Ataques de phishing - Cómo reconocerlos y evitarlos

Lectura de 2 min aprox.

El phishing es una técnica de ciberataque que utiliza sitios web y correos electrónicos falsos que se hacen pasar por servicios o empresas legítimos para engañar a los usuarios y obtener sus contraseñas, números de tarjeta de crédito e información personal. La palabra es una alteración de «fishing» (pesca), y la grafía «ph» se explica por la costumbre de la cultura hacker de los años noventa de cambiar la «f» por «ph» (como en phreaking). En el informe anual de 2024 publicado por el IC3 (Centro de Denuncias de Delitos en Internet) del FBI, el phishing y la suplantación reunieron 193.407 denuncias, la cifra más alta de todos los tipos de delito. Ese mismo informe registra además que en diciembre de 2024 se emitió un aviso sobre delincuentes que usan IA generativa para facilitar fraudes financieros.

Antecedentes históricos

Los orígenes del phishing se remontan a AOL (America Online) a mediados de la década de 1990. La técnica de atacantes que se hacían pasar por personal de AOL para extraer las contraseñas de los usuarios se considera uno de los primeros casos. En la década de 2000, el phishing dirigido a la banca en línea se disparó, y a partir de la década de 2010 los ataques contra servicios en la nube y cuentas de redes sociales se volvieron predominantes. Desde mediados de la década de 2020, el abuso de la IA generativa ha facilitado la creación de correos de phishing gramaticalmente impecables, dejando ineficaz el método tradicional de detectar el «lenguaje poco natural».

Tipos de phishing y comparación

El phishing común apunta de forma indiscriminada al público general, pero también existen variantes más avanzadas. El spear phishing es un ataque dirigido contra una persona u organización concreta, que envía correos de gran credibilidad tras investigar de antemano la información del destinatario. El whaling es una forma de spear phishing que apunta a los altos directivos (como el CEO o el CFO) y debe su nombre a la idea de ir tras la «ballena» (whale). El smishing es phishing realizado mediante SMS, y el vishing es una técnica que usa llamadas telefónicas. La precisión del ataque y el daño económico tienden a aumentar en el orden phishing común → spear phishing → whaling.

Casos de uso reales

En una empresa, los primeros en ser señalados suelen ser quienes trabajan en contabilidad o administración, para quienes las facturas y las solicitudes de pago son rutina. El patrón típico es un archivo adjunto o un enlace disfrazado de factura que llega desde un remitente cuyo dominio difiere en un solo carácter del de la empresa real. El texto se lee con naturalidad y los importes y nombres suelen ser reales, así que fiarse solo de la sensación de que «algo no cuadra» es poco seguro. El paso práctico para quien lo recibe es reenviar el mensaje al canal interno de notificación antes de abrir cualquier adjunto o enlace, en lugar de decidir por su cuenta. Da por hecho que el mismo correo llegó a varios compañeros y compártelo en el departamento; si ya se abrió, desconecta el dispositivo de la red y después cambia la contraseña de esa cuenta y revoca sus sesiones.

Flujo del ataque

Cómo detectarlo

Para detectar un correo de phishing, es importante revisar el dominio de la dirección del remitente. A menudo se usan direcciones que difieren sutilmente del dominio legítimo (por ejemplo, amaz0n.com). Además, los textos que generan sensación de urgencia, como «su cuenta será suspendida» o «responda en un plazo de 24 horas», son un rasgo típico del phishing. Comprueba siempre la URL de destino antes de hacer clic y asegúrate de que sea el dominio legítimo.

Contramedidas y trampas en la práctica

Un error común en el ámbito de la seguridad es el exceso de confianza de pensar «a mí no me engañan». La ingeniería social no explota la falta de conocimientos, sino el contexto: las prisas o una petición que llega de un superior. Por eso, incluso quien conoce el mecanismo cae cuando se dan las condiciones. Si se realizan simulacros de phishing en una organización, preparar antes un canal donde quien haya hecho clic pueda informar sin dudarlo evita más daño real que perseguir como objetivo una caída en las tasas de clic. Al usar una contraseña aleatoria y distinta para cada servicio, aunque seas víctima de phishing en un servicio, puedes evitar que el daño se extienda a los demás. Configurar la autenticación de dos factores es también una contramedida eficaz.