El phishing es una técnica de ingeniería social utilizada para engañar a una persona y conseguir que entregue información confidencial, abra un archivo malicioso, acceda a un sitio fraudulento o realice una acción que comprometa la seguridad de una organización.
Aunque tradicionalmente se asocia con correos electrónicos falsos, un ataque de phishing también puede llegar por mensajes de texto, llamadas, redes sociales y otros canales digitales. Su eficacia depende menos de vulnerar directamente una tecnología que de conseguir que una persona confíe en un mensaje que parece legítimo.
Para una empresa, el riesgo es especialmente relevante porque una sola credencial comprometida puede facilitar accesos no autorizados a correo corporativo, plataformas internas, información de clientes, sistemas administrativos o recursos financieros.
Qué es el phishing
El phishing consiste en suplantar a una persona u organización de confianza para inducir al destinatario a realizar una acción.
El atacante puede hacerse pasar, por ejemplo, por:
- Una entidad financiera.
- Un proveedor.
- Un cliente.
- Un directivo de la empresa.
- Un área interna como recursos humanos o tecnología.
- Una plataforma digital conocida.
El mensaje suele conducir al usuario hacia un enlace falso, solicitar credenciales, pedir información confidencial o intentar que descargue un archivo.
COLCERT explica que estos mensajes suelen diseñarse para parecer enviados por organizaciones legítimas o personas conocidas y pueden llevar al usuario hacia sitios fraudulentos creados para capturar nombres de usuario, contraseñas u otra información personal.
El problema es que los ataques actuales pueden ser cada vez más convincentes. NIST advierte que incluso la inteligencia artificial puede utilizarse para generar mensajes de phishing más creíbles, por lo que ya no basta con buscar errores ortográficos evidentes para detectar un intento de fraude.
Cómo funciona un ataque de phishing
Aunque existen múltiples variantes, muchos ataques siguen una secuencia similar.
Primero, el atacante construye un mensaje que parece provenir de una fuente legítima. Después intenta generar confianza, preocupación o urgencia para reducir el tiempo que la persona dedica a verificar la solicitud.
El mensaje puede indicar, por ejemplo:
- Que una cuenta será bloqueada.
- Que existe una factura pendiente.
- Que es necesario actualizar una contraseña.
- Que debe revisarse un documento compartido.
- Que un directivo necesita una transferencia urgente.
- Que existe una alerta de seguridad.
- Que debe descargarse un archivo relacionado con una operación habitual.
El objetivo es conseguir una acción concreta.
Cuando el usuario hace clic en un enlace fraudulento, puede llegar a una página diseñada para imitar un servicio conocido. Si introduce sus credenciales, estas quedan en manos del atacante. En otros casos, el archivo descargado puede intentar instalar malware o permitir nuevas acciones maliciosas.
El phishing funciona precisamente porque combina tecnología e ingeniería social: el atacante no necesita vulnerar directamente un sistema si consigue que una persona le entregue voluntariamente el acceso.
Por qué el phishing representa un riesgo para las empresas
En un entorno corporativo, una cuenta comprometida no representa únicamente un problema individual. Puede convertirse en una puerta de entrada hacia otros recursos. Una credencial robada podría utilizarse para acceder a información almacenada en plataformas corporativas, revisar conversaciones internas, intentar suplantar a otros empleados o identificar nuevas oportunidades para cometer fraude.
También puede afectar:
- Información de clientes.
- Datos financieros.
- Documentos internos.
- Propiedad intelectual.
- Credenciales de otros sistemas.
- Relaciones con proveedores.
- Reputación corporativa.
El riesgo aumenta cuando una misma cuenta tiene permisos excesivos o cuando no existen controles adicionales de autenticación.
Por eso, la prevención del phishing no debería considerarse únicamente una responsabilidad del empleado que recibe el mensaje. Es un problema de seguridad organizacional que requiere formación, controles técnicos y procedimientos claros.
Principales tipos de phishing
El término phishing engloba distintas técnicas. Algunas cambian principalmente por el canal utilizado y otras por el nivel de personalización del ataque.
