Phishing
Engaño por correo, mensaje, llamada o sitio falso que suplanta a alguien de confianza para robar credenciales, dinero o instalar malware.
Pronunciación
Qué es
El phishing es un ataque de ingeniería social: el atacante se hace pasar por un banco, un proveedor, un compañero o un servicio conocido para que la víctima haga algo que le conviene a él. Por ejemplo, escribir su contraseña en un sitio falso, abrir un adjunto con malware o hacer una transferencia.
El nombre viene de fishing (pescar): se lanza un anzuelo y se espera a que alguien muerda.
Variantes
| Variante | Canal | Cómo se ve |
|---|---|---|
| Phishing masivo | Correo | Miles de mensajes iguales: “tu cuenta será suspendida” |
| Spear phishing | Correo | Dirigido a una persona, con datos reales de su cargo o su empresa |
| BEC (business email compromise) | Correo | Suplanta a un directivo o a un proveedor para pedir un pago o cambiar una cuenta bancaria |
| Smishing | SMS o WhatsApp | “Tu paquete está retenido, paga aquí” |
| Vishing | Llamada | Falso soporte técnico o falso banco que pide códigos |
| Quishing | Código QR | Un QR en un correo o un cartel que lleva a un sitio falso |
Por qué importa
El factor humano aparece en más de dos tercios de las brechas analizadas en el informe DBIR 2024 de Verizon, y el phishing es una de sus formas más comunes. Además, un correo que roba credenciales suele ser el primer paso de ataques mayores, como el ransomware.
Señales de alerta
- Urgencia o miedo: “en 24 horas se bloquea”, “pago vencido”, “demanda”.
- Remitente o dominio que casi coincide:
nextsoft-corp.coen vez denextsoftcorp.com. - Pedidos fuera de lo normal: cambiar la cuenta bancaria de un proveedor, comprar tarjetas regalo, compartir un código.
- Enlaces que no llevan a donde dicen: pasa el cursor antes de hacer clic.
- Adjuntos inesperados, sobre todo comprimidos o con macros.
Ejemplo Demo: llega un correo “del proveedor” con el logo correcto que pide actualizar su cuenta bancaria para el próximo pago. La regla que lo frena: todo cambio de datos de pago se confirma por un canal distinto, llamando al número que ya estaba registrado.
Cómo se reduce el riesgo
- MFA resistente a phishing (llaves FIDO2 o passkeys): aunque roben la contraseña, no pueden entrar.
- Autenticación del dominio de correo (SPF, DKIM y DMARC): dificulta que otros envíen correos haciéndose pasar por tu dominio.
- Filtros de correo y navegación, con aislamiento de adjuntos.
- Procesos de verificación para pagos y cambios de datos sensibles.
- Capacitación con simulacros y un botón o canal simple para reportar correos sospechosos sin culpa.
Términos relacionados
- MFA - La defensa más efectiva contra el robo de credenciales
- Ransomware - Ataque que a menudo empieza con un correo de phishing
- Zero Trust - Limita lo que un atacante puede hacer con una cuenta robada
- Prompt Injection - El equivalente al engaño, pero dirigido a un sistema de IA
Recursos oficiales: