El phishing sigue siendo el vector inicial más común en los incidentes de ciberseguridad de todo el mundo. A pesar de los avances en filtrado de correo y en tecnología de seguridad, los atacantes siguen afinando sus técnicas, y el phishing es hoy más convincente y más difícil de detectar que nunca.
¿Qué es el phishing?
El phishing es una forma de ingeniería social en la que el atacante se hace pasar por una entidad de confianza para lograr que alguien revele información sensible, haga clic en un enlace malicioso o descargue un archivo dañino. La idea es explotar la confianza y la urgencia de las personas, no una falla técnica. El correo es el canal más habitual, pero el phishing también llega por mensajes de texto, llamadas, redes sociales y plataformas de mensajería.
Tipos de ataque de phishing
El phishing por correo es la modalidad más amplia: el atacante envía correos masivos diseñados para parecer de organizaciones legítimas, como bancos, proveedores de servicios o áreas internas de la empresa. Suelen llevar enlaces a sitios que capturan credenciales, o adjuntos con malware.
El spear phishing apunta a personas u organizaciones concretas, usando información personalizada que se recoge de redes sociales, del sitio de la empresa o de filtraciones anteriores. Como el mensaje menciona nombres reales, cargos y proyectos en curso, resulta mucho más creíble que una campaña genérica.
El whaling es una variante del spear phishing dirigida a la alta dirección y a quienes toman decisiones. Estos ataques suelen suplantar a miembros del directorio, a abogados externos o a socios comerciales importantes, y lo que piden casi siempre son transferencias de dinero o acceso a datos sensibles.
El smishing y el vishing llevan el phishing a los mensajes de texto y a las llamadas de voz. Los mensajes de smishing suelen hacerse pasar por empresas de paquetería, bancos o dependencias de gobierno, con una petición urgente de abrir un enlace. Las llamadas de vishing pueden simular ser soporte de TI, la autoridad tributaria o la policía, para sacar información o convencer a la víctima de instalar software de acceso remoto.
Señales de alerta
Aprender a reconocer los indicios de phishing es una habilidad clave. Desconfía de los mensajes que generan urgencia y exigen actuar de inmediato. Revisa con cuidado la dirección del remitente: es común que usen dominios visualmente parecidos a los legítimos, por ejemplo sustituyendo una ele minúscula por el número 1. Pasa el cursor sobre los enlaces antes de hacer clic, para ver el destino real. Fíjate en los saludos genéricos donde debería haber un nombre, en los errores de redacción que una organización seria no cometería, y en las peticiones de información que el supuesto remitente ya debería tener.
Los adjuntos inesperados, sobre todo con extensiones ejecutables o con macros, merecen una desconfianza extrema. Las organizaciones legítimas casi nunca piden contraseñas, números de cuenta ni datos personales por correo.
Construir defensas en la organización
Los controles técnicos son la primera capa. Despliega los protocolos de autenticación de correo —SPF, DKIM y DMARC— para impedir la suplantación de tu dominio. Implementa un filtrado avanzado que analice enlaces, adjuntos y reputación del remitente en tiempo real. Activa la autenticación multifactor en todos los sistemas, de modo que una credencial robada no alcance por sí sola para entrar a una cuenta.
Define procedimientos de reporte claros, para que cada persona sepa exactamente qué hacer cuando recibe un mensaje sospechoso. Haz que reportar sea fácil: un botón en el cliente de correo o una dirección de reenvío sencilla. Responde rápido a los reportes y dale retroalimentación a quien reporta, para que sepa que su atención sirvió de algo.
Respuesta a un incidente de phishing
Cuando un phishing tiene éxito, la velocidad lo es todo. Restablece de inmediato las credenciales comprometidas y revoca las sesiones activas. Revisa los equipos afectados en busca de malware o accesos no autorizados. Avisa a quienes puedan verse impactados y preserva la evidencia para la investigación. Analiza el ataque para entender cómo esquivó tus defensas y ajusta los controles en consecuencia.
Revisa los registros de correo para identificar a quién más le llegó la misma campaña y si alguien más interactuó con el contenido malicioso. Usa los indicadores de compromiso del ataque para actualizar tus fuentes de inteligencia de amenazas y tus reglas de bloqueo.
Defenderse del phishing no es solo un problema de tecnología. Requiere una combinación de controles técnicos sólidos, formación continua de las personas y una cultura donde la conciencia de seguridad sea parte del día a día. Las organizaciones que invierten en las tres dimensiones resisten mucho mejor la evolución constante de la ingeniería social.
