¿Qué es el phishing? Cómo reconocer un ataque antes de que sea demasiado tarde

Hacker promoviendo ataques de phishing en ordenadores

El phishing es una de las formas más comunes en que los ciberdelincuentes obtienen acceso a cuentas y datos personales. Se basa en técnicas engañosas más que en habilidad técnica o hacking.

Los atacantes se hacen pasar por organizaciones o personas de confianza y presionan a las víctimas para que hagan clic en enlaces, descarguen archivos dañinos o introduzcan información sensible.

Aprender cómo funciona el phishing (y cómo detectar estafas de phishing) puede evitar que la suplantación de cuentas o el robo de identidad afecten su vida y sus finanzas.

Lo que debe saber:

El phishing es una categoría de estafas que suplantan fuentes de confianza para engañar a las personas y que compartan información sensible o instalen malware
El correo electrónico, los mensajes de texto, las llamadas telefónicas y las redes sociales son métodos habituales de distribución de ataques de phishing
La mayoría de los ciberataques comienzan con el phishing. Es un punto de entrada principal para filtraciones de datos y usurpación de cuentas
La urgencia y el miedo son tácticas clave, como advertencias sobre la suspensión de cuentas o facturas impagadas
Hábitos sencillos como verificar enlaces y habilitar la autenticación multifactor (MFA) pueden reducir significativamente el riesgo

¿Qué es el phishing?

El phishing es un tipo de ciberataque en el que los delincuentes se hacen pasar por una persona u organización de confianza para engañar a los usuarios y que revelen información sensible o instalen software malicioso.

El objetivo suele ser robar credenciales de acceso o datos personales, pero el phishing también puede usarse para distribuir malware o acceder a cuentas. Estos ataques suelen llegar como correos electrónicos o mensajes que a primera vista parecen legítimos, pero están diseñados para engañar al destinatario.

Como el phishing se dirige al comportamiento humano, sigue siendo una de las formas más comunes en que los atacantes obtienen acceso inicial a cuentas, dispositivos o sistemas. Los atacantes intentan acceder mediante un único mensaje de phishing y luego avanzar dentro de cuentas o sistemas para robar datos o cometer fraudes.

El phishing está ampliamente considerado como el tipo de ciberdelito más común. El FBI’s Internet Crime Report muestra que se denunciaron el doble de ataques de phishing y suplantación que cualquier otro tipo de estafa.

¿Cómo funciona el phishing?

El phishing funciona haciendo que una petición falsa parezca real antes de guiar a la víctima hacia una acción que da al atacante acceso a dinero o información personal valiosa.

Un ataque de phishing típico sigue este patrón:

Suplantación. El atacante se hace pasar por una fuente de confianza. Esto puede ser un banco o un empleador.
Contacto. El mensaje llega por correo electrónico u otro canal y a menudo utiliza imagen de marca familiar o detalles de remitente falsificados.
Interacción. Se pide a la víctima que haga clic en un enlace, abra un adjunto, responda con información o inicie sesión a través de un sitio web falso.
Captura de datos. La página o el archivo falso puede recopilar contraseñas y otra información sensible.
Uso indebido. El atacante utiliza esa información para un ataque. Esto puede materializarse en la usurpación de cuentas o el robo de identidad.

El peligro es que el phishing a menudo parece legítimo. Una página de inicio de sesión falsa puede parecer casi idéntica a la real. Un correo suplantado puede usar el mismo logotipo y tono que una marca que conoce. Por eso la apariencia visual por sí sola no es suficiente para determinar si un mensaje es seguro.

¿Por qué tienen éxito los ataques de phishing?

El phishing tiene éxito porque se dirige al comportamiento humano. Los atacantes saben qué hace que las personas actúen. Confían en la presión o en generar confianza que luego pueden abusar.

Advertencias urgentes sobre el cierre de una cuenta, facturas impagadas, inicios de sesión sospechosos o repartos no entregados están diseñadas para reducir el pensamiento cuidadoso. La autoridad también juega un papel. Un mensaje que parece provenir de un banco o una agencia gubernamental puede resultar más difícil de cuestionar.

