¿Qué es el phishing?

En el mundo cada vez más digital de hoy en día, gran parte de lo que hacemos -ya sea por negocios o por placer- se lleva a cabo en línea. Este auge de la actividad en línea ha dado lugar a una explosión masiva de la ciberdelincuencia.

La ciberdelincuencia se ha convertido en una poderosa herramienta para los delincuentes que buscan robar nuestros datos personales y extorsionarnos. La velocidad, el anonimato y la comodidad de Internet han permitido a los delincuentes lanzar ataques muy selectivos con muy poco esfuerzo.

Según el informe Cifas/Global Anti-Scam Alliance de 2025 para el Reino Unido, las estafas y fraudes contra los consumidores alcanzaron unos 9.400 millones de libras en los últimos 12 meses.

El más exitoso y peligroso de todos los ciberataques es el phishing. Las investigaciones han descubierto que el 91% de todos los ciberataques comienzan con un correo electrónico de phishing.

El phishing sigue siendo la forma más común de ciberataque debido a su sencillez, eficacia y alto retorno de la inversión. Ha evolucionado desde sus primeros días de engañar a la gente con cuentos de príncipes nigerianos o peticiones urgentes de ayuda médica. Los ataques de phishing que tienen lugar hoy en día son sofisticados, muy selectivos y cada vez más difíciles de detectar.

Tipos de ataques de phishing

Los ataques de suplantación de identidad se presentan en muchas formas diferentes, pero el hilo conductor de todos ellos es su explotación del comportamiento humano. Los siguientes ejemplos son las formas de ataque más utilizadas.

El spear-phishing es un intento más selectivo de robar información sensible y suele centrarse en un individuo u organización concretos. Estos tipos de ataque utilizan información personal sobre la víctima para aparentar legitimidad. Los ciberdelincuentes suelen recurrir a las redes sociales y a los sitios web de las empresas para investigar a sus objetivos. Una vez que han reunido suficiente información, comienzan a enviar correos electrónicos personalizados que contienen enlaces maliciosos. Al hacer clic, estos enlaces pueden infectar un ordenador con malware, dando al atacante acceso a datos o sistemas confidenciales.
El vishing se refiere a las estafas de phishing que tienen lugar por teléfono. Implica la mayor interacción humana de todos los ataques de phishing, pero sigue el mismo patrón de engaño. Los estafadores suelen crear una sensación de urgencia para persuadir a las víctimas de que divulguen información sensible. Las llamadas se realizan con frecuencia utilizando un identificador de llamada falsificado, lo que hace que parezcan proceder de una fuente de confianza. Un escenario típico podría implicar que el estafador se haga pasar por un empleado del banco, afirmando haber detectado actividad sospechosa en la cuenta de la víctima. Una vez que se han ganado la confianza de la víctima, le piden información personal como datos de acceso, contraseñas y PIN. Estos datos pueden utilizarse después para vaciar cuentas bancarias o cometer un fraude de identidad.
El "whaling" difiere de otros tipos de "phishing" en la elección del objetivo de alto nivel. Un ataque de whaling es un intento de robar información sensible y suele dirigirse a altos directivos o ejecutivos. Los correos electrónicos de phishing son mucho más sofisticados que los correos electrónicos de phishing estándar y mucho más difíciles de detectar. A menudo contienen información personalizada sobre el objetivo o la organización, y el lenguaje utilizado tiene un tono más corporativo. Los ciberdelincuentes dedican mucho esfuerzo y reflexión a la elaboración de estos correos electrónicos debido a la recompensa potencialmente elevada que obtienen.
El smishing es un tipo de phishing que utiliza mensajes SMS en lugar de correos electrónicos para dirigirse a las personas. Es un método eficaz para que los ciberdelincuentes engañen a las personas para que divulguen información personal como datos de cuentas, números de tarjetas de crédito o nombres de usuario y contraseñas. Normalmente, el estafador envía un mensaje de texto al teléfono de la víctima, que a menudo incluye una llamada a la acción que exige una respuesta inmediata.
El phishing de clonación se produce cuando se utiliza un correo electrónico legítimo, previamente entregado, para crear un mensaje idéntico con contenido malicioso. El correo electrónico clonado parece proceder del remitente original, pero contiene enlaces o archivos adjuntos actualizados diseñados para instalar malware o robar información confidencial.

Cómo el phishing puede dañar su negocio

Los ataques contra las empresas casi se han duplicado en los últimos años, y el impacto de un ataque de phishing puede ser devastador. Incluso con sistemas de seguridad sólidos, los ciberdelincuentes suelen aprovecharse del eslabón más débil: los empleados. Un solo error humano puede provocar la pérdida de datos sensibles, y las secuelas pueden dañar la confianza de los clientes y la reputación de una empresa.

