Los servicios financieros, la salud y la manufactura siguen a la cabeza en cuanto a riesgos de phishing empresarial. Pero hoy también vemos un gran aumento en los ataques contra servicios profesionales, específicamente proveedores de servicios administrados (MSP) y proveedores de servicios de TI. 

Según el Anti-Phishing Working Group, las instituciones financieras vieron un pico de ataques de phishing del 24,9% de todos los ataques en el T3 de 2023, antes de disminuir cuando los bancos implementaron una autenticación de dos factores más sólida. El informe de IBM sobre el costo de una filtración de datos de 2024 encontró que las filtraciones en el sector salud promediaron $9,77 millones por incidente (el sector más costoso de todos).

Las empresas basadas en cloud también están viendo una mayor cantidad de ataques dirigidos. Alrededor del 80% de las campañas de phishing ahora buscan robar credenciales de servicios cloud como Microsoft 365 y Google Workspace. Las bandejas de entrada de correo electrónico y las plataformas de identidad se han convertido en los principales vectores de ataque para los actores de amenazas.

Ataques destacados de los últimos años

Si bien el phishing sigue siendo el vector de ataque inicial, con un costo promedio de $4,88 millones por incidente en 2025, los ataques de compromiso de correo electrónico empresarial (BEC) causaron pérdidas de $6,3 mil millones, según el informe DBIR 2025 de Verizon. 

En abril de 2025, Marks & Spencer sufrió una de las filtraciones más importantes del año cuando los atacantes usaron ingeniería social para engañar al personal de la mesa de ayuda y hacer que restablecieran credenciales. El ataque de ransomware paralizó durante semanas los pedidos en línea de M&S, sus servicios de click-and-collect y los pagos sin contacto, eliminando más de $400 millones del valor de mercado de la empresa. 

El sector salud sigue soportando la mayor parte de los ataques iniciados con phishing. En febrero de 2024, Change Healthcare sufrió un ataque de ransomware que comenzó con credenciales comprometidas en un portal que carecía de autenticación multifactor. La filtración expuso 192,7 millones de registros de pacientes, la mayor filtración de datos de salud de la historia, y le costó a la empresa matriz UnitedHealth Group más de $872 millones en costos de recuperación.

Hemos visto un cambio importante hacia el robo de credenciales mediante páginas de inicio de sesión simuladas, ya que representan la mayoría de los ataques de phishing por correo electrónico. 

La recolección de tokens de sesión y el robo de cookies van en aumento, ya que los atacantes buscan los tokens que verifican que ya estás autenticado. Una vez que obtienen estos tokens, los usan para acceder a tus cuentas como si fueran tú. No se requiere un segundo factor.

Los códigos QR enviados por correo electrónico que contienen enlaces maliciosos, comúnmente conocidos como "quishing," han aumentado drásticamente en los últimos años. La mayoría de los escáneres de seguridad de correo electrónico solo analizan el texto y las URL dentro de un correo. Rara vez examinan las imágenes en busca de códigos QR maliciosos. Un usuario abrirá un correo con un código QR malicioso, lo escaneará con su teléfono (que generalmente tiene controles de seguridad más débiles que una laptop corporativa), y el código QR lo redirigirá a un sitio de recolección de credenciales. Es ingenioso, fácil de ejecutar y pasa desapercibido para la mayoría de los profesionales de ciberseguridad.

Los empleados de finanzas y RR. HH. suelen ser los principales blancos del phishing porque trabajan habitualmente con dinero y datos sensibles. Pero los administradores de TI y el personal de mesa de ayuda también están subiendo rápido en esa lista. 

Los atacantes suelen usar a estos empleados como puerta de entrada a tu red. Mediante un ataque de pretexting muy bien elaborado, un atacante puede hacerse pasar por un empleado que quedó bloqueado fuera de su cuenta. Contactarán a tu mesa de ayuda y presionarán para que se salten los controles de seguridad o restablezcan contraseñas. 

Entender el alcance total de las filtraciones de datos por phishing es fundamental para las pequeñas y medianas empresas (PyME) que tal vez no tengan los recursos para recuperarse de un incidente grave. Para algunas PyME, esto podría significar el fin del negocio, ya que muchas no cuentan con los fondos ni el seguro cibernético necesarios para recuperarse de un ciberataque grave. Y sí, el seguro cibernético puede ayudar a cubrir costos directos, pero ¿qué pasa con la pérdida de productividad, la pérdida de confianza de los clientes y la pérdida de ventaja competitiva cuando tu negocio se detiene por completo?

El filtrado de correo solo hace parte del trabajo

Los cibercriminales diseñan ataques específicamente para evadir los controles de seguridad. Según el DBIR 2025 de Verizon, el 60% de las brechas involucró el elemento humano, con el phishing representando el 16% de los vectores de brecha inicial y credenciales robadas usadas en el 22% de los ataques. 

Tu security awareness training es importante

No decimos que no esté funcionando, pero sí decimos que los usuarios necesitan una manera fácil de enviar un informe sobre correos sospechosos, y tu el centro de operaciones de seguridad (SOC) necesita saber de ellos. Mientras más tiempo tome tu equipo de seguridad en investigar y responder a un correo incluido en el informe, más probable es que se haga clic en él, por eso la detección y respuesta rápidas importan más que la prevención por sí sola.

MFA es excelente, pero no es, de ninguna manera, una solución infalible

Con el aumento del robo de token de autenticación de sesión y el robo de cookies, MFA no te ayudará si tus usuarios inician sesión en servicios desde sus navegadores. Necesitas seguridad que busque comportamiento sospechoso después de la autenticación.

Huntress Managed Identity Threat Detection and Response (ITDR) se combina con nuestro programa Managed Security Awareness Training (SAT) para darte visibilidad sobre las amenazas que otros están pasando por alto, además de mantener a tus empleados informados sobre las tácticas de phishing más recientes. Obtén una demo y prueba Huntress gratis hoy.