De estafas obvias a ataques sofisticados

¿Recuerdas esos correos de phishing tan malos que daban risa a principios de los 2000? Esos llenos de errores de ortografía, que afirmaban que habías heredado millones de parientes lejanos, u ofrecían soluciones milagrosas para bajar de peso. Esos intentos amateur eran fáciles de detectar, descartar y eliminar.

En ese entonces, los correos de phishing solían estar llenos de inglés mal escrito, logos pixelados y promesas descabelladas. Lanzaban redes amplias, con la esperanza de atrapar a los usuarios más vulnerables. Aunque algunas personas caían en estas estafas obvias, la mayoría de los destinatarios las detectaba de lejos.

Las tácticas de phishing modernas de hoy

Avancemos hasta hoy, y el panorama del phishing se ha transformado drásticamente. Los cibercriminales ahora usan herramientas impulsadas por IA para crear correos gramaticalmente perfectos que imitan comunicaciones legítimas. Estudian los estilos de comunicación de las empresas, replican el formato exacto e incluso programan sus ataques para que coincidan con actividades comerciales habituales. En nuestro Informe de ciberamenazas 2026, los infostealers representaron el 24 % de todos los incidentes que vimos y los scripts maliciosos otro 22 %, dos categorías que suelen aparecer después de un phishing exitoso, cuando los atacantes roban credenciales o instalan herramientas que facilitan la automatización.

Los intentos de phishing modernos suelen apuntar a personas u organizaciones específicas (conocido como spear phishing). Los atacantes investigan a sus víctimas en redes sociales, sitios web de empresas y redes profesionales para crear mensajes altamente personalizados. Pueden hacer referencia a noticias recientes de la empresa, conexiones en común o palabras y frases específicas de la industria para generar credibilidad.

Estos ataques sofisticados pueden engañar incluso a los usuarios de internet más experimentados. La diferencia clave está en los detalles: inconsistencias sutiles que se vuelven evidentes cuando sabes qué buscar.

Más allá del correo electrónico: nuevos canales de phishing

El phishing se ha expandido más allá del correo electrónico tradicional para incluir múltiples vectores de ataque. El phishing con códigos QR (o "quishing") ha aumentado en popularidad, con atacantes que incrustan enlaces maliciosos en códigos QR aparentemente inocentes. Las víctimas escanean el código esperando contenido legítimo, pero terminan en sitios web que roban credenciales. El quishing es especialmente peligroso porque los códigos QR suelen pasar desapercibidos para las puertas de enlace de correo seguras: parecen imágenes inofensivas hasta que se decodifican y revelan una URL maliciosa.

El phishing por SMS, o "smishing," apunta a usuarios móviles con mensajes de texto falsos que afirman problemas urgentes de cuenta o notificaciones de premios. Las redes sociales se han convertido en terreno de caza para los phishers, que crean perfiles falsos para suplantar a personas y marcas de confianza.

Estos enfoques multicanal hacen que la detección sea más difícil, por lo que los usuarios deben mantenerse alerta en todas sus comunicaciones digitales.

1. Direcciones de remitente sospechosas o mal escritas

Siempre revisa con atención la dirección de correo del remitente. Las empresas legítimas usan dominios de correo consistentes y profesionales. Los correos de phishing suelen usar dominios parecidos con errores sutiles, como "amazom.com" en lugar de "amazon.com" o "paypa1.com" con un número en vez de la letra "l".

Presta atención al nombre que se muestra frente a la dirección de correo real. Los estafadores pueden mostrar "Microsoft Security Team" como nombre del remitente mientras usan una dirección de correo completamente distinta, como "[email protected]".

2. Urgencia y tácticas de miedo en el mensaje

Los correos de phishing se basan en generar pánico. Afirman que tu cuenta será suspendida, que tu seguridad se vio comprometida o que se requiere una acción inmediata para evitar consecuencias. Las empresas legítimas rara vez exigen respuestas instantáneas o amenazan con cerrar cuentas sin un aviso adecuado.

El lenguaje urgente común incluye frases como "Actúa ahora", "Se requiere acción inmediata", "Tu cuenta será cancelada" o "Responde en 24 horas". Estas tácticas de presión buscan evitar tu pensamiento crítico y forzar decisiones apresuradas. Esa urgencia funciona: el informe de ciberamenazas 2025 muestra que la mayoría de los usuarios que caen en el phishing lo hacen en menos de un minuto, haciendo clic e ingresando datos antes de tener tiempo de cuestionar el mensaje.

3. Saludos genéricos en lugar de personalización

Las comunicaciones comerciales auténticas suelen incluir tu nombre o información específica de tu cuenta. Los correos de phishing suelen usar saludos genéricos como "Estimado cliente", "Estimado titular de la cuenta" o "A quien corresponda".

