¿Qué es el phishing? Tipos, señales y cómo evitarlo en tu empresa
Todo sobre el phishing explicado para directivos: tipos, señales, ejemplos, datos recientes y los controles que de verdad lo frenan, con infografías y fuentes.
El phishing es una forma de ingeniería social que usa correos, mensajes o sitios falsos para pedir información personal o financiera haciéndose pasar por una organización de confianza (CISA). Existen variantes como el spear phishing, el whaling, el smishing, el vishing y el BEC. Se frena con autenticación del correo (SPF, DKIM y DMARC), doble factor resistente al phishing, verificación por otro canal y respuesta rápida.
- Tipos: masivo, spear phishing, whaling, vishing, smishing, BEC y quishing.
- Señales: urgencia, petición de datos, remitente o enlace sospechosos.
- Controles: SPF/DKIM/DMARC, filtrado, FIDO2, verificación por segundo canal.
- Si caíste: avisa, aísla, cambia claves, avisa al banco y reporta.
¿Qué es el phishing?
El phishing es una forma de ingeniería social que usa correos, mensajes o sitios web falsos para pedir información personal o financiera haciéndose pasar por una organización de confianza. Esta es, en esencia, la descripción de CISA.
Funciona porque el atacante no necesita romper ningún sistema: le basta con que una persona haga clic, entregue una clave o autorice un pago. Si quieres ver la categoría completa, lee nuestra guía de ingeniería social.
Los 7 tipos de phishing que debes conocer
CISA describe los cuatro primeros en sus materiales; el BEC y el quishing son términos de uso común en la industria:
Mensajes genéricos que imitan a una marca o servicio para robar datos.
Dirigido a una persona, con datos suyos para parecer creíble.
Dirigido a altos directivos y personas de alto perfil.
Por llamada de voz y por mensaje de texto.
Correo, a menudo en nombre de un ejecutivo o proveedor, para inducir transferencias.
Códigos QR falsos que llevan a sitios de robo de datos.
Mensajes impecables y hasta voces o videos falsos (deepfakes), difíciles de distinguir.
Fuentes: CISA (tarjeta informativa sobre phishing) y FBI IC3 (descripción del BEC).
10 señales de que un mensaje es falso
Combina las señales que listan CISA y la FTC:
- Urgencia o miedo: "tu cuenta se cierra hoy" o consecuencias graves si no actúas.
- Piden datos personales o financieros por correo o mensaje.
- Remitente sospechoso: el dominio se parece al real pero no es.
- Enlaces raros o acortados cuya dirección no coincide con lo que dice el texto.
- Saludo genérico en lugar de tu nombre.
- Un enlace para "actualizar tu pago" o confirmar una factura que no reconoces.
- Cupones, reembolsos o premios que no esperabas.
- Cambio de cuenta bancaria de un proveedor comunicado solo por correo.
- Solicitud fuera de proceso de un directivo o proveedor.
- Ortografía impecable: no es señal de que sea legítimo; CISA advierte que la IA ya redacta sin errores.
3 ejemplos genéricos y las pistas que delatan el engaño
Escenarios ilustrativos, sin marcas reales:
Pide iniciar sesión en un enlace para "liberar espacio". Pistas: urgencia, dominio del remitente distinto al de tu empresa y enlace que no lleva a tu portal.
Un supuesto proveedor pide transferir a una cuenta nueva. Pistas: cambio solo por correo, presión de tiempo y falta de confirmación por otro canal.
Mensaje con un enlace para pagar un cargo menor. Pistas: no esperabas ningún paquete, el enlace es raro y pide datos de tarjeta.
Ejemplos ilustrativos de Cyberkust.
Qué tan común es: los datos más recientes
Las cifras provienen de resúmenes de los informes originales (fuentes secundarias) y conviene confirmarlas en ellos. Las del FBI son de denuncias en Estados Unidos, no de México.
Fuentes: Verizon (vía Keepnet) y FBI IC3 (vía dmarcian). El resumen oficial de Verizon no se pudo leer directamente.
Cómo protegerse: 7 controles prioritarios para una empresa
La guía conjunta de CISA, NSA, FBI y MS-ISAC (2023) y la ficha de CISA sobre doble factor ordenan las prioridades:
- 1Autentica el correoSPF, DKIM y DMARC, con política de rechazo, para frenar la suplantación de tu dominio.
- 2FiltraFiltros de correo y de enlaces que detengan mensajes maliciosos antes de llegar.
- 3Doble factor resistenteFIDO/WebAuthn o PKI en cuentas críticas; SMS, voz y push pueden ser vulnerables.
- 4Verifica por otro canalPagos y cambios de cuenta confirmados por un teléfono conocido.
- 5Facilita el reporteUn botón o dirección para reportar mensajes sin miedo a regaños.
- 6Capacita con prácticaSesiones cortas y ejemplos reales; no es suficiente por sí sola.
- 7Prepara la respuestaUn plan para actuar en minutos si alguien hace clic.
