El phishing es un engaño que suplanta a una persona, un servicio o un proveedor de confianza, por correo, mensaje, llamada, código QR o web falsa, para que la víctima entregue credenciales, apruebe un acceso, haga un pago o abra contenido malicioso. Es ingeniería social: aprovecha la confianza y las prisas de las personas, no un fallo del software.
Cómo funciona
El atacante elige un gancho creíble: una factura, un envío pendiente o una petición urgente de la dirección. Puede ser un envío masivo o un ataque dirigido (spear phishing) con datos reales de la empresa o de la persona.
El objetivo final suele ser robar credenciales con una página de inicio de sesión falsa, instalar código malicioso (incluido ransomware) o provocar una transferencia o un cambio de datos bancarios. El NCSC, el organismo de ciberseguridad del Reino Unido, propone cuatro capas: dificultar que el atacante llegue a los usuarios (por ejemplo, con DMARC, SPF y DKIM para que sea más difícil suplantar tu dominio), ayudar a identificar y notificar mensajes sospechosos, proteger a la organización de los que pasen y responder con rapidez.
Ejemplo
Ejemplo ilustrativo, no un caso real. Una persona de administración recibe un correo que parece de un proveedor habitual, con una factura corregida y un enlace a un portal. El portal copia el inicio de sesión de Microsoft 365 y la persona escribe su usuario y su contraseña.
Si la cuenta no tiene un segundo factor, el atacante entra, crea una regla de reenvío en el buzón y prepara un cambio de cuenta bancaria. La reacción útil es rápida: la persona avisa por el canal acordado, TI restablece la contraseña, cierra las sesiones abiertas y revisa las reglas del buzón, y todo cambio de datos bancarios se confirma llamando a un teléfono ya conocido, nunca al del propio correo.
Límites
Ni los filtros ni la formación detectan todos los intentos. Según el NCSC, ningún paquete formativo, simulaciones incluidas, enseña a reconocer cualquier phishing, y exigir que cada persona analice a fondo cada correo es irreal porque responder correos y pulsar enlaces forma parte del trabajo.
Las simulaciones pueden erosionar la confianza y crear riesgo legal: conviene consultarlas con recursos humanos, no castigar los clics y medir también cuántas personas notifican. El segundo factor tampoco es una garantía: los códigos por SMS pueden robarse con phishing y las aprobaciones push, con insistencia. Las llaves FIDO2 resisten mejor, y la coincidencia de números en las aprobaciones es una mejora sensata mientras no se puedan usar.
Cuándo llamar a un experto
Pide ayuda si alguien ha introducido credenciales en una página dudosa, si sospechas que una cuenta está controlada por otra persona, si te han pedido un cambio de datos bancarios que no puedes confirmar, si tus clientes reciben correos falsos en tu nombre o si no existe un canal sencillo para notificar mensajes sospechosos.
En Impulso Tecnológico trabajamos en diagnóstico, controles técnicos y formación: revisamos la protección de la identidad y del correo, qué controles faltan y qué debe saber el equipo. Consulta nuestro servicio de ciberseguridad, la guía del plan de seguridad informática o cuéntanos tu caso.
Para saber más
Términos relacionados del glosario: MFA, ransomware, EDR y Zero Trust.
Fuentes oficiales (en inglés): la guía del NCSC Phishing attacks: defending your organisation, pensada para organizaciones medianas o grandes (para las pequeñas remite a su Cyber Action Toolkit), y la ficha de CISA Implementing Phishing-Resistant MFA.