE. Esto no sube los bytes del archivo, pero sí revela la consulta a un tercero. parte. Un informe ausente implica desconocido; no autoriza una carga de archivos. E. Para una URL pública permitida, comprueba que la cadena completa no contiene datos sensibles información antes de consultar. Las búsquedas por URL pueden ser analizadas y compartidas; no supongas que una búsqueda es privada o que eliminar un token prueba el mismo objeto. F. Verifica el identificador analizado, tipo de archivo, fecha del análisis y resultados individuales. Cero detecciones no es prueba de seguridad. Un informe antiguo puede no describir la situación actual contenido. Una detección puede requerir interpretación; no anule las herramientas de la empresa. G. Un informe no aprueba un pago, concesión de consentimiento, inicio de sesión ni liberación de datos. Sigue el proceso aprobado de investigación y escalado. POR QUÉ LOS ARCHIVOS CONFIDENCIALES NO DEBEN ENVIARSE Las presentaciones y los informes ordinarios de VirusTotal pueden compartirse dentro de su entorno de seguridad ecosistema, incluidos socios y clientes. El escaneo público puede crear un nuevo divulgación de datos. Private Scanning es un servicio independiente que debe ser aprobado y configurado para tu organización. Sólo iniciar sesión o pagar no es suficiente. Si envió accidentalmente material sensible, comunique esa divulgación de inmediato; no suponga que eliminar una copia local o cambiar el nombre de archivo lo revierte. 8. PLANTILLA DE INFORME DE INCIDENTE — UTILIZA SOLO CANALES INTERNOS APROBADOS Cuenta / dispositivo afectado: Hora y zona horaria aproximadas: Canal y remitente declarado: Lo que observé: Lo que realmente hice (visualicé / pulsé / introduje contraseña / completé MFA / código de dispositivo introducido / acceso concedido a la aplicación / ejecución de contenido / envío de datos / pago realizado): ¿Se han observado descargas, avisos o cambios? Lo que he dejado de hacer: Donde se conserve la evidencia original mediante la herramienta de informes aprobada: Ruta de atención o seguridad conocida utilizada: Informa rápido aunque no estés seguro. No repitas la acción para investigar. No incluyas contraseñas, códigos de recuperación ni secretos en el informe. Seguridad puede necesitar revocar sesiones y concesiones de apps, inspeccionar reglas de buzón y revise los dispositivos; cambiar la contraseña por sí solo no es una respuesta completa en todos los casos. Para pagos, alerta a finanzas y seguridad inmediatamente por los canales establecidos. Sigue las instrucciones del equipo de respuesta en vez de improvisar borrados o cambios en dispositivos. REFERENCIAS https://www.microsoft.com/en-us/security/blog/2025/02/13/storm-2372-conducts-device-code-phishing-campaign/ https://support.google.com/mail/answer/8253 https://support.google.com/accounts/answer/14012355 https://docs.virustotal.com/docs/how-it-works https://docs.virustotal.com/docs/searching https://docs.virustotal.com/docs/results-reports https://docs.virustotal.com/docs/private-scanning Utiliza ejemplos ficticios o saneados en las respuestas del curso. No pegues datos reales archivos sospechosos, enlaces privados o secretos de la empresa en la plataforma de formación.