El whaling es un tipo de ataque de phishing que apunta específicamente a altos ejecutivos y tomadores de decisiones para robar dinero o información confidencial. Estos ataques se enfocan en los objetivos más grandes de tu organización, como el CEO, el CFO y otros ejecutivos de alto nivel, quienes tienen acceso a sistemas financieros muy sensibles y la autoridad para aprobar transacciones de gran valor.

Estos ataques funcionan porque explotan cómo operan los ejecutivos. Los líderes suelen trabajar en horarios poco comunes, tomar decisiones urgentes y tener patrones de comunicación particulares. Los atacantes estudian estos hábitos y los usan a su favor.

Ataques recientes de whaling han aparecido en los titulares y le han costado dinero serio a varias organizaciones. A principios de 2025, la oficina de Arup en Hong Kong fue víctima de la estafa de whaling impulsada por IA. Videos y clones de voz tipo deepfake de ejecutivos convencieron a un empleado de finanzas de transferir HK$200 millones (US$25,6 millones) a los estafadores. 

Dato curioso: El término "whaling" viene del tamaño y valor del objetivo, similar a como los balleneros históricos cazaban las criaturas más grandes del océano por sus valiosos recursos. Los cibercriminales modernos usan la misma lógica. ¿Para qué apuntar a peces pequeños cuando se puede ir tras las ballenas con acceso a las ganancias más grandes?

El spear phishing es un ataque de phishing dirigido a empleados o equipos específicos dentro de una organización. En lugar de ir solo tras los altos ejecutivos, los atacantes suelen apuntar al personal de RR. HH., administradores de TI, equipos de finanzas y otros empleados con acceso a sistemas, datos o flujos de trabajo útiles.

Estos ataques suelen aparecer como correos o mensajes altamente personalizados que suplantan a un proveedor confiable, un colega interno o un prestador de servicios. El objetivo es lograr que una sola persona haga clic, descargue, apruebe o envíe algo que no debería.

El informe de Huntress de 2025 muestra lo común que sigue siendo la suplantación de marcas en estas campañas. En 285 grupos de phishing, los correos con la marca Microsoft representaron casi el 40 % de los incidentes, mientras que DocuSign representó casi el 25 %. Otras marcas suplantadas con frecuencia fueron Dropbox, ShareFile, Adobe, Paychex y Apple.

La mayor diferencia entre whaling y spear phishing es el objetivo.

• El whaling se enfoca en altos ejecutivos y tomadores de decisiones clave con autoridad sobre el dinero, la estrategia o los datos sensibles del negocio.

• El spear phishing se enfoca de forma más amplia en empleados que pueden dar acceso, credenciales, aprobaciones o puntos de entrada al negocio.

Los ataques de whaling suelen ser más personalizados y pueden implicar engaños de varios pasos, incluyendo suplantación de identidad, clonación de voz o ingeniería social asistida por deepfake. Las campañas de spear phishing también son personalizadas, pero suelen ejecutarse a mayor escala entre varios usuarios o departamentos.

Ya sea que el ataque esté dirigido al CEO o a un empleado de primera línea, las consecuencias pueden ser graves.

El phishing sigue siendo una de las rutas de ataque más costosas y efectivas. Según la página de estadísticas de phishing de Huntress, el phishing sigue siendo un vector de ataque inicial con un costo promedio de $4,88 millones por incidente en 2025, mientras que los ataques BEC causaron $6,3 mil millones en pérdidas, según el DBIR de Verizon de 2025.

La exposición general también es significativa. Huntress informa que el 44% de las organizaciones sufrieron ataques de phishing, incluyendo spear phishing y whaling.

Y el riesgo no es solo financiero. El DBIR de Verizon de 2025 encontró que el 60% de las brechas involucró el elemento humano, que es exactamente por qué estos ataques de ingeniería social siguen evadiendo las defensas tradicionales.

Una vez que un correo de phishing llega, los defensores casi no tienen tiempo para reaccionar. Huntress informa que la mediana del tiempo que tarda un usuario en hacer clic en un enlace de phishing y enviar su información es menos de 60 segundos.

Eso significa que un solo descuido puede derivar rápidamente en robo de credenciales, fraude electrónico, pérdida de datos, interrupción operativa, consecuencias regulatorias y daño reputacional a largo plazo.

Defenderse contra estos ataques requiere más que un solo filtro de correo o un recordatorio de concientización. La protección efectiva debe ser por capas.

Monitoreo de identidad y autenticación

La autenticación multifactor debería ser estándar, especialmente para sistemas financieros, cuentas privilegiadas y acceso de administrador. ITDR agrega otra capa crítica al ayudar a identificar comportamientos de autenticación anómalos antes de que un atacante pueda avanzar más dentro del entorno.

Security awareness training

Los empleados necesitan capacitación continua que refleje cómo funciona el phishing hoy en día. Los ejecutivos también la necesitan, ya que su visibilidad y autoridad los convierten en objetivos principales para ataques más severos y personalizados.

Huntress Managed SAT incluye capacitación atractiva basada en historias, simulaciones de phishing basadas en amenazas reales, recordatorios automáticos, informes mensuales, capacitación personalizada de recuperación tras phishing, gamificación e informes detallados para ayudar a los equipos a reforzar el cambio de comportamiento con el tiempo.

Protocolos de verificación

Las solicitudes de alto riesgo nunca deben aprobarse únicamente por correo electrónico. Las transferencias, restablecimientos de credenciales, cambios de sistema y cambios de pago a proveedores deben requerir verificación separada a través de un número de teléfono conocido, confirmación en persona o chat interno.

El phishing se aprovecha de la disposición a ayudar y de la urgencia, así que cuando un mensaje se sienta ligeramente sospechoso, el destinatario debe verificarlo por medios directos como mensajería instantánea, una llamada telefónica o comunicación cara a cara.

Mejor reporte y coaching

Un programa maduro de defensa contra phishing debe medir más que los clics. Huntress destaca la tasa de reporte como un indicador adelantado más valioso que la tasa de clics por sí sola, y sus informes ayudan a los administradores a seguir tendencias con el tiempo e identificar departamentos, roles o usuarios de mayor riesgo.

Los actores de amenazas no se enfocan en una sola capa del negocio. Atacan a quien sea más probable que les dé acceso, ya sea un ejecutivo de finanzas, un gerente de RR. HH., un administrador de TI o un usuario final que actúa con demasiada rapidez.

Huntress ayuda a cerrar esas brechas con un enfoque por capas. Managed SAT ayuda a los empleados a reconocer los intentos de phishing y a generar un informe al respecto, mientras que Managed ITDR da seguimiento al comportamiento de las identidades para ayudar a detectar y detener accesos sospechosos antes de que se conviertan en un compromiso más amplio.

La conclusión: tu organización es tan fuerte como las personas, los procesos y las protecciones que la rodean. Y en un panorama de amenazas donde los usuarios pueden verse comprometidos en menos de un minuto, la defensa por capas es esencial.

Descubre cómo Huntress puede ayudar a proteger tu organización contra spear phishing, whaling y otros ataques dirigidos con una prueba gratuita de Huntress Managed SAT.