Phishing por correo electrónico
Es una de las formas más conocidas.
El atacante envía correos que intentan parecer legítimos y que normalmente buscan que la persona:
- Abra un enlace.
- Descargue un archivo.
- Introduzca una contraseña.
- Facilite información.
- Realice un pago.
Los mensajes pueden distribuirse de forma masiva o dirigirse hacia personas específicas.
Spear phishing
El spear phishing es un ataque más personalizado. En lugar de enviar exactamente el mismo mensaje a miles de personas, el atacante adapta la comunicación utilizando información relacionada con la víctima, su cargo, su empresa, sus compañeros o sus proveedores.
Esto puede aumentar considerablemente la credibilidad del mensaje. Por ejemplo, un empleado del área financiera podría recibir una comunicación que menciona a un proveedor real o un proceso habitual de pagos.
Smishing
El smishing utiliza mensajes de texto o servicios de mensajería para intentar engañar al usuario.
Puede incluir enlaces hacia páginas fraudulentas, alertas falsas o mensajes que solicitan información.
El hecho de utilizar un teléfono móvil puede dificultar algunas verificaciones, como revisar con detalle la dirección completa de un enlace antes de abrirlo.
Vishing
El vishing utiliza llamadas telefónicas o comunicaciones de voz.
El atacante puede hacerse pasar por un banco, proveedor tecnológico, cliente, directivo o integrante de otra organización para solicitar información o conseguir que la persona realice determinada acción.
NIST señala que el phishing no se limita al correo electrónico y puede presentarse también mediante mensajes de texto, llamadas, redes sociales y otros canales.
Suplantación de directivos o proveedores
En el ámbito empresarial, un atacante puede intentar hacerse pasar por una persona con autoridad o por un tercero con el que la organización mantiene una relación comercial.
Un mensaje puede solicitar:
- Modificar una cuenta bancaria.
- Realizar un pago urgente.
- Compartir información confidencial.
- Aprobar una transferencia.
- Enviar documentos.
- Cambiar credenciales.
En estos casos, conocer el contexto de la empresa hace que el intento pueda resultar especialmente convincente.
Cómo identificar un intento de phishing
No existe una única señal que permita detectar todos los ataques. La mejor estrategia consiste en observar varias características y detenerse cuando una comunicación exige una acción poco habitual.
Mensajes que generan urgencia o presión
La urgencia es una técnica frecuente.
Frases como:
- “Su cuenta será suspendida”.
- “Debe realizar el pago inmediatamente”.
- “Necesito esta información antes de terminar la reunión”.
- “Confirme sus datos ahora”.
Buscan que el usuario actúe antes de verificar.
NIST recomienda detenerse ante solicitudes urgentes y comprobarlas mediante información de contacto conocida, no utilizando directamente los datos incluidos en el mensaje sospechoso.
Direcciones de correo y dominios sospechosos
Un correo puede mostrar un nombre conocido mientras la dirección real pertenece a otro dominio.
Conviene revisar:
- Cambios mínimos en el nombre del dominio.
- Letras sustituidas.
- Extensiones inesperadas.
- Direcciones personales utilizadas para comunicaciones corporativas.
- Dominios diferentes a los habituales.
Un mensaje visualmente correcto no garantiza que el remitente sea legítimo.
Enlaces y archivos adjuntos inesperados
Los enlaces deberían revisarse antes de abrirlos, especialmente cuando el mensaje no era esperado. Lo mismo ocurre con archivos adjuntos. Se recomienda tener precaución incluso cuando el mensaje parece proceder de un origen reconocido si la comunicación es inesperada.
Solicitudes de credenciales o información confidencial
Una alerta importante aparece cuando un mensaje solicita:
- Contraseñas.
- Códigos de autenticación.
- Información bancaria.
- Datos personales.
- Información confidencial del negocio.
Las organizaciones deberían definir claramente qué información nunca debe solicitarse por determinados canales. Esto permite que el empleado tenga un criterio sencillo para reconocer situaciones anómalas.
