Spear phishing - Tácticas de ataque por correo dirigido

Lectura de 2 min aprox.

El spear phishing es un ataque de phishing dirigido contra una persona u organización concreta. A diferencia del phishing común enviado a numerosos destinatarios sin distinción, el atacante investiga de antemano la información personal del objetivo, la organización a la que pertenece y sus funciones laborales, y luego envía un correo personalizado muy convincente. Su tasa de éxito es alta y se utiliza con frecuencia como puerta de entrada para infiltrarse en las empresas.

Caso de uso real

«Cuando abrí el PDF adjunto a un correo que suplantaba a un contacto de una empresa asociada, se ejecutó malware y permitió una intrusión en nuestra red interna. La dirección de correo se diferenciaba de la legítima en un solo carácter, así que no me di cuenta.»

El flujo de un ataque dirigido

Características del spear phishing

Los atacantes recopilan información sobre el objetivo a partir de redes sociales y sitios web, y luego elaboran correos que suplantan a un compañero o socio comercial. Con contenido relacionado con el trabajo, como «Aquí están los materiales de la reunión del otro día» o «Le envío la versión revisada del contrato», engañan al destinatario para que abra un adjunto o un enlace. La dirección de correo también utiliza un dominio que se parece mucho al legítimo. Según estudios de empresas de seguridad, el 91 % de los ataques dirigidos comienzan con un correo de spear phishing. Entre 2024 y 2025 han aumentado los correos de spear phishing avanzados que imitan el estilo de escritura del objetivo, lo que dificulta su detección únicamente mediante la inspección visual tradicional.libros sobre defensa contra el spear phishing (Amazon) le ayudarán a conocer las técnicas y las medidas de defensa.

La diferencia con el phishing y el whaling

El phishing común apunta a numerosos destinatarios sin distinción, como un «correo masivo que suplanta a un banco»; aunque su tasa de éxito es baja, el envío masivo sigue produciendo víctimas. El spear phishing se centra en una persona u organización concreta y eleva su tasa de éxito mediante la personalización basada en una investigación previa. El whaling es una forma de spear phishing que tiene como objetivo a directivos y personas con alta autoridad de aprobación, con el fin de dar instrucciones directas de transferencia de dinero o robar información confidencial. La precisión del ataque y el importe del daño aumentan en el orden phishing < spear phishing < whaling.

Medidas de defensa

Es importante adquirir el hábito de no abrir a la ligera los adjuntos o enlaces de correos sospechosos y de verificar con el remitente a través de otro canal. Si utiliza una contraseña fuerte y única para cada servicio y configura la autenticación de dos factores, podrá reducir el daño al mínimo aunque le roben las credenciales. En el caso de las empresas, resulta eficaz adoptar tecnologías de autenticación de correo como DMARC, SPF y DKIM, junto con simulacros periódicos de phishing. Practique también la protección de su cuenta de correo.libros de introducción a la seguridad del correo (Amazon) también son una referencia útil.