El phishing en informática utiliza mensajes que aparentan ser confiables para inducir a una persona a entregar información, abrir archivos maliciosos o autorizar operaciones fraudulentas.
La prevención requiere combinar tecnología, procesos y capacitación. Reconocer un mensaje sospechoso ayuda, pero también hacen falta controles de acceso, validaciones de operaciones sensibles y un procedimiento para responder cuando el engaño ya ocurrió.
Qué es el phishing y por qué representa una amenaza para las empresas
El phishing es un ataque de ingeniería social: utiliza el engaño para influir en las decisiones de las personas. Los delincuentes suelen hacerse pasar por una persona, empresa u organización confiable para obtener:
Usuarios y contraseñas.
Datos bancarios.
Información comercial.
Credenciales de acceso a sistemas internos.
Documentos confidenciales.
Los mensajes buscan generar confianza, urgencia o preocupación. El engaño también puede combinarse con software malicioso que aproveche vulnerabilidades técnicas.
Una cuenta comprometida permite acceder a los recursos que tenga autorizados. El alcance dependerá de sus permisos y de los controles existentes; no implica automáticamente comprometer toda la red corporativa.
Cómo funciona un ataque de phishing
Un ataque dirigido puede seguir estas etapas, aunque las campañas masivas no siempre incluyen investigación individual.
1. Investigación de la víctima
Los atacantes pueden recopilar información pública sobre la empresa o sus empleados:
Sitios web corporativos.
Redes sociales profesionales.
Cargos dentro de la organización.
Proveedores habituales.
Nombres de responsables o directivos.
2. Creación del engaño
Para aparentar legitimidad, puede utilizar:
Logotipos copiados.
Direcciones de correo similares a las reales.
Firmas corporativas falsas.
Lenguaje utilizado por empresas conocidas.
Por ejemplo, un empleado puede recibir un correo que aparenta provenir de un proveedor solicitando revisar una factura pendiente.
3. Interacción del usuario
El objetivo es que la persona:
Abra un archivo adjunto.
Haga clic en un enlace.
Ingrese información en una página falsa.
Descargue o ejecute un programa malicioso.
El resultado depende de la acción realizada y de los controles disponibles: hacer clic no equivale necesariamente a entregar credenciales o infectar el equipo.
4. Uso de la información obtenida
Los datos robados pueden utilizarse para:
Acceder a sistemas empresariales.
Realizar fraudes económicos.
Robar información confidencial.
Preparar ataques posteriores, como ransomware.
Principales tipos de phishing que pueden afectar a una organización
Las modalidades pueden combinarse.
Phishing por correo electrónico
Los atacantes envían mensajes que aparentan provenir de bancos, proveedores, servicios tecnológicos o compañeros de trabajo. Pueden incluir enlaces fraudulentos, archivos maliciosos o pedidos de información.
Señales de alerta:
Remitentes o dominios inesperados.
Solicitudes urgentes.
Archivos adjuntos sin contexto.
Pedidos de información confidencial.
Los errores ortográficos pueden ser una señal, pero un mensaje bien escrito también puede ser fraudulento.
Smishing por SMS y phishing en aplicaciones de mensajería
El smishing es phishing mediante mensajes de texto SMS. Los engaños también circulan por aplicaciones de mensajería, aunque no todo mensaje fraudulento en una aplicación es smishing. Los pretextos incluyen problemas con cuentas, entregas pendientes o solicitudes de verificación, como describe la guía de modalidades de phishing de Microsoft.
Vishing a través de llamadas telefónicas
El vishing utiliza llamadas para manipular a la persona. El atacante puede hacerse pasar por soporte técnico, personal bancario o proveedores para obtener contraseñas, códigos de acceso o inducir la instalación de software.
Spear phishing dirigido a personas específicas
A diferencia del phishing masivo, el spear phishing está diseñado para una persona determinada.
Puede dirigirse a directivos, administradores de sistemas, responsables financieros o empleados con acceso a información crítica. Los datos personalizados hacen que el pedido parezca coherente con su trabajo.
Fraude mediante suplantación de proveedores o directivos
Una modalidad consiste en hacerse pasar por un superior o proveedor conocido. Por ejemplo:
Un supuesto gerente solicita una transferencia urgente.
Un proveedor pide actualizar datos bancarios.
Un ejecutivo solicita documentación confidencial.
El mensaje puede provenir de una cuenta legítima comprometida. Antes de cambiar datos de pago, verificá el pedido mediante un contacto previamente registrado, no con el teléfono incluido en ese correo. Es una de las medidas recomendadas por el FBI frente al fraude por correo empresarial.
Cómo identificar un mensaje de phishing
Mensajes con urgencia excesiva
Frases como “Tu cuenta será bloqueada” o “Necesitamos una respuesta inmediata” buscan que se actúe sin verificar. La urgencia no justifica omitir los controles internos.
Solicitudes de información confidencial
No compartas contraseñas ni códigos de autenticación por correo, chat o teléfono. Tampoco apruebes solicitudes de acceso que no iniciaste.