Qué puede ocurrir si un empleado cae en un ataque de phishing
El impacto depende del objetivo del atacante y de los permisos disponibles en la cuenta comprometida.
Un incidente puede provocar desde el robo de una única contraseña hasta consecuencias más amplias.
Entre ellas:
- Acceso no autorizado a correo corporativo.
- Robo de información.
- Suplantación de empleados.
- Fraude financiero.
- Distribución de nuevos mensajes de phishing desde cuentas legítimas.
- Instalación de malware.
- Compromiso de otros sistemas.
- Uso de información interna para ataques posteriores.
Por ejemplo, una cuenta de correo comprometida puede utilizarse para estudiar cómo se comunica una empresa con sus proveedores y posteriormente enviar solicitudes fraudulentas mucho más creíbles.
Cómo prevenir ataques de phishing en una empresa
La prevención funciona mejor cuando combina personas, procedimientos y controles tecnológicos. Confiar exclusivamente en que los empleados “sean cuidadosos” deja demasiado peso en una sola barrera de defensa.
Capacitar continuamente a los empleados
La formación debe enseñar a reconocer situaciones reales, no limitarse a una presentación anual.
Los empleados necesitan saber:
- Qué señales observar.
- Cómo verificar solicitudes.
- A quién reportar un mensaje sospechoso.
- Qué hacer si ya hicieron clic.
- Por qué determinadas solicitudes requieren un segundo nivel de validación.
NIST incluye la capacitación y el reporte de incidentes entre las principales medidas que una organización puede utilizar para reducir el riesgo de phishing.
Realizar simulaciones de phishing
Las simulaciones permiten evaluar cómo reaccionan los equipos ante mensajes diseñados para parecer reales sin esperar a que ocurra un incidente auténtico. Su utilidad no debería reducirse a medir cuántas personas hicieron clic. También pueden ayudar a identificar:
- Tipos de mensajes que generan mayor dificultad.
- Áreas que requieren formación adicional.
- Problemas en los canales de reporte.
- Cambios en el comportamiento a lo largo del tiempo.
NIST incluso dispone de una metodología denominada Phish Scale para evaluar la dificultad humana de detección de correos utilizados dentro de programas de concientización y simulación.
Dentro de su servicio de ciberseguridad, C&C Services contempla acompañamiento relacionado con capacitación y simulaciones de phishing para fortalecer la capacidad de respuesta de las organizaciones.
Implementar autenticación multifactor
La autenticación multifactor añade una barrera adicional cuando una contraseña ha sido comprometida. Sin embargo, no todos los métodos ofrecen el mismo nivel de protección. CISA recomienda que las organizaciones avancen, cuando sea posible, hacia mecanismos de autenticación resistentes al phishing y señala FIDO/WebAuthn como una de las tecnologías disponibles para este propósito.
La prioridad debería estar especialmente en:
- Cuentas administrativas.
- Correo corporativo.
- Accesos remotos.
- Sistemas con información sensible.
- Usuarios con permisos elevados.
Definir protocolos para validar solicitudes sensibles
La tecnología no puede resolver todos los escenarios.
Una empresa debería definir procedimientos específicos para situaciones como:
- Cambios de cuentas bancarias.
- Transferencias de dinero.
- Modificaciones de datos de proveedores.
- Solicitudes de credenciales.
- Entrega de información confidencial.
Una regla sencilla puede ser exigir verificación mediante un segundo canal previamente conocido. Si llega por correo una solicitud excepcional de un proveedor, por ejemplo, el equipo puede confirmar directamente con el contacto registrado antes de realizar el cambio.
Mantener controles tecnológicos de seguridad
Los controles de correo electrónico pueden ayudar a bloquear una parte importante de los mensajes maliciosos antes de que lleguen al usuario.
Entre las medidas disponibles se encuentran:
- Filtros antispam y antiphishing.
- Protección contra malware.
- Tecnologías de autenticación del correo.
- Actualización periódica de software.
- Monitoreo.
- Controles de acceso.
NIST recomienda combinar formación con filtros de correo, protección antimalware y mecanismos que permitan verificar el origen de los mensajes.