Robo de identidad

Robo de datos sensibles

Robo de información de clientes

Pérdida de nombres de usuario y contraseñas

Pérdida de propiedad intelectual

Robo de fondos de cuentas de empresas y clientes

Daños a la reputación

Transacciones no autorizadas

Fraude con tarjetas de crédito

Instalación de malware y ransomware

Acceso a los sistemas para lanzar futuros ataques

Datos vendidos a terceros criminales

Formación ciberseguridad para el sector tech | MetaCompliance

Cómo detectar los ataques de phishing

Identificar los correos electrónicos de phishing se ha vuelto mucho más difícil a medida que los delincuentes se han vuelto más sofisticados. Los correos electrónicos actuales suelen estar bien escritos, personalizados y utilizan los logotipos y el lenguaje de marcas de confianza, lo que hace difícil distinguirlos de los mensajes legítimos. A pesar de ello, todavía existen algunas señales de advertencia que pueden ayudarnos a alertarnos de un intento de phishing.

Por quéImaPhishingTarget 1024

Consejos para identificar las estafas de phishing

Identificar un correo electrónico de phishing se ha vuelto mucho más difícil que antes, ya que los delincuentes han perfeccionado sus habilidades y se han vuelto más sofisticados en sus métodos de ataque. Los correos electrónicos de phishing que recibimos en nuestra bandeja de entrada están cada vez mejor redactados, son personalizados, contienen los logotipos y el lenguaje de marcas que conocemos y en las que confiamos y están elaborados de tal forma que resulta difícil distinguir entre un correo electrónico oficial y un correo electrónico dudoso redactado por un estafador.

McAfee calcula que el 97% de las personas de todo el mundo son incapaces de identificar un sofisticado correo electrónico de phishing, por lo que los ciberdelincuentes siguen consiguiendo engañar a la gente para que facilite información personal o descargue programas maliciosos. A pesar de la creciente sofisticación y de la naturaleza convincente de estos correos electrónicos, todavía existen algunas señales que pueden alertarnos de la presencia de un correo electrónico de phishing.

Una URL no coincidente

Una de las primeras cosas que hay que comprobar en un correo electrónico sospechoso es la validez de una URL. Si pasa el ratón por encima del enlace sin hacer clic en él, debería ver aparecer la dirección completa del hipervínculo. A pesar de parecer perfectamente legítima, si la URL no coincide con la dirección mostrada, es un indicio de que el mensaje es fraudulento y probablemente se trate de un correo electrónico de phishing.

Cómo protegerse contra los ataques de phishing

1. Evite hacer clic en enlaces sospechosos

Las estafas de phishing suelen engañar a la gente para que abra correos electrónicos o haga clic en enlaces que parecen proceder de fuentes legítimas. Estos enlaces pueden dirigirle a sitios web falsos que roban información personal o infectan su ordenador con malware. Las empresas legítimas nunca le pedirán que introduzca o actualice información confidencial por correo electrónico.

2. Educar al personal

Incluso los sistemas de seguridad más sólidos son vulnerables si los empleados proporcionan información a los ciberdelincuentes sin saberlo. Una formación regular ayuda al personal a reconocer los intentos de phishing y a comprender su papel en la prevención de los ataques. Las pruebas de phishing simuladas también pueden reforzar la concienciación y fortalecer su primera línea de defensa.

3. Tenga cuidado con lo que comparte en Internet

Las redes sociales y los perfiles públicos proporcionan a los ciberdelincuentes información para elaborar ataques de phishing muy selectivos. Limite los datos personales que comparte, utilice la configuración de privacidad, restrinja el acceso a usuarios desconocidos y utilice contraseñas seguras para reducir el riesgo.

4. Verificar la seguridad del sitio web

Antes de introducir información personal, compruebe que un sitio web es seguro. Busque las direcciones URL que empiecen por «https» y el icono de un candado en la barra de direcciones. Esto indica que el sitio utiliza el cifrado SSL, que mantiene sus datos seguros.

5. Instale y actualice el software antivirus

Los programas antivirus ayudan a detectar amenazas y a bloquear accesos no autorizados. Mantenga sus programas actualizados para protegerse de las vulnerabilidades de las versiones de software más antiguas.

Actúe: Para reforzar las defensas de su organización y formar eficazmente al personal, explore el software MetaCompliance Advanced Phishing Simulation, que proporciona simulaciones realistas de phishing y ransomware para salvaguardar su empresa.

Preguntas frecuentes: La guía definitiva sobre el phishing

¿Qué es el phishing?

El phishing es un ciberataque en el que los delincuentes intentan robar información personal o instalar programas maliciosos, a menudo utilizando correos electrónicos, mensajes de texto o llamadas telefónicas que parecen legítimos.