Incluso las personas con conocimientos técnicos pueden verse afectadas. Esto es especialmente cierto cuando están distraídas o reciben un mensaje que parece personal. El phishing funciona cuando crea un momento en el que reaccionar parece más fácil que verificar o tomarse tiempo para comprobar.

¿Qué tipos de ataques de phishing existen?

Los ataques de phishing pueden agruparse según cómo se entrega el mensaje y cuán preciso es el objetivo. Algunos ataques son campañas masivas enviadas a miles de personas a la vez, mientras que otros están cuidadosamente dirigidos a un individuo u organización específica.

Comprender estas categorías ayuda a los usuarios a reconocer las amenazas rápidamente y a responder de forma adecuada, independientemente del canal utilizado.

¿Cuáles son los ataques de phishing más comunes?

Estos ataques se basan en canales de comunicación ampliamente usados y suelen distribuirse en gran número.

Phishing por correo electrónico usa mensajes masivos que suplantan marcas o servicios de confianza para recopilar credenciales de acceso o datos personales
Smishing usa mensajes de texto (SMS) para incitar a los destinatarios a hacer clic en enlaces, llamar a números o compartir información sensible
Vishing usa llamadas telefónicas o mensajes de voz donde los atacantes suplantan a personal de soporte, bancos o agencias gubernamentales
Quishing usa códigos QR maliciosos que redirigen a los usuarios a sitios web fraudulentos o desencadenan descargas inseguras

Estos métodos son comunes porque son fáciles de escalar y alcanzar grandes audiencias rápidamente.

¿Qué son los ataques de phishing avanzados?

Los ataques de phishing avanzados se centran en objetivos específicos o usan técnicas más sofisticadas para aumentar la credibilidad y eludir las defensas básicas.

Spear phishing apunta a una persona o grupo particular usando información personalizada
Whaling apunta a altos directivos o responsables de toma de decisiones que tienen acceso a datos sensibles o autoridad financiera
Business Email Compromise (BEC) implica suplantar contactos comerciales de confianza para solicitar pagos o información sensible
El phishing por clonación copia mensajes legítimos y reemplaza enlaces o adjuntos por versiones maliciosas
Pharming redirige a los usuarios a sitios web fraudulentos manipulando configuraciones técnicas como dominios o configuraciones de red

¿Cómo es un mensaje de phishing?

Un mensaje de phishing a menudo parece un correo electrónico legítimo, un mensaje de texto, una solicitud del trabajo o una alerta de cuenta diseñada para convencer al destinatario de que la comunicación es real.

Muchos mensajes de phishing imitan estrechamente a marcas de confianza, pero peticiones inusuales, adjuntos inesperados o enlaces a dominios desconocidos pueden seguir señalando fraude.

Estos son escenarios comunes que los usuarios pueden encontrarse en la vida real:

Una notificación de entrega afirma que no se pudo entregar un paquete y le pide que haga clic en un enlace para confirmar su dirección.
Una alerta bancaria advierte de actividad sospechosa y le indica que inicie sesión de inmediato para proteger su cuenta.
Un mensaje del trabajo parece provenir de un responsable que solicita un pago o documento urgente.
Un correo de restablecimiento de contraseña llega inesperadamente, pidiéndole que verifique su cuenta mediante un enlace proporcionado.
Un mensaje de texto de un proveedor de servicios dice que su cuenta será suspendida a menos que confirme los datos de facturación.
Un código QR en un cartel o correo le dirige a escanearlo para reclamar un descuento o actualizar la información de su cuenta.

Estos mensajes a menudo parecen normales porque copian patrones de comunicación reales que la gente ve a diario.

¿Cómo puede reconocer un intento de phishing?

Puede reconocer un intento de phishing buscando peticiones inusuales, urgencia inesperada, enlaces sospechosos o mensajes que no coincidan con el comportamiento habitual del remitente.

