Phishing: así te roban con un simple correo (y qué hacer para evitarlo)

Llevo años analizando amenazas digitales y si hay una que se mantiene imbatible en cuanto a efectividad y sencillez, esa es el phishing. Aunque parezca difícil de creer, en pleno 2022 seguimos cayendo en la trampa de un correo aparentemente legítimo que nos pide «verificar nuestra cuenta» o «confirmar un pago urgente». Y lo peor es que las técnicas de phishing son cada vez más sofisticadas, por lo que detectarlas se ha convertido en todo un desafío.

Qué es realmente el phishing (y por qué funciona tan bien)

El phishing, o suplantación de identidad, es una técnica mediante la cual los ciberdelincuentes se hacen pasar por entidades legítimas —bancos, servicios de pago, redes sociales o incluso tu propia empresa— con el objetivo de obtener información sensible. No es un ataque técnicamente complejo; su poder radica en la manipulación psicológica.

Lo que hace al phishing tan efectivo es que explota algo muy humano: nuestra tendencia a confiar y a actuar rápido cuando percibimos urgencia o autoridad. Cuando recibes un correo aparentemente de tu banco diciendo que «tu cuenta será bloqueada en las próximas 2 horas si no verificas tus datos», el miedo te hace actuar sin pensar.

Las variantes actuales del phishing que debes conocer

No todos los ataques de phishing son iguales. Los más comunes que estoy viendo en 2022 incluyen:

Spear phishing: Ataques dirigidos específicamente a ti, usando información personal recopilada previamente. No es el clásico «Estimado cliente», sino «Hola Carlos, sobre tu compra reciente en MediaMarkt…»
Smishing: La versión por SMS. Mensajes cortos que incluyen enlaces maliciosos, típicamente simulando ser servicios de paquetería o bancos.
Vishing: Phishing por voz, donde recibimos llamadas que se hacen pasar por soporte técnico o servicios al cliente.
Whaling: El phishing dirigido a ejecutivos o posiciones de alto nivel en empresas. El premio es mayor, así que la elaboración también.

Las señales de alerta que delatan un correo fraudulento

A estas alturas quizá pienses que nunca caerías en una estafa de phishing. Permíteme dudarlo. He visto páginas falsas que son prácticamente idénticas a las reales, con URLs que difieren por un solo carácter. Sin embargo, hay pistas que siempre están presentes:

Señales en la comunicación

Urgencia exagerada: «Actúe inmediatamente» o «Su cuenta será suspendida en 24 horas».
Errores gramaticales: Aunque han mejorado mucho, los ataques más masivos suelen contener faltas de ortografía o traducciones pobres.
Saludo genérico: «Estimado usuario» en lugar de tu nombre (aunque esto ya está cambiando con los ataques dirigidos).
Solicitudes inusuales: Peticiones de información que la entidad legítima nunca te pediría por correo, como contraseñas completas.

Señales técnicas

URLs sospechosas: Al pasar el cursor sobre el enlace (sin hacer clic), verás que la dirección no coincide con la oficial.
Dominios extraños: Por ejemplo, «bancosantander-verificacion.com» en lugar de «bancosantander.es».
Archivos adjuntos inesperados: Especialmente si tienen extensiones como .exe, .zip o .doc con macros.
Certificados de seguridad: En caso de hacer clic en el enlace, fíjate si la web muestra el candado de seguridad en la URL.

Las consecuencias reales del phishing (más allá de «te pueden robar»)

El impacto de caer en una estafa de phishing va mucho más allá de perder dinero de forma inmediata, aunque eso suele ser lo primero que nos preocupa. Las consecuencias pueden ser devastadoras a nivel personal y profesional:

Robo de identidad: Con tus datos, los ciberdelincuentes pueden solicitar préstamos, abrir cuentas o realizar compras en tu nombre.
Compromiso de cuentas personales: Un acceso a tu correo puede desencadenar una serie de compromisos en cascada, ya que muchos servicios están vinculados.
Infección por malware: Algunos ataques instalan software malicioso que puede monitorizar tu actividad, robar más credenciales o cifrar tus archivos (ransomware).
Daño reputacional: Especialmente grave para empresas, que pueden ver su nombre manchado por filtraciones o por ser origen de nuevos ataques.

Hace solo dos meses, una empresa con la que trabajo sufrió un ataque que comenzó con un simple correo de phishing dirigido al departamento de contabilidad. El resultado: 18.000€ transferidos a una cuenta fraudulenta y tres semanas recuperando sistemas comprometidos.

Cómo protegerte: más allá de «ten cuidado»

Siempre que hablo de phishing me encuentro con el típico consejo de «desconfía de los correos raros». Pero necesitamos medidas más concretas y eficaces:

Medidas preventivas básicas

Verifica siempre la fuente: Si tienes dudas sobre un correo de tu banco, no utilices los enlaces del mensaje. Abre una nueva pestaña y accede manualmente a la web oficial.
Activa la autenticación en dos pasos: Es una capa extra de seguridad que requiere, además de tu contraseña, un código temporal enviado a tu dispositivo.
Mantén actualizado tu software: Las actualizaciones suelen incluir parches de seguridad que protegen contra vulnerabilidades conocidas.
Usa gestores de contraseñas: Herramientas como 1Password o LastPass no solo guardan tus claves, sino que pueden ayudarte a identificar webs falsas.

Qué hacer si ya has caído en la trampa

Si has introducido datos en una página sospechosa o has descubierto que has sido víctima de phishing:

Cambia inmediatamente tus contraseñas: Empieza por la comprometida y todas las que sean similares.
Contacta con tu banco: Si has facilitado datos bancarios, notifica inmediatamente para que bloqueen posibles transacciones.
Monitoriza tus cuentas: Revisa extracciones, movimientos extraños o accesos desde dispositivos desconocidos.
Denuncia el incidente: En España puedes hacerlo a través del Instituto Nacional de Ciberseguridad (INCIBE) o la Policía Nacional.

El futuro del phishing: IA y deepfakes cambian el juego

Como ya comentamos en la sección anterior sobre ciberseguridad, las amenazas evolucionan constantemente. Y el phishing no es una excepción. Los ataques que estoy viendo ahora son mucho más elaborados que hace unos años, y la tendencia es preocupante:

Phishing potenciado por IA: Los atacantes están usando inteligencia artificial para crear correos perfectamente redactados, sin fallos gramaticales y personalizados según el perfil de la víctima.
Deepfakes de voz: Ya hay casos documentados donde los estafadores utilizan imitaciones de voz generadas por IA para suplantar a jefes o colegas en llamadas telefónicas, solicitando transferencias urgentes.
Ataques multifase: Combinan distintos métodos: primero un correo