El Phishing es un fraude digital que engaña a personas para obtener credenciales, dinero o información sensible mediante comunicaciones falsificadas. En España ha crecido su incidencia y sofisticación, afectando tanto a usuarios particulares como a empresas y administraciones. La defensa eficaz combina medidas tecnológicas, procesos organizativos y formación continua.
Naturaleza del phishing
El phishing se basa en la suplantación de identidad: el atacante crea mensajes que parecen proceder de entidades legítimas —bancos, proveedores, organismos públicos— para inducir a la víctima a actuar impulsivamente. Puede presentarse por correo electrónico, SMS, mensajería instantánea o llamadas telefónicas, y va desde campañas masivas hasta ataques dirigidos que usan información personal para ganar credibilidad. Su éxito depende de la combinación entre ingeniería social y técnicas técnicas que facilitan la entrega y la evasión de filtros.
Técnicas y vectores actuales
Las tácticas más habituales incluyen enlaces a páginas falsas, archivos adjuntos con malware y formularios que capturan credenciales. El spear‑phishing personaliza el mensaje con datos públicos o filtrados para aumentar la probabilidad de respuesta. Además, los atacantes emplean dominios parecidos, certificados TLS legítimos y servicios en la nube para alojar páginas fraudulentas, lo que complica la detección automática.
Impacto económico y operativo
El phishing genera pérdidas directas por transferencias y compras no autorizadas, y costes indirectos por recuperación, investigación y daño reputacional. Para empresas supone interrupciones operativas, exposición de datos sensibles y posibles sanciones regulatorias si se demuestra falta de controles. A nivel social, erosiona la confianza en servicios digitales y aumenta la carga sobre los equipos de soporte y seguridad.
Prevención y respuesta eficaz
La protección debe ser multicapa: filtros avanzados de correo y sandboxing, autenticación multifactor en cuentas críticas, segmentación de redes y políticas de acceso mínimo. Es esencial disponer de procedimientos claros de respuesta a incidentes, canales de denuncia accesibles y copias de seguridad verificadas. La detección temprana y la contención limitan el alcance y reducen el coste de recuperación.
Recomendaciones prácticas
Para usuarios: no clicar enlaces sospechosos, verificar remitentes, activar MFA y usar gestores de contraseñas. Para organizaciones: realizar simulacros de phishing, implantar controles técnicos en el correo, exigir MFA para accesos remotos y mantener un plan de respuesta probado. Denunciar incidentes a los organismos competentes facilita la investigación y ayuda a mitigar campañas a gran escala.
EJEMPLOS
La suplantación de identidad (phishing) adopta muchas formas: correos falsos, SMS, llamadas, páginas clonadas, mensajes en redes sociales y ataques dirigidos a empresas; las variantes más peligrosas son las dirigidas y las que afectan a organizaciones.
Ejemplos concretos de suplantación de identidad
1. Correo electrónico fraudulento (phishing clásico)
Un mensaje que imita a un banco o servicio, incluye un enlace a una web clonada y solicita iniciar sesión. Los dominios suelen ser parecidos al real y usan lenguaje urgente.
2. Spear‑phishing (ataque dirigido)
Correo o mensaje personalizado usando datos públicos o filtrados (nombre, cargo, proveedores) para engañar a una persona concreta; frecuente en ataques contra empleados con acceso a finanzas.
3. Smishing (SMS) y vishing (llamadas)
Mensajes SMS con enlaces o llamadas donde el atacante finge ser soporte técnico o banco para obtener códigos o contraseñas. Estas variantes explotan la inmediatez y la confianza telefónica.
4. Business Email Compromise (BEC) y CEO fraud
Suplantación de la dirección de un directivo para ordenar transferencias o aprobar facturas; suele combinar ingeniería social y conocimiento interno de la empresa.
5. Clone phishing y pharming
Clone phishing: se reenvía un correo legítimo modificado con enlaces maliciosos. Pharming: el atacante redirige tráfico a una web falsa a nivel de DNS o router. Ambas buscan capturar credenciales sin que la víctima sospeche.