Use este marco de decisión:

¿Se esperaba este mensaje? Las solicitudes inesperadas de contraseñas o verificaciones son una señal de advertencia común.
¿Hay presión para actuar rápidamente? Los plazos urgentes, las amenazas o las advertencias suelen utilizarse para reducir el pensamiento cuidadoso.
¿La petición implica información sensible? Las organizaciones legítimas rara vez piden contraseñas o datos financieros por correo o texto.
¿El mensaje pide verificación, pago, credenciales de acceso o información sensible? Las solicitudes inesperadas que implican acciones sensibles son una táctica común de phishing.
¿Coincide el remitente con el contexto? Compruebe si el mensaje tiene sentido para la situación, no solo si el nombre o el logotipo parecen correctos.
¿Puede verificar la petición por otro canal? Contacte a la organización directamente utilizando los datos de contacto oficiales si algo le resulta extraño.

La respuesta más segura es detenerse y verificar antes de actuar.

¿Qué debe comprobar antes de interactuar con un mensaje?

Antes de interactuar en absoluto, repase una lista rápida de verificación para verificar.

Confirme la identidad del remitente. Compruebe que la dirección de correo, el número de teléfono o el dominio coincidan con los datos de contacto oficiales de la organización. Los pequeños cambios ortográficos o dominios inusuales son señales de advertencia habituales.
Compruebe si la URL coincide con el dominio oficial de la organización. Las conexiones seguras HTTPS y los certificados SSL cifran la comunicación, pero no garantizan que un sitio web sea legítimo.
Cuestione la urgencia inesperada. Los mensajes que exigen acción inmediata, amenazan con consecuencias o crean presión para responder rápidamente deben tratarse con precaución.
Si alguna de estas comprobaciones genera dudas, deténgase y verifique la petición a través de los canales oficiales antes de continuar.

¿Qué cosas nunca le pedirán las empresas legítimas?

Las organizaciones legítimas deben seguir prácticas de seguridad estrictas y no solicitan acciones sensibles a través de canales informales o inseguros.

Nunca le pedirán detalles sensibles (contraseña, PIN o código de seguridad completo) por correo o teléfono.
Nunca exigirán pagos o transferencias urgentes sin la verificación adecuada y los procedimientos establecidos.
Nunca le pedirán que eluda controles de seguridad como desactivar protecciones o compartir códigos de un solo uso.

Trate cualquiera de estas acciones como sospechosa y verifique la petición de forma independiente antes de responder.

¿Cómo está evolucionando el phishing?

El phishing está cambiando hacia campañas dirigidas y basadas en datos que usan información real sobre las víctimas. Los atacantes ahora combinan credenciales filtradas y herramientas automatizadas para crear mensajes que resulten más creíbles y difíciles de detectar.

La tecnología también ha cambiado la forma en que se distribuye el phishing. Los atacantes usan cada vez más múltiples canales a la vez: mensajes de texto, aplicaciones de mensajería, llamadas telefónicas, redes sociales… la lista sigue. Este enfoque aumenta las probabilidades de que una víctima responda.

La automatización juega un papel importante en esta evolución. Las operaciones modernas de phishing pueden enviar miles de mensajes personalizados en minutos. Pueden probar qué versiones tienen éxito y ajustar rápidamente las tácticas. El engaño central sigue siendo el mismo, pero las herramientas para crear y distribuir ataques de phishing son cada vez más avanzadas.

¿Cómo se utiliza AI en los ataques de phishing?

La inteligencia artificial permite a los atacantes crear mensajes más convincentes con menos esfuerzo. Las herramientas AI pueden generar un lenguaje realista y adaptar mensajes a individuos concretos utilizando información disponible públicamente.

La AI también elimina muchas de las señales de advertencia tradicionales que antes ayudaban a los usuarios a detectar estafas. Esto incluye aspectos como la mala gramática o una redacción inusual. La tecnología AI también permite a los atacantes escalar las campañas rápidamente. Pueden enviar grandes volúmenes de mensajes personalizados a través de distintas plataformas.

¿Qué nuevas técnicas de phishing están surgiendo?

El phishing se está expandiendo más allá del correo tradicional hacia ataques multicanal coordinados que persiguen a las víctimas a través de dispositivos y métodos de comunicación.