Aunque algunas empresas legítimas sí envían comunicaciones genéricas, ten más cuidado cuando esto se combina con otras señales de alerta.

4. Archivos adjuntos inesperados o tipos de archivo extraños

Desconfía de los archivos adjuntos no solicitados, especialmente archivos ejecutables (.exe), archivos comprimidos (.zip, .rar) o documentos que piden habilitar macros. Las empresas legítimas rara vez envían archivos adjuntos inesperados, en especial desde departamentos de seguridad o facturación.

Incluso archivos aparentemente inofensivos, como los PDF, pueden contener código malicioso. Si tienes dudas, verifica la identidad del remitente por otro canal de comunicación antes de abrir cualquier archivo adjunto.

5. URL incoherentes u ocultas

Pasa el cursor sobre los enlaces sin hacer clic para ver su verdadero destino. Los correos de phishing suelen ocultar URL maliciosas detrás de texto que parece inofensivo. Un enlace que dice "Haz clic aquí para verificar tu cuenta de PayPal" podría en realidad llevar a "evil-phishing-site.com".

Ten cuidado con los acortadores de URL (bit.ly, tinyurl.com) en comunicaciones profesionales, ya que pueden ocultar el destino real. Las empresas legítimas suelen usar sus dominios de marca para todas sus comunicaciones.

6. Ofertas o premios demasiado buenos para ser verdad

Las notificaciones inesperadas de premios, los descuentos increíbles o las oportunidades "exclusivas" son cebos clásicos de phishing. Los estafadores saben que a la gente le encanta lo gratis y usan recompensas falsas para atraer víctimas y que entreguen información personal.

Si no participaste en ningún concurso o no eres cliente existente, desconfía de los mensajes de felicitación sobre premios u ofertas especiales.

7. Mala gramática y ortografía (¡sigue siendo común, incluso con ayuda de la IA!)

Aunque la IA ha mejorado la calidad de los correos de phishing, muchos todavía tienen errores gramaticales, frases torpes o faltas de ortografía. Las organizaciones profesionales cuentan con procesos de edición que detectan estos problemas antes de enviar comunicaciones.

Busca formatos inconsistentes, puntuación inusual o frases que no suenen del todo bien en el contexto.

8. Solicitudes inusuales o sensibles

Las empresas legítimas nunca piden información sensible por correo electrónico. Esto incluye contraseñas, números de seguro social, datos completos de tarjetas de crédito o solicitudes para comprar tarjetas de regalo por cualquier motivo.

Desconfía en especial de las solicitudes para cambiar métodos de pago, actualizar información bancaria o dar códigos de verificación que no pediste.

Las reglas antiguas para detectar phishing son cada vez menos confiables.

Durante años, el security awareness training enseñó a la gente a buscar errores de gramática, errores de ortografía y frases torpes como las señales más claras de que un correo no era legítimo. Esas pistas todavía aparecen a veces, pero ya no son la delación confiable que solían ser.

Los atacantes ahora tienen acceso a los mismos modelos de lenguaje grandes que todos los demás. Eso significa que pueden generar textos de correo pulidos y conscientes del contexto en segundos, en casi cualquier idioma, y adaptarlos a un rol, empresa o industria específicos. En otras palabras, el phishing suele verse más profesional que antes.

Como lo expresa el director de Producto de Huntress Prakash Ramamurthy: “El phishing ya no se trata solo de envíos masivos de correos. Los atacantes aprovechan datos filtrados, inteligencia de fuentes abiertas y deepfakes generados con IA para crear señuelos altamente personalizados. Estamos viendo audio deepfake convincente usado en fraudes electrónicos, IA generativa que impulsa correos de phishing que evaden la detección, y atacantes que usan ingeniería social para eludir la verificación de identidad.”

Ese cambio importa porque la gente suele decidir rápido. Según el Informe de Ciberamenazas de Huntress 2026, la mediana del tiempo que tarda un usuario en hacer clic en un enlace de phishing y enviar su información es menos de 60 segundos.

Qué sigue funcionando para la detección:

Lo que tiende a mantenerse firme son las señales ligadas al proceso y al contexto, no solo a la calidad de la escritura. Pregúntate:

• ¿Es normal esta solicitud? ¿Esta persona normalmente pediría esto, por correo, de esta manera?

• ¿El canal coincide con la solicitud? Los cambios de finanzas o nómina rara vez deberían ocurrir a través de un solo correo sin un proceso de respaldo detrás.

• ¿Hay urgencia o presión inusual para saltarse un paso normal? Un mensaje pulido puede seguir siendo sospechoso si te empuja a avanzar más rápido que tu flujo habitual de aprobación o verificación.

• ¿Yo inicié esta interacción? Los correos de restablecimiento de contraseña, las solicitudes de MFA, los avisos de facturas y las actualizaciones de entrega que no activaste merecen un escrutinio adicional.

