El phishing consiste en hacerse pasar por alguien de tu confianza para llevarte a un sitio falso. Aquí tienes los tipos y las defensas más fiables (sin pasos de ataque).
Cómo funciona: apunta al juicio humano, no a un defecto del software
Donde el XSS o la inyección SQL explotan un defecto del software, el phishing explota el juicio humano. Mensajes como «tu cuenta está suspendida» o «urgente: confirma ahora» usan urgencia, autoridad y miedo para robar el momento en que de otro modo te pararías a pensar, y luego te llevan a un sitio falso idéntico al original para que escribas tu contraseña. Un sitio con cero vulnerabilidades técnicas igualmente filtra credenciales si engañan a sus usuarios.
Los tipos (nombres distintos, el mismo método de suplantar y atraer)
Phishing masivo
enviado a muchas personas
Spear phishing
dirigido a una persona/organización concreta
BEC
suplantar a un proveedor/directivo para ordenar un pago
Smishing
por SMS
Vishing
por teléfono
AiTM
retransmite el inicio de sesión al sitio real, derrota el MFA
Los nombres difieren, pero el núcleo es el mismo: atraerte falsificando la confianza. En particular, el BEC (compromiso del correo corporativo) causa grandes pérdidas económicas sin ningún malware: solo «una solicitud de pago que parece de un proveedor». Es un tipo que detienes con una comprobación del proceso de negocio, no con tecnología.
Phishing, spam, correo falsificado y estafas de soporte técnico: diferencias
Términos que se suelen confundir, uno al lado del otro. Se solapan, pero sus objetivos son distintos.
| Término | Objetivo | Forma típica |
|---|---|---|
| Phishing | Robar credenciales o datos de tarjeta, o conseguir que ejecutes malware | Correo o SMS que se hace pasar por una empresa y lleva a una página de inicio de sesión falsa |
| Spam | Enviar publicidad o enlaces fraudulentos de forma masiva | Publicidad no solicitada; puede incluir phishing |
| Correo falsificado (spoofing) | Falsear el remitente (es una técnica, no un objetivo) | Dice venir de un dominio o una persona reales; se usa en el phishing y el BEC |
| Estafa de soporte técnico (aviso falso) | Conseguir que llames y luego pedirte dinero o acceso remoto | Una pantalla que dice «tu PC está infectado» con un número de teléfono |
La falsificación es la técnica; el phishing es la estafa que la usa. Para evitar que suplanten tu propio dominio, consulta cómo configurar SPF, DKIM y DMARC; para los avisos falsos, consulta cómo actuar ante una estafa de soporte técnico (en inglés).
Ejemplos: la situación en Japón y casos reales
El Council of Anti-Phishing Japan recibió en 2025 un récord de 2.454.297 denuncias de phishing, unas 1,43 veces la cifra de 2024.
El phishing también ha sido la puerta de entrada de incidentes. En el ataque de ransomware a KADOKAWA (2024), se describió como vía de entrada el robo de credenciales mediante phishing dirigido a empleados. En el robo de NEM a Coincheck (2018), se informó de que el primer paso fue un correo enviado a empleados. Además, poco después de una brecha suelen aparecer correos falsos que usan el nombre de la empresa afectada (por ejemplo, el caso de Medica Shuppan, en inglés).
Defensa: detenlo con un mecanismo, no con la vigilancia
Usa MFA resistente al phishing (lo más importante)
Un mecanismo que no responde a los sitios falsos es la defensa más fiable. Las passkeys / llaves de seguridad por hardware (FIDO2) están ligadas al dominio, así que en un dominio falso la autenticación simplemente no se puede completar; ni siquiera el atacante en el medio (AiTM) puede retransmitirla. Los códigos por SMS/aplicación de autenticación pueden retransmitirse, así que mueve primero tus cuentas más importantes (correo, dominio, pagos) a un MFA resistente (→ elegir MFA).
No hagas clic en el enlace: ve tú mismo al sitio oficial
No toques los enlaces del correo o el SMS; llega al sitio oficial directamente mediante un marcador o escribiendo la dirección. Cuanto más se presente un mensaje como «comprobación de cuenta», «facturación» o «entrega», más deberías abrirlo a tu manera, no a través de su enlace.
Corta la falsificación de correo con tecnología
Configura correctamente SPF/DKIM/DMARC de tu dominio para que el correo falsificado que suplanta tu dominio pueda rechazarse en el extremo receptor (→ qué son SPF/DKIM/DMARC). Un gestor de contraseñas no autocompletará en un dominio falso, así que «no se rellenó» es en sí una señal de que el sitio es falso.