El phishing multicanal combina correo electrónico, SMS, llamadas de voz y aplicaciones de mensajería para aumentar la credibilidad y la persistencia
La suplantación mediante deepfakes usa voz o vídeo sintéticos para imitar a personas de confianza, como responsables, compañeros o familiares.
QR code phishing (quishing) usa códigos maliciosos para redirigir a los usuarios a sitios web fraudulentos o desencadenar descargas inseguras

Estas técnicas reflejan una tendencia más amplia: el phishing se vuelve más adaptativo y más difícil de reconocer usando solo señales visuales simples.

El phishing moderno requiere protección en capas, combinando un comportamiento cauto con herramientas de seguridad que puedan detectar enlaces, archivos y sitios web maliciosos.

Proteja su privacidad

Kaspersky Premium ofrece diversas herramientas diseñadas para proteger sus dispositivos de ataques de phishing, monitorizar filtraciones de datos y mantener su actividad privada.

Prueba Premium gratis

¿Qué ocurre si cae en una estafa de phishing?

El impacto de una estafa de phishing depende de qué información se compartió y de la rapidez con que actúe el atacante.

Un resultado común es la usurpación de cuentas. Los atacantes usan credenciales robadas para acceder a sus cuentas. Esto incluye correo electrónico y redes sociales, cuentas de compra o bancarias. Una vez dentro, pueden cambiar contraseñas, enviar mensajes desde la cuenta o usarla para restablecer el acceso a otros servicios.

La pérdida económica es otro resultado frecuente. Los atacantes pueden realizar compras no autorizadas o abrir cuentas nuevas con los datos robados. Incluso pequeños fragmentos de información pueden combinarse para cometer robo de identidad o fraude más adelante.

Los efectos a largo plazo pueden incluir exposición continua de la privacidad, crédito dañado e intentos repetidos de estafa. Los datos robados a menudo se reutilizan, comparten o venden, lo que significa que las víctimas pueden enfrentar riesgos meses o incluso años después del incidente inicial.

¿Qué debe hacer si recibe un mensaje de phishing?

La respuesta más segura ante un mensaje de phishing es detenerse y tratarlo con cuidado. Actuar rápidamente sin interactuar con el mensaje ayuda a reducir el riesgo de compromiso.

No haga clic en enlaces, abra adjuntos ni responda al mensaje
Si el mensaje parece dirigirse a una organización real, contacte directamente con la empresa a través de su sitio web oficial o canales de soporte.
Mantenga el mensaje disponible si necesita denunciarlo, pero evite interactuar con sus enlaces o adjuntos.
Elimine el mensaje o márcelo como spam una vez confirme que es fraudulento
Denuncie el mensaje a su proveedor de correo o al equipo de seguridad del trabajo, si procede
Bloquee al remitente

Este proceso ayuda a prevenir la interacción accidental y reduce la posibilidad de que estafas similares lleguen a otras personas.

¿Qué debe hacer si hizo clic en un enlace de phishing?

Hacer clic en un enlace de phishing no siempre significa que su dispositivo o cuentas estén comprometidos, pero sí aumenta el riesgo. La prioridad es actuar con rapidez para contener el posible daño y asegurar su información.

Su respuesta debe centrarse en bloquear cuentas y comprobar actividad no autorizada. Después podrá centrarse en reducir la probabilidad de un uso indebido adicional. Una acción temprana puede impedir que los atacantes obtengan el control de sus cuentas e información.

¿Qué debe hacer inmediatamente?

Siga estos pasos lo antes posible, comenzando por las cuentas que probablemente se hayan visto afectadas.

Cambie las contraseñas de la cuenta afectada y de cualquier otra cuenta que use las mismas o credenciales similares
Habilite la autenticación multifactor (MFA) para bloquear inicios de sesión no autorizados, incluso si las contraseñas se vieron expuestas
Contacte con su banco o proveedor de servicios si se pudieron introducir datos financieros o detalles sensibles de la cuenta

Estas acciones ayudan a asegurar el acceso rápidamente y limitar la capacidad del atacante de usar la información robada.

