[kimare_blog_quick_answer]
El phishing es una técnica de fraude digital en la que un atacante se hace pasar por una persona, empresa o institución confiable para engañar a una víctima.
Su objetivo suele ser conseguir información confidencial, como contraseñas, datos bancarios o códigos de acceso. También puede buscar que la persona descargue un archivo malicioso, visite una página falsa o realice una transferencia de dinero.
El phishing es una de las formas más conocidas de ingeniería social. Su efectividad depende menos de vulnerar directamente un sistema y más de conseguir que una persona realice voluntariamente una acción.
¿Cómo funciona el phishing?
Un ataque de phishing comienza normalmente con un mensaje diseñado para parecer legítimo.
Puede aparentar provenir de un banco, una plataforma digital, un proveedor, una empresa conocida o incluso una persona del mismo equipo de trabajo.
El mensaje intenta generar una reacción.
Por ejemplo:
- “Detectamos un acceso sospechoso a tu cuenta”.
- “Tu contraseña está próxima a vencer”.
- “Tienes una factura pendiente”.
- “Necesitamos que confirmes esta transferencia”.
- “Tu cuenta será suspendida”.
- “Revisa urgentemente el documento adjunto”.
El atacante busca que la víctima actúe antes de comprobar si la solicitud es auténtica.
¿Qué puede buscar un ataque de phishing?
Los objetivos pueden variar.
Un atacante puede intentar obtener:
- nombres de usuario y contraseñas;
- información bancaria;
- números de tarjetas;
- códigos de autenticación;
- documentos confidenciales;
- datos personales;
- acceso a cuentas corporativas.
También puede utilizar el phishing para instalar malware o iniciar un ataque de ransomware.
Por eso, un mensaje aparentemente sencillo puede convertirse en el primer paso de un incidente de seguridad mucho mayor.
Tipos de phishing
No todos los ataques de phishing funcionan de la misma manera.
Phishing por correo electrónico
Es una de las modalidades más conocidas.
El atacante envía un correo que imita la identidad visual y el lenguaje de una organización legítima.
El mensaje puede incluir un enlace hacia una página falsa o un archivo malicioso.
Spear phishing
El spear phishing está dirigido específicamente a una persona o grupo.
El atacante investiga previamente a su objetivo y utiliza información real para hacer el mensaje más convincente.
Puede incluir el nombre de un compañero, un proyecto, un proveedor o información sobre la organización.
Whaling
El whaling es una modalidad dirigida especialmente a altos ejecutivos, directivos u otras personas con acceso privilegiado.
Los atacantes pueden buscar información confidencial, autorizaciones o acceso a recursos importantes.
Smishing
El smishing utiliza mensajes de texto o servicios de mensajería.
Puede incluir enlaces falsos relacionados con paquetes, bancos, multas, beneficios, promociones o supuestos problemas de seguridad.
Vishing
El vishing utiliza llamadas telefónicas.
El atacante puede hacerse pasar por un empleado bancario, un técnico, un funcionario o una persona de confianza para solicitar información o inducir una acción.
¿Cómo identificar un intento de phishing?
No existe una única señal que permita identificar todos los ataques.
Sin embargo, algunos elementos deberían generar precaución.
Mensajes inesperados
Desconfía de solicitudes que no esperabas, especialmente cuando involucran dinero, contraseñas o información confidencial.
Sensación de urgencia
Los atacantes suelen intentar reducir el tiempo disponible para pensar.
Frases como “actúa inmediatamente” o “tu cuenta será bloqueada” buscan generar presión.
Solicitudes de información sensible
Una organización legítima normalmente no debería solicitar contraseñas completas mediante correo electrónico o mensajes.
Direcciones sospechosas
El nombre visible del remitente puede parecer correcto mientras la dirección real pertenece a otro dominio.
Conviene comprobarla antes de responder.
Enlaces extraños
Un enlace puede mostrar un texto conocido, pero dirigir hacia otro sitio.
Antes de ingresar información, es importante comprobar el dominio.
Archivos adjuntos inesperados
Documentos, archivos comprimidos y otros adjuntos pueden contener contenido malicioso.
Si no estabas esperando el archivo, verifica primero su procedencia.
¿Qué hacer si recibes un posible phishing?
Evita responder inmediatamente.
No abras enlaces ni descargues archivos hasta comprobar el origen del mensaje.
Si aparentemente proviene de una empresa, entra directamente a su sitio o aplicación oficial en lugar de utilizar el enlace recibido.
Cuando la solicitud provenga de un compañero, directivo o proveedor, confirma la información mediante otro canal.
En una organización también es importante reportar el mensaje al equipo responsable de seguridad o tecnología.
¿Qué pasa si ya hiciste clic?
Hacer clic no significa necesariamente que una cuenta haya sido comprometida, pero es importante evaluar lo ocurrido.
Si ingresaste una contraseña en un sitio sospechoso, cámbiala desde el servicio legítimo.
También conviene cerrar sesiones abiertas y activar la autenticación multifactor cuando esté disponible.
Si descargaste o ejecutaste un archivo, informa al responsable de tecnología o seguridad para evaluar el dispositivo.
Cuando existe información financiera comprometida, también puede ser necesario contactar directamente a la entidad correspondiente.
Actuar rápidamente puede ayudar a limitar el impacto.
¿Cómo prevenir el phishing?
La prevención combina hábitos individuales, tecnología y procesos organizacionales.
Entre las medidas más importantes se encuentran:
- utilizar autenticación multifactor;
- mantener los sistemas actualizados;
- utilizar filtros de correo;
- verificar solicitudes sensibles mediante otro canal;
- capacitar periódicamente a los equipos;
- establecer protocolos para pagos y transferencias;
- evitar reutilizar contraseñas;
- reportar mensajes sospechosos.
Las organizaciones también pueden realizar simulaciones de phishing para fortalecer la capacidad de sus equipos para reconocer intentos de fraude.
Phishing e ingeniería social
El phishing está estrechamente relacionado con la ingeniería social.
En ambos casos, el atacante intenta manipular decisiones humanas.
Puede utilizar autoridad, miedo, confianza, curiosidad o urgencia para conseguir una respuesta.
Por eso, combatir el phishing no depende únicamente de instalar herramientas de seguridad.
También requiere crear una cultura en la que verificar una solicitud inusual sea parte normal del trabajo.
Ejemplo de phishing
Una persona recibe un correo que parece provenir de su banco.
El mensaje afirma que su cuenta será bloqueada debido a una actividad sospechosa e incluye un botón para verificar la identidad.
La página abierta mediante ese botón imita el sitio real del banco.
Cuando la persona introduce su usuario y contraseña, esos datos son enviados al atacante.
Ese es un ejemplo típico de phishing: la víctima cree estar interactuando con una organización legítima, pero en realidad está entregando información a quien la está suplantando.
En pocas palabras
El phishing es un ataque basado en el engaño.
Busca conseguir que una persona entregue información, descargue contenido o realice una acción creyendo que está interactuando con una fuente confiable.
Reconocer mensajes inesperados, verificar remitentes y evitar actuar bajo presión son prácticas esenciales para reducir el riesgo.
Términos relacionados: ingeniería social, spear phishing, smishing, vishing, malware, ransomware, autenticación multifactor y ciberseguridad.