Enlaces sospechosos
Revisá la dirección real del enlace sin abrirlo. Ante una duda, ingresá al servicio desde un marcador conocido o su aplicación oficial. El nombre visible del enlace puede ocultar otro destino, como advierte la guía de Microsoft para reconocer phishing.
Archivos adjuntos inesperados
Los documentos recibidos sin contexto pueden contener malware. Confirmá su procedencia por otro canal antes de abrirlos o habilitar contenido activo.
Qué información buscan obtener los ciberdelincuentes
Entre los datos buscados se encuentran:
Contraseñas y usuarios corporativos.
Datos financieros.
Información de clientes.
Documentos internos.
Credenciales de servicios en la nube.
Una cuenta de correo también puede servir para revisar conversaciones y preparar pedidos fraudulentos a clientes o proveedores.
Cómo prevenir el phishing en una empresa
Capacitar a los empleados
La formación debe enseñar a reconocer pedidos sospechosos, identificar qué información no compartir y utilizar el canal de reporte. Conviene comprobar que las personas sepan dónde informar y que alguien reciba esos avisos.
Implementar autenticación multifactor
La autenticación multifactor (MFA) combina factores distintos para verificar la identidad. Reduce el riesgo asociado al robo de contraseñas, pero los códigos temporales también pueden capturarse mediante engaños.
Priorizá métodos resistentes al phishing, como passkeys o llaves de seguridad FIDO2. Su adopción requiere comprobar compatibilidad y definir cómo recuperar el acceso ante la pérdida del dispositivo.
Proteger el correo corporativo
Los filtros pueden detectar mensajes fraudulentos, archivos peligrosos o enlaces maliciosos. Requieren configuración y revisión: ningún filtro identifica todos los engaños. Comprobá quién atiende las alertas y cómo se revisan los mensajes legítimos bloqueados.
Mantener sistemas actualizados
Actualizar equipos y aplicaciones corrige vulnerabilidades que pueden facilitar la ejecución de malware. Verificá la instalación de los parches; las actualizaciones no impiden que alguien entregue información a un sitio falso.
Establecer políticas internas
Definí procedimientos sobre:
Manejo de información sensible.
Validación de pagos y cambios de cuentas bancarias.
Uso de dispositivos.
Reporte y escalamiento de incidentes.
Comprobá que las validaciones se apliquen también a pedidos urgentes de directivos.
El papel de los empleados en la prevención de ataques de phishing
Las personas necesitan herramientas y procesos que acompañen la capacitación. La seguridad no debe depender de reconocer cada engaño.
Crear una cultura de seguridad implica:
Facilitar consultas ante pedidos inusuales.
Realizar capacitaciones periódicas.
Usar simulaciones de phishing con devolución formativa.
Promover el reporte temprano, sin culpabilizar a quien informa.
Evaluá si los reportes llegan al responsable y permiten actuar a tiempo.
Qué hacer si un empleado interactuó con un intento de phishing
Informá de inmediato al equipo responsable, indicando qué se abrió, descargó o ingresó. Conservá el mensaje para su análisis.
Según lo ocurrido, el equipo técnico deberá:
Bloquear temporalmente la cuenta comprometida y revocar sesiones según la plataforma.
Restablecer contraseñas desde un equipo confiable.
Revisar accesos, métodos de autenticación y reglas de reenvío del correo.
Aislar el equipo de la red si hay sospecha de infección.
Evaluar datos expuestos y operaciones realizadas.
La guía de respuesta de Microsoft 365 detalla controles para cuentas comprometidas. Cambiar la contraseña, por sí solo, puede resultar insuficiente. Si hubo una transferencia fraudulenta, avisá inmediatamente al banco y al responsable financiero.
Cómo integrar la prevención del phishing dentro de una estrategia de ciberseguridad
Una empresa preparada combina:
Seguridad del correo electrónico.
Protección de dispositivos.
Monitoreo con responsables de respuesta.
Accesos limitados según funciones.
Copias de seguridad con restauraciones probadas.
Capacitación continua.
Los backups ayudan a recuperar datos, pero no evitan su robo ni revierten un fraude.
En ZNET brindamos soluciones de seguridad informática que incluyen protección del correo, gestión de accesos y concientización. Contactanos para evaluar los controles de tu empresa y definir un alcance acorde con tu entorno.
Preguntas frecuentes
¿Qué es el phishing y cómo funciona?
Es un ataque de ingeniería social que utiliza comunicaciones engañosas para obtener información o inducir acciones como abrir archivos maliciosos.
¿Cómo afecta el phishing a las empresas?
Puede provocar robo de información, accesos no autorizados, pérdidas económicas y afectar la continuidad operativa.
¿Cómo reconocer un correo electrónico fraudulento?
Revisá el remitente, el destino de los enlaces y el contexto. Verificá pedidos sensibles por un canal conocido, incluso si el mensaje parece legítimo.
¿Qué hacer si se ingresaron credenciales en un sitio falso?
Informá inmediatamente al área técnica. Debe restablecer las credenciales, revocar sesiones y revisar accesos y cambios no autorizados según la plataforma.
¿Cómo capacitar a los empleados para prevenir estos ataques?
Mediante formación periódica, simulaciones con devolución y procedimientos de reporte que se practiquen y tengan responsables asignados.