¿Cómo puede reducir el riesgo continuo?

La respuesta inmediata es solo una parte de la ecuación. Debe continuar monitorizando y asegurando sus dispositivos y cuentas para detectar actividad oculta o retrasada.

Ejecute un análisis de seguridad en su dispositivo para buscar malware o software no autorizado
Monitorice cuentas y extractos en busca de inicios de sesión o cambios desconocidos
Denuncie el incidente a las autoridades u organizaciones pertinentes si datos personales o financieros pueden haber sido comprometidos

La vigilancia continua es importante porque los datos robados pueden usarse días o semanas después del intento de phishing original.

¿Cómo puede prevenir ataques de phishing?

Prevenir el phishing requiere una combinación de hábitos cotidianos y tecnología de protección. La mayoría de los ataques exitosos dependen de decisiones precipitadas o de una seguridad de cuentas débil, por lo que las rutinas y salvaguardas constantes marcan una gran diferencia.

La protección a largo plazo proviene de verificar las peticiones, tomarse tiempo antes de actuar y usar herramientas de seguridad integradas que detecten actividad sospechosa.

¿Qué hábitos reducen el riesgo de phishing?

Hábitos sencillos pueden reducir la exposición a intentos de phishing y facilitar la identificación de mensajes sospechosos. Reconocer cómo se disfrazan los enlaces de phishing ayuda a los usuarios a evitar una de las vías más comunes para el robo de credenciales.

Haga de la verificación independiente un hábito rutinario para peticiones inesperadas
Evite actuar bajo presión. Un gran porcentaje de mensajes de phishing crean urgencia o exigen acción inmediata
Trate la comunicación inesperada como sospechosa, particularmente cuando pide información sensible o acciones inusuales

Estos hábitos ayudan a los usuarios a detenerse y evaluar el riesgo antes de interactuar.

¿Qué medidas de seguridad proporcionan una protección sólida?

Las salvaguardas técnicas añaden una capa adicional de defensa y ayudan a bloquear ataques incluso cuando un mensaje de phishing resulta convincente.

Use autenticación multifactor (MFA) para evitar accesos no autorizados a cuentas
Habilite las protecciones integradas de plataformas de proveedores como Google, Apple y Microsoft, incluidas alertas de seguridad y verificación de inicio de sesión
Use software de ciberseguridad de confianza para detectar enlaces, adjuntos y actividad sospechosa

Estas medidas reducen la probabilidad de que un único error conduzca a la usurpación de una cuenta.

¿Cuál es la regla más importante para evitar el phishing?

Verifique antes de actuar.

Si un mensaje solicita información o una acción urgente (o, peor aún, dinero), confirme la petición a través de una fuente de confianza antes de responder. Un paso rápido de verificación suele ser suficiente para detener un ataque de phishing antes de que tenga éxito.

Artículos relacionados:

Productos recomendados:

FAQ

¿Por qué los correos de phishing parecen tan reales?

Los correos de phishing parecen convincentes porque los atacantes copian logotipos reales y el lenguaje que probablemente verá de empresas de confianza. También pueden usar datos robados o herramientas AI para personalizar mensajes y eliminar errores evidentes.

¿Se pueden recibir mensajes de phishing en redes sociales?

Sí. El phishing puede ocurrir en redes sociales mediante mensajes directos, perfiles falsos o publicaciones que contienen enlaces maliciosos. Los atacantes suelen suplantar a amigos o marcas populares para ganarse la confianza.

¿Por qué de repente recibo correos de phishing?

Un aumento repentino de correos de phishing puede ocurrir si su dirección se expuso en una filtración de datos o se añadió a listas de spam. Los atacantes también pueden enviar campañas masivas a muchas personas a la vez.

¿Se puede hackear un dispositivo solo por abrir un correo de phishing?

En la mayoría de los casos, simplemente abrir un correo no es suficiente para comprometer un dispositivo. El riesgo suele comenzar cuando un usuario hace clic en un enlace malicioso, descarga un archivo o introduce información sensible.