¿Qué es el phishing y por qué es tan peligroso?
El phishing es un tipo de ciberataque en el que el atacante suplanta la identidad de una entidad de confianza —un banco, una red social, un servicio de correo o una empresa— para engañar a la víctima y conseguir que entregue voluntariamente datos confidenciales como contraseñas, números de tarjeta o credenciales de acceso. Es uno de los métodos de fraude digital más extendidos porque no requiere vulnerabilidades técnicas sofisticadas: explota la psicología humana.
Cómo funciona un ataque de phishing
La mecánica básica de un ataque de phishing sigue siempre el mismo esquema. El atacante envía un mensaje —habitualmente por correo electrónico, aunque también por SMS o mensajería instantánea— que imita con precisión la comunicación oficial de una entidad reconocible: logotipo, colores, formato, firma y hasta el dominio del remitente parecen legítimos.
El mensaje incluye un elemento de urgencia o alerta: «Se ha detectado actividad sospechosa en tu cuenta», «Tu acceso expira en 24 horas», «Tienes un paquete pendiente de entrega». Ese elemento de presión emocional es clave: busca que la víctima actúe rápido, sin detenerse a verificar.
El mensaje incluye un enlace que lleva a una página web clonada, visualmente idéntica a la original. Cuando la víctima introduce sus credenciales en esa página falsa, el atacante las captura inmediatamente. A partir de ahí puede acceder a la cuenta real, vender los datos en foros clandestinos, usarlos para acceder a otros servicios vinculados o chantajear a la víctima.
Tipos de phishing más habituales
- Phishing masivo por correo. El más común. El atacante envía el mismo mensaje a miles o millones de direcciones esperando que un porcentaje pequeño caiga. No está personalizado: solo imita marcas muy conocidas (bancos, Amazon, Correos, Google).
- Spear phishing. Ataque dirigido a una persona o empresa concreta. El atacante investiga previamente a la víctima —nombre, cargo, empresa, compañeros— y personaliza el mensaje para que resulte más creíble. Es más difícil de detectar y mucho más efectivo.
- Smishing. Phishing por SMS. El mensaje incluye un enlace acortado que lleva a una web fraudulenta. Se usa frecuentemente para simular notificaciones de paquetes, alertas bancarias o mensajes de organismos oficiales.
- Vishing. Phishing por llamada telefónica. El atacante llama a la víctima haciéndose pasar por el soporte técnico de su banco o empresa y le solicita datos directamente durante la conversación.
- Whaling. Phishing dirigido a altos directivos de empresas. El objetivo es obtener acceso a sistemas corporativos críticos o autorizar transferencias bancarias fraudulentas. Los mensajes son muy elaborados y suelen imitar correos internos de la propia empresa.
- Browser-in-browser. Técnica avanzada que genera una ventana de navegador falsa dentro de la página real, con una URL aparentemente legítima. Los ataques browser-in-browser son especialmente peligrosos porque el usuario ve una URL que parece correcta.
Cómo reconocer un intento de phishing
Detectar un phishing a tiempo es la mejor defensa. Estas son las señales más habituales:
- Dirección del remitente alterada. La dirección real del remitente —no el nombre visible— contiene errores sutiles: «soporte@paypa1.com» en lugar de «soporte@paypal.com», caracteres adicionales o dominios de país distintos al esperado.
- Urgencia o amenaza. El mensaje presiona para actuar de inmediato: «Tu cuenta será suspendida», «Confirma tu identidad antes de las 24 horas», «Has ganado un premio, reclámalo ahora». Las organizaciones legítimas no comunican así.
- Enlace que no coincide con el dominio oficial. Al pasar el cursor sobre el enlace —sin hacer clic— puedes ver la URL real en la barra inferior del navegador. Si el dominio no coincide exactamente con el oficial, es una señal de alarma.
- Solicitud de datos que ningún servicio pide por correo. Los bancos y servicios de pago nunca piden contraseñas, códigos PIN o números de tarjeta completos por correo electrónico.
- Errores ortográficos o de formato. Las organizaciones serias cuidan su comunicación. Errores gramaticales, frases confusas o formato irregular son indicios frecuentes de mensajes fraudulentos.
Cómo protegerse del phishing
La protección frente al phishing combina hábitos de uso y herramientas técnicas. Entre los más efectivos:
- Verificar siempre el remitente. Antes de abrir cualquier enlace, comprobar la dirección real de correo —no solo el nombre mostrado— y buscar la URL oficial del servicio directamente en el navegador, sin usar el enlace del mensaje.
- Activar la autenticación en dos pasos. Aunque el atacante consiga la contraseña, sin el segundo factor no puede acceder a la cuenta. Es la medida individual más efectiva contra el phishing de credenciales.
- Mantener actualizado el software. El navegador y el sistema operativo reciben parches que corrigen vulnerabilidades usadas en ataques de phishing técnicamente avanzados.
- Usar un gestor de contraseñas. Los gestores de contraseñas solo autocompletan credenciales en el dominio correcto: si la página es una copia fraudulenta con un dominio diferente, el gestor no rellenará nada, lo que alerta al usuario.
- Filtros antispam y antiphishing. Los principales proveedores de correo incluyen filtros que detectan y bloquean muchos mensajes de phishing antes de que lleguen a la bandeja de entrada.
El phishing es uno de los vectores más frecuentes en los delitos informáticos más comunes, pero también uno de los más prevenibles con hábitos básicos de verificación. Las empresas que quieren proteger su infraestructura corporativa frente a estos ataques cada vez optan por arquitecturas como el modelo Zero Trust, que verifica cada acceso independientemente de su origen, reduciendo el impacto de un ataque exitoso de phishing sobre toda la red. Una política sólida de seguridad de la información siempre incluye formación específica en detección de phishing para todos los empleados.