La prevención efectiva no depende de una única herramienta, sino de varias capas que reduzcan progresivamente la probabilidad de éxito del ataque.
Qué hacer si un empleado detecta o cae en un ataque de phishing
Detectar rápidamente un incidente puede reducir su impacto. Si un empleado recibe un mensaje sospechoso, debería evitar interactuar con él y utilizar el procedimiento interno de reporte definido por la organización. En Colombia, COLCERT dispone además de mecanismos específicos para reportar mensajes y URLs relacionados con phishing.
Si la persona ya hizo clic, introdujo credenciales o entregó información, la prioridad cambia.
La empresa debería:
- Reportar inmediatamente el incidente al equipo responsable.
- Identificar qué información fue entregada.
- Cambiar las credenciales comprometidas.
- Revisar accesos y actividad sospechosa.
- Revocar sesiones activas cuando corresponda.
- Verificar que la autenticación multifactor esté habilitada.
- Evaluar si otros sistemas o cuentas pueden haber sido afectados.
- Preservar la información necesaria para investigar el incidente.
Se recomienda cambiar de inmediato las contraseñas afectadas, verificar la autenticación multifactor e informar al área tecnológica de la organización cuando el incidente involucra una cuenta corporativa.
Una cultura que castiga automáticamente a quien reporta un error puede provocar que los incidentes se oculten durante más tiempo. Para reducir el impacto, es más útil que los empleados sepan exactamente dónde reportar y que puedan hacerlo rápidamente.
La prevención del phishing requiere tecnología y comportamiento humano
El phishing demuestra por qué la ciberseguridad no puede abordarse únicamente como un problema tecnológico. Incluso una infraestructura robusta puede verse comprometida cuando un atacante consigue engañar a una persona con acceso legítimo.
Por eso, una estrategia empresarial debería combinar:
- Capacitación.
- Simulaciones.
- Protocolos internos.
- Controles de identidad.
- Seguridad del correo.
- Monitoreo.
- Respuesta a incidentes.
El objetivo no es esperar que ningún empleado cometa jamás un error. El objetivo es crear suficientes capas de prevención y respuesta para que un error individual no se convierta automáticamente en un incidente grave.
Las organizaciones que quieran evaluar estas capas pueden revisar cómo C&C Services aborda la identificación, prevención y mitigación de riesgos de ciberseguridad, incluyendo servicios de evaluación, capacitación y simulación adaptados a las necesidades de cada operación.
Preguntas frecuentes sobre phishing
¿Cuál es la diferencia entre phishing, smishing y vishing?
Phishing es el término general utilizado para describir intentos de engaño orientados a obtener información o provocar acciones maliciosas. El smishing utiliza principalmente mensajes de texto o mensajería móvil, mientras que el vishing se realiza mediante llamadas o comunicaciones de voz.
¿Cómo saber si un correo es phishing?
Algunas señales frecuentes son la urgencia injustificada, direcciones de correo sospechosas, enlaces inesperados, solicitudes de credenciales, archivos no solicitados y peticiones que se apartan de los procedimientos habituales de la empresa. Ninguna señal aislada confirma necesariamente un ataque, por lo que ante una duda conviene verificar la solicitud mediante un canal independiente.
¿Qué debe hacer una empresa después de un ataque de phishing?
Debe identificar rápidamente qué información o cuentas fueron comprometidas, cambiar credenciales, revisar accesos, activar o verificar MFA, analizar posibles movimientos posteriores y seguir su procedimiento de respuesta a incidentes. Si el ataque afectó datos, sistemas o terceros, pueden existir además obligaciones adicionales que deberán evaluarse según el caso.
¿Las simulaciones de phishing realmente ayudan a prevenir ataques?
Pueden ser útiles cuando forman parte de un programa continuo de concientización y se utilizan para identificar dificultades reales, mejorar los mecanismos de reporte y orientar la capacitación. NIST reconoce las simulaciones como parte de los programas de formación frente al phishing y ha desarrollado metodologías específicas para evaluar su dificultad.
Redes sociales
¿Qué es el phishing y cómo prevenirlo?