Haz una pausa ante urgencia/autoridad; verifica los pagos por otro canal
«Ahora mismo», «de parte del directivo», «puedes detenerlo»: esa presión es la señal de una estafa. Cuando te estén metiendo prisa, párate. Para cualquier solicitud que implique un pago o credenciales, verifica a la persona por un canal aparte, como una llamada, antes de actuar (la defensa más importante contra el BEC).
Fácil de derrotar
Solo contraseña más un código por SMS/aplicación de autenticación. Con un sitio falso idéntico al original retransmitiendo el código (AiTM), incluso a una persona cuidadosa le quitan las credenciales. Una defensa que asume «yo sé detectarlo».
Lo detiene de verdad
Una passkey/llave por hardware ligada al dominio. En un dominio falso la autenticación no se puede completar, así que ni siquiera un usuario engañado sufre una brecha. Un mecanismo «seguro aunque no sepas detectarlo».
La visión de este sitio: 'ten cuidado' no es una estrategia de defensa
Creemos que apoyarse solo en «formación del personal» y «concienciación» para el phishing es endeble. Ahora que el atacante en el medio (AiTM) es rutinario, por muy cuidadosa que sea una persona, no puede detectar de forma fiable un sitio falso idéntico al original más la retransmisión del código. La concienciación puede ayudar, pero no puede ser la defensa principal. En lo que hay que apoyarse es en un mecanismo: despliega MFA resistente al phishing ligado al dominio, empezando por tus cuentas más importantes. Invertir en un diseño que siga siendo seguro aunque la gente no detecte el sitio falso funciona mejor que intentar formar a la gente para que lo detecte.
Cómo comprobarlo tú mismo
Comprueba la autenticación de correo de tu propio dominio
Introduce tu dominio en el comprobador de SPF / DKIM / DMARC para confirmar que los tres están configurados y que la política DMARC ya no está en p=none.
Mira los resultados de autenticación y el dominio de un mensaje
En Gmail usa «Mostrar original»; en Outlook, ve el código fuente del mensaje. Busca spf=, dkim= y dmarc= en la cabecera Authentication-Results. Aunque pasen, comprueba por separado si el dominio del remitente pertenece a la empresa real.
Usa el autocompletado de tu gestor de contraseñas como señal
Si tu gestor de contraseñas no autocompleta en un sitio donde guardaste un inicio de sesión, puede que el dominio sea otro. Comprueba el dominio en la barra de direcciones antes de escribir nada.
Comprueba qué MFA usan tus cuentas clave
En las cuentas de correo, nube, pagos y registrador de dominios, revisa en los ajustes de seguridad si admiten passkeys o llaves por hardware, y cámbiate a ellas donde estén disponibles.
Pensar «a mí no me engañan» es la creencia más peligrosa
El mayor error en la defensa contra el phishing es el exceso de confianza de «yo sé detectarlo». El atacante en el medio (AiTM) muestra una pantalla idéntica al original y retransmite la contraseña y el código de un solo uso que escribes al sitio real en el acto. En otras palabras, aunque tengas cuidado e introduzcas el código correcto, ese código correcto también es robado. Así que basar tu defensa en «la vigilancia para detectarlo» es en sí el error; lo correcto es pasar a un mecanismo: autenticación que no se puede completar en un dominio falso (MFA resistente al phishing). Negarse a quedarse en «ten cuidado» es el punto de partida de la defensa moderna contra el phishing.
Fuentes (primarias)
- Council of Anti-Phishing Japan, «Phishing Report 2026» (en japonés) — antiphishing.jp (número de denuncias de 2025; aumento de dominios propios del atacante que superan DMARC)
- Council of Anti-Phishing Japan, «Denunciar phishing» (en japonés) — antiphishing.jp
- APWG, «Report Phishing» (en inglés) — apwg.org
- NIST SP 800-63B-4, «Digital Identity Guidelines: Authentication and Authenticator Management» (en inglés) — pages.nist.gov (definición de autenticación resistente al phishing)
Sigue leyendo
- Caso real: la brecha de datos de Endesa (2026) — llamadas que ya conocen tu DNI y tu contrato
- Caso real: la brecha de datos de Booking.com (2026) — mensajes falsos del alojamiento que conocen tu reserva
- Caso real: la brecha de datos de Canvas (Instructure, 2026) — estafas con temática escolar
- Aprende: elegir MFA correctamente (qué es el MFA resistente al phishing)
- Glosario: qué son SPF/DKIM/DMARC (corta el correo falsificado con tecnología)
- Glosario: qué es el ransomware (el phishing es su principal vía de entrada)
- Aprende: almacenar contraseñas con seguridad (evita que las credenciales robadas se aprovechen)
- Glosario: qué es una redirección abierta (abusa de un dominio legítimo para rebotar a los usuarios a un sitio falso)
- Caso: el robo de NEM a Coincheck (2018) (el phishing dirigido contra empleados fue, según se informó, el primer paso de un robo de criptoactivos de ~530 M USD)