¿Y si el próximo correo que recibes de tu banco, de una empresa de mensajería o incluso de un compañero de trabajo no fuera realmente suyo?

El phishing se ha convertido en una de las amenazas más habituales de Internet y, aunque muchos usuarios creen que reconocerían fácilmente un mensaje fraudulento, los ciberdelincuentes utilizan técnicas cada vez más sofisticadas para engañar incluso a personas acostumbradas a trabajar con herramientas digitales.

El problema es que el correo electrónico continúa siendo una de las principales puertas de entrada de los ataques informáticos.

Según el informe DBIR 2025 de Verizon, el factor humano estuvo presente en aproximadamente el 60% de las brechas de seguridad analizadas.

Los delincuentes aprovechan esta circunstancia para distribuir mensajes que imitan comunicaciones legítimas y conseguir contraseñas, información bancaria o acceso a cuentas personales.

Un mensaje que parece completamente auténtico

Atrás quedaron muchos de aquellos correos repletos de faltas de ortografía que prometían herencias millonarias. Actualmente, los atacantes pueden reproducir logotipos, firmas corporativas, diseños y direcciones de remitentes con una apariencia prácticamente idéntica a las originales.

Una de las técnicas más utilizadas es el email spoofing, que consiste en falsificar la identidad del remitente. De esta manera, el destinatario puede recibir un mensaje que aparentemente procede de una organización conocida, aunque su origen sea completamente distinto.

También existe el thread hijacking, una modalidad especialmente peligrosa en entornos profesionales. Los delincuentes acceden a conversaciones legítimas y responden dentro del mismo hilo, aprovechando la confianza que existe entre los participantes.

La inteligencia artificial facilita los engaños

La inteligencia artificial generativa lo ha cambiado todo. Ahora es posible redactar mensajes convincentes en diferentes idiomas, adaptar el tono a una empresa concreta y eliminar los errores lingüísticos que antes permitían detectar muchos fraudes.

Además, los ciberdelincuentes recopilan información publicada en redes sociales y páginas corporativas para personalizar sus ataques. Conocer el nombre de un responsable, su cargo o una operación comercial puede resultar suficiente para elaborar una comunicación creíble.

El objetivo no siempre es conseguir dinero inmediatamente. En ocasiones, basta con obtener las credenciales de Microsoft 365, Google Workspace u otros servicios para acceder posteriormente a documentos, contactos y conversaciones.

Puedes caer sin descargar ningún archivo

Existe la creencia de que el phishing requiere abrir un archivo infectado. Sin embargo, muchos ataques funcionan simplemente mediante enlaces que conducen a páginas falsas.

Estas webs reproducen formularios de acceso de bancos, plataformas profesionales o servicios de almacenamiento. Cuando el usuario introduce sus credenciales, la información termina en manos de los atacantes.

También se utilizan códigos QR fraudulentos, conocidos como quishing, y enlaces que redirigen a páginas maliciosas después de pasar por direcciones aparentemente fiables.

Incluso los sistemas de autenticación multifactor pueden verse comprometidos mediante páginas que interceptan sesiones o engaños que consiguen que la víctima autorice un acceso.

Cómo proteger tu bandeja de entrada

La primera precaución consiste en comprobar la dirección completa del remitente y desconfiar de cualquier solicitud inesperada de información confidencial.

Conviene activar la autenticación multifactor, utilizar contraseñas diferentes para cada servicio y mantener actualizados los dispositivos.

También es recomendable acceder directamente a las páginas oficiales en lugar de hacerlo desde enlaces recibidos por correo.

Para quienes buscan reforzar su privacidad, existen alternativas centradas en la protección de las comunicaciones. Una de ellas es optar por un servicio de correo electrónico cifrado con sede en Suiza que permite mantener privadas las conversaciones mediante tecnologías de cifrado.