El phishing sigue siendo, año tras año, la puerta de entrada más habitual para los ciberataques a empresas. No hace falta una vulnerabilidad técnica compleja: basta con que una sola persona haga clic en el lugar y momento equivocado.
Conocer sus variantes y aprender a reconocerlas es, en la práctica, una de las inversiones más rentables en seguridad que puede hacer cualquier empresa, sin importar su tamaño.
¿Qué es el phishing?
Es una técnica de engaño en la que el atacante se hace pasar por una entidad de confianza (un banco, un proveedor, un compañero de trabajo, incluso el propio jefe) para conseguir que la víctima revele información sensible, haga clic en un enlace malicioso o descargue un archivo infectado.
No todos los intentos se parecen: varían tanto en el canal que usan como en el grado de personalización del ataque. Estos son los más habituales por canal:
- Phishing por correo electrónico: El canal más habitual. Correos que imitan comunicaciones legítimas (facturas, notificaciones de envío, alertas de seguridad) para robar credenciales o instalar malware.
- Smishing y vishing: La misma técnica, pero por SMS (smishing) o llamada telefónica (vishing). Cada vez más frecuente combinada con otras técnicas, como una llamada que refuerza la credibilidad de un correo previo.
Además del canal, el nivel de personalización marca grandes diferencias. Estas son las variantes dirigidas más peligrosas para una empresa u organización:
Spear phishing
Una versión dirigida y personalizada, donde el atacante investiga previamente a la víctima (su cargo, sus contactos, su forma de comunicarse) para hacer el engaño mucho más creíble. A diferencia del phishing masivo, aquí cada mensaje está pensado para una persona concreta, lo que dispara notablemente su tasa de éxito.
Whaling
Spear phishing dirigido específicamente a directivos o responsables con capacidad de decisión o acceso a información sensible. El objetivo suele ser conseguir una transferencia económica, credenciales de alto privilegio o información estratégica de la empresa, y por eso el atacante invierte más tiempo en preparar el engaño.
Fraude del CEO (BEC)
El atacante suplanta a un directivo, normalmente por correo, para pedir una transferencia urgente o datos confidenciales a alguien del equipo financiero o administrativo. Suele apoyarse en la jerarquía y la urgencia para evitar que la víctima verifique la petición antes de actuar.
Cómo reconocer un intento de phishing
Aunque las técnicas evolucionan, ciertos patrones se repiten en la inmensa mayoría de los casos.
- Urgencia artificial: «actúa ahora o perderás el acceso»
- Remitente que imita, pero no coincide exactamente, con un dominio conocido
- Enlaces que, al pasar el cursor por encima, llevan a una URL distinta a la que muestran
- Solicitudes inusuales de datos, pagos o accesos, especialmente si saltan el procedimiento habitual
- Errores de redacción o un tono que no encaja con quien dice ser el remitente
Cómo proteger a tu empresa frente al phishing
La protección efectiva combina tecnología, procesos y, sobre todo, personas formadas para dudar cuando algo no encaja:
- Formación continua del equipo: No basta con una charla puntual. La formación en detección de phishing funciona mejor cuando es recurrente y se refuerza con simulacros periódicos.
- Autenticación en dos factores (2FA): Aunque el atacante consiga una contraseña mediante phishing, el 2FA añade una barrera adicional que bloquea la mayoría de los accesos no autorizados.
- Filtros de correo avanzados: Soluciones que analizan remitente, contenido y enlaces antes de que el correo llegue a la bandeja de entrada, reduciendo drásticamente el volumen de intentos que llegan al usuario final.
- Verificación de solicitudes sensibles: Para pagos, cambios de datos bancarios o solicitudes urgentes de un directivo, establecer un canal de verificación alternativo (una llamada, por ejemplo) antes de actuar.
- Protocolo claro ante sospechas: El equipo debe saber a quién avisar si recibe algo sospechoso, sin miedo a «molestar» por una falsa alarma. Cuanto antes se reporte, antes se puede actuar.
El phishing como puerta de entrada a otras amenazas
El phishing rara vez es el ataque final: suele ser el primer paso hacia un ransomware o el robo de credenciales para acceder a sistemas internos. Por eso protegerse frente al phishing es, en la práctica, proteger a la empresa frente a buena parte del resto de amenazas.