• ¿La dirección del remitente coincide exactamente con el dominio real? La IA puede mejorar el tono y la gramática, pero no hace que un dominio similar sea confiable.

El correo electrónico sigue siendo clave, pero ya no es el único lugar donde operan los atacantes. La IA también está haciendo que el vishing sea más convincente, al reducir la barrera para la clonación de voz y la ingeniería social guionizada.

Los atacantes pueden combinar un correo de phishing con una llamada de seguimiento que suene lo bastante creíble como para reducir la duda de la víctima. Si la llamada te pide confirmar credenciales, aprobar acceso o actuar sobre un mensaje sospechoso, trata la llamada como parte del problema de verificación, no como prueba de que el correo era legítimo. Lo más seguro es colgar y volver a llamar usando un número conocido y confiable.

La conclusión no es que el phishing ahora sea imposible de detectar. Es que las señales más útiles han cambiado. Enséñale a tu equipo a cuestionar la situación, no solo la redacción.

Reconocer un correo de phishing es solo la mitad del trabajo. Lo que hagas después ayuda a protegerte a ti y al resto de tu organización.

Paso 1: Deja de interactuar con el correo

No hagas clic en enlaces, no abras archivos adjuntos, no respondas ni hagas clic en "cancelar suscripción". En muchos casos, incluso ese clic puede confirmar que tu dirección está activa y se está monitoreando.

Paso 2: No lo elimines de inmediato

El correo puede contener evidencia útil. Tu equipo de TI o seguridad podría necesitar los datos del remitente, los encabezados, los enlaces, los archivos adjuntos y el cuerpo del mensaje para entender qué pasó y determinar si otros recibieron la misma campaña.

Paso 3: Envía un informe a tu equipo de TI o seguridad

Usa el proceso habitual de tu organización, ya sea un botón de informe de phishing, un sistema interno de tickets o una bandeja compartida. Si no sabes cómo se debe hacer un informe de phishing dentro de tu organización, vale la pena aclararlo antes de estar en medio de un incidente real.

Paso 4: Si hiciste clic, actúa rápido

Si hiciste clic en un enlace, ingresaste credenciales, abriste un archivo adjunto o aprobaste una solicitud de MFA antes de darte cuenta de que algo no estaba bien, trátalo como un incidente de seguridad real.

• Cambia primero la contraseña de la cuenta afectada y luego actualiza cualquier otra cuenta que comparta la misma contraseña.

• Revoca las sesiones activas si tu plataforma lo permite.

• Contacta de inmediato a tu equipo de TI o seguridad y cuéntales qué hiciste clic, qué ingresaste y cuándo ocurrió.

• Evita usar el dispositivo para trabajo sensible hasta que tu equipo de seguridad haya tenido la oportunidad de revisarlo.

Paso 5: Usa las herramientas de informes integradas de tu cliente de correo

Muchos entornos de Microsoft 365 y Google Workspace incluyen opciones integradas de informes de phishing. Usa esas herramientas además de notificar a tu equipo interno de seguridad, no en lugar de hacerlo.

Paso 6: Avisa a tus colegas

Si recibiste un correo de phishing, es posible que otros también lo hayan recibido, en especial si suplanta a un proveedor conocido, a un empleado interno o a una plataforma popular. Un aviso rápido puede evitar que alguien más sea el primer clic.

Paso 7: Documenta lo que pasó

Si trabajas en TI, seguridad, cumplimiento o manejo de incidentes, documenta los detalles mientras estén frescos: remitente, asunto, solicitud planteada, enlaces o archivos adjuntos, quién lo recibió y si alguien interactuó con él.

La ciberseguridad siempre es un esfuerzo de equipo, y la defensa contra el phishing funciona mejor cuando todos están capacitados para reconocer las señales. Al detectar y reportar correos sospechosos, no solo te proteges a ti mismo, sino que también mantienes segura a toda tu organización. Haz de la detección de phishing parte de tu rutina diaria, refuerza estas habilidades con security awareness training regular, y anima a tus colegas a hacer lo mismo. Mientras más preparado esté tu equipo, menos oportunidades tendrán los atacantes de tener éxito.

Desde una vista macro, los sectores de salud y educación representaron el 38% de todos los incidentes que Huntress investigó en 2024, y al sumar tecnología, manufactura y gobierno, esa cifra llega al 70%, sectores que dependen del correo electrónico, bandejas de entrada compartidas y notificaciones constantes.

¿Listo para profundizar en el panorama de amenazas actual? Descarga el informe de ciberamenazas de Huntress 2026 para obtener información integral sobre cómo los cibercriminales están adaptando sus tácticas. Para las organizaciones que buscan una protección robusta las 24 horas, explora los servicios de SOC de Huntress 24/7 liderados por humanos e inpulsado por IA para complementar tus esfuerzos internos de concientización en seguridad.