Fuentes: CISA/NSA/FBI/MS-ISAC (Phishing Guidance, 2023) y CISA (Implementing Phishing-Resistant MFA, 2022). Más sobre este servicio: protección contra ransomware y phishing.
Si alguien hizo clic: qué hacer
Los pasos coinciden en CISA y la FTC:
- 1AvisaInforma de inmediato a TI o a seguridad, o a tu administrador.
- 2Aísla y escaneaDesconecta el equipo si es posible y revísalo con protección de seguridad.
- 3Cambia clavesLas expuestas y las de otras cuentas donde se repitan; revoca sesiones abiertas.
- 4Avisa al bancoSi se compartieron datos financieros o se hicieron pagos.
- 5ReportaA las autoridades y a quien corresponda; puedes reenviar correos de phishing a [email protected].
- 6Revisa el alcanceSi fue en una empresa, investiga qué se accedió y activa tu plan de respuesta.
Fuentes: CISA y FTC. En México, verifica en los sitios oficiales los datos de contacto vigentes de la Policía Cibernética de la SSC de la CDMX, la Guardia Nacional (CERT-MX) y la Condusef si hay un fraude financiero. Si es un incidente en tu empresa: respuesta a incidentes.
Cómo te ayuda Cyberkust
Revisamos tu correo, tus procesos de pago y tu capacitación, e implementamos las capas de defensa en nuestra protección contra ransomware y phishing. También puedes leer la guía de ransomware, que a menudo empieza con un correo falso.
Descubre qué tan preparada está tu empresa antes de que pase algo.
En una primera evaluación identificamos riesgos visibles, puntos críticos y los primeros pasos para proteger información, operación y clientes. Sin costo inicial.
Preguntas frecuentes
¿Qué es el phishing?
Es una forma de ingeniería social que usa correos, mensajes o sitios falsos para solicitar información personal o financiera haciéndose pasar por una organización de confianza. Así lo describe la agencia estadounidense CISA.
¿Qué es el spear phishing y el whaling?
El spear phishing es un phishing dirigido a una persona concreta, con datos suyos para parecer creíble. El whaling apunta a personas de alto perfil, como directivos. Ambos aparecen en los materiales de CISA.
¿Qué es el smishing y el vishing?
El smishing es el phishing por mensaje de texto (SMS) y el vishing es el phishing por llamada de voz. Son variantes del mismo engaño en otros canales.
¿Qué es el BEC o fraude del director?
Es un fraude por correo dirigido, a menudo en nombre de un supuesto ejecutivo o proveedor, para inducir transferencias o cambios de datos bancarios. Según resúmenes del informe del FBI IC3 de 2025, causó pérdidas por unos US$3,050 millones en Estados Unidos.
¿Cómo reconocer un correo de phishing?
Con señales como lenguaje urgente o emotivo, solicitudes de datos personales o financieros, remitentes o enlaces sospechosos y saludos genéricos. CISA advierte que los errores de gramática ya no son una señal fiable, porque la IA permite redactar mensajes impecables.
¿Qué tipo de doble factor protege contra el phishing?
El doble factor resistente al phishing, basado en estándares como FIDO/WebAuthn o en infraestructura de llave pública (PKI). Según CISA, el código por SMS, la llamada o la notificación push pueden ser vulnerables a ataques como el cambio de SIM o la fatiga de notificaciones.
¿Cómo evito que suplanten el dominio de mi empresa?
Configurando SPF, DKIM y DMARC, idealmente con una política de rechazo para los mensajes que fallen la verificación. Es una de las recomendaciones de la guía conjunta de CISA, NSA, FBI y MS-ISAC sobre phishing.
¿Qué hago si alguien hizo clic en un enlace falso?
Avisa de inmediato al área de TI o de seguridad, desconecta y escanea el equipo, cambia las contraseñas expuestas (y las de otras cuentas donde se repitan), avisa al banco si hay datos financieros involucrados y reporta el caso. Son los pasos que recomiendan CISA y la FTC.
Fuentes y referencias
Consultadas el 8 y 9 de octubre de 2026. Cuando una cifra proviene de una nota que cita un informe original, lo indicamos. Las cifras pueden variar según la fuente y el método de conteo. Las secciones marcadas como criterio editorial reflejan la experiencia de Cyberkust y no una fuente externa.
- CISA: Avoiding Social Engineering and Phishing Attacks
- CISA: Recognize and Report Phishing (Secure Our World)
- CISA: tarjeta informativa sobre phishing (spearphishing, whaling, vishing, smishing)
- CISA, NSA, FBI y MS-ISAC: Phishing Guidance, Stopping the Attack Cycle at Phase One (2023)
- CISA: Implementing Phishing-Resistant MFA (octubre de 2022)
- FTC: cómo reconocer y evitar el phishing
- NIST CSRC: glosario, phishing
- Verizon DBIR 2026 (página oficial)
- Keepnet: resumen del Verizon DBIR 2026 (fuente secundaria de las cifras)
- dmarcian: resumen del informe del FBI IC3 2025 (fuente secundaria)
- FBI IC3: informes anuales