6. QRishing y suplantación en redes sociales
Códigos QR que llevan a páginas fraudulentas y perfiles falsos que piden datos o enlaces maliciosos; las redes sociales se usan para ganar confianza antes del ataque.
Señales para identificarlos
- Urgencia en el mensaje; errores de ortografía; remitente con dominio extraño; enlaces que no coinciden con la URL mostrada; peticiones de códigos o transferencias.
- En ataques dirigidos, la señal es la personalización excesiva: datos que solo alguien con acceso a información interna conocería.
Qué hacer si recibes uno
- No clicar; verificar remitente; acceder al servicio escribiendo la URL manualmente; activar autenticación multifactor (MFA); denunciar a la entidad y a INCIBE o a las fuerzas de seguridad. Las campañas de phishing siguen siendo una de las principales fuentes de fraude online en España.
Plantillas de Detección
Aquí tienes cinco plantillas prácticas y listas de verificación para detectar y priorizar intentos de phishing (correo, SMS, llamada, QR y reporte interno), listas para copiar y adaptar a tu organización. Cada plantilla incluye indicadores clave, acciones inmediatas y campos para evidencias.
Plantilla 1 — Checklist rápido para usuarios (correo electrónico)
Objetivo: Decidir en segundos si un correo es sospechoso.
- Remitente: ¿Dominio coincide exactamente con el proveedor oficial?; si no, marcar.
- Asunto y tono: ¿Urgencia, amenazas o recompensas exageradas?; si sí, marcar.
- Enlaces: Pasar el cursor y comprobar URL real; si difiere, no clicar.
- Adjuntos: ¿Extensiones .exe, .zip, .scr o macros?; si sí, no abrir.
- Solicitudes: ¿Piden credenciales, códigos o transferencias?; si sí, verificar por otro canal.
- Acción inmediata: Reportar a seguridad y reenviar con encabezados completos.
Plantilla 2 — Formulario de reporte interno (empleado)
Campos obligatorios: Fecha y hora; canal (email/SMS/llamada/QR); remitente mostrado; URL(s) y captura; asunto y cuerpo; archivos adjuntos; acción realizada por el empleado; impacto percibido; contacto del reportante. Prioridad: Alta si hay solicitudes de pago o acceso; Media si hay enlaces sospechosos; Baja si es solo spam.
Plantilla 3 — Análisis técnico inicial para SOC
Recolectar: Cabeceras completas del correo; IP origen; registros de gateway y antivirus; hash de adjuntos; URL y certificado TLS. Clasificación: Usar escala de riesgo 0–10 (ver CDMSS) para priorizar respuesta. Contención rápida: Bloquear remitente y dominio en gateway; aislar endpoints afectados; invalidar sesiones si hubo credenciales comprometidas.
Plantilla 4 — Reglas SIEM y detección automatizada
Reglas sugeridas:
- Correo con dominio parecido + enlace externo = alerta.
- Adjuntos con macros o ejecutables = alerta crítica.
- Múltiples fallos de autenticación tras clic en enlace = correlación de incidente. Metadatos a almacenar: Message-ID; SPF/DKIM/DMARC result; URL final; hash de archivo.
Plantilla 5 — Checklist para smishing, vishing y QRishing
Smishing (SMS): No clicar enlaces; comprobar remitente; verificar con la entidad por otro canal. Vishing (llamada): No facilitar códigos ni contraseñas; colgar y llamar al número oficial. QRishing: No escanear QR de fuentes desconocidas; abrir URL en navegador y comprobar dominio. Acción: Reportar y bloquear número o código QR en repositorio interno.
Recomendaciones operativas clave
- Implementa un sistema de reporte sencillo (un botón en el cliente de correo) y un playbook de respuesta.
- Entrena con simulacros periódicos y mide la tasa de clics; actualiza filtros según lecciones aprendidas.
- Prioriza alertas usando un sistema de puntuación (CDMSS) para asignar recursos del SOC eficientemente.