Qué es el phishing y cómo protege una empresa a su equipo
El phishing es un engaño: un mensaje que se hace pasar por alguien de confianza (un banco, un proveedor, el propio jefe) para que la víctima entregue una clave, descargue un archivo o haga una transferencia. Es el delito informático más denunciado del mundo y la puerta de entrada de la mayoría de los ataques a empresas. Le explicamos qué es el phishing, cómo funciona, cómo reconocerlo y qué hacer para que su empresa no caiga.
¿Prefiere que lo revisemos nosotros? Diagnóstico gratis, sin claves.
¿Consulta urgente? Escríbanos por WhatsApp al 095 283 123
Qué es el phishing (y qué significa la palabra)
Phishing viene de fishing, «pescar» en inglés: el atacante tira un anzuelo y espera que alguien muerda. En español también se le dice suplantación de identidad, porque el mensaje siempre finge venir de alguien que no es.
El phishing informático no ataca una computadora: ataca a una persona. No necesita encontrar una falla en el sistema, porque convence a alguien de abrirle la puerta. Por eso funciona tan bien contra empresas que invierten en antivirus y firewall pero nunca hablaron del tema con su equipo.
Según el informe 2025 del Centro de Denuncias de Delitos en Internet del FBI (IC3), el phishing y la suplantación fueron el tipo de delito más denunciado, con más de 190.000 denuncias en un año. Y el fraude por correo corporativo, una de sus variantes, causó más de 3.000 millones de dólares en pérdidas reportadas.
Cómo funciona un ataque de phishing
- 01
El anzuelo
Un correo, un SMS, un WhatsApp o una llamada que imita a alguien conocido: el banco, una paquetería, el organismo de impuestos, Microsoft, un proveedor o un compañero de trabajo.
- 02
La urgencia
«Su cuenta será bloqueada», «tiene un paquete retenido», «factura vencida», «necesito que hagas esta transferencia hoy». La prisa es para que la víctima no piense.
- 03
La trampa
Un enlace a una página falsa que copia el inicio de sesión real, un archivo adjunto con malware o un pedido directo de datos o de dinero.
- 04
El botín
Claves de correo o del banco, datos de tarjeta, acceso a la red de la empresa o una transferencia a la cuenta del atacante. Con una clave de correo robada, el atacante puede lanzar el siguiente ataque desde una cuenta real.
¿Quiere saber qué tiene abierto su sitio?
Lo revisamos desde afuera, sin claves y sin instalar nada. Si no encontramos nada relevante, se lo decimos igual.
Los tipos de phishing más comunes
Phishing por correo masivo
El clásico: miles de correos iguales que imitan a un banco o a un servicio conocido.
Tipos de phishingSpear phishing
Un correo dirigido a una persona concreta, con datos reales de su empresa o de su trabajo. Mucho más difícil de detectar.
Spear phishingSmishing y vishing
El mismo engaño por SMS o WhatsApp (smishing) y por llamada telefónica (vishing).
Fraude del CEO
Un correo que parece del dueño o del gerente y pide una transferencia urgente.
Fraude del CEOSuplantación del dominio de la empresa
Correos que parecen salir de su propio dominio, dirigidos a sus clientes o proveedores.
Suplantación de identidad
Cómo reconocer un correo de phishing
El remitente no coincide
El nombre dice «Banco» pero la dirección es de un dominio raro o parecido (
bancoo-seguro.com).Urgencia o amenaza
Plazos de horas, bloqueos, multas, premios.
Enlaces que no van a donde dicen
Al pasar el mouse por encima, la dirección real es otra.
Adjuntos inesperados
Facturas, comprobantes o «documentos escaneados» que nadie esperaba, sobre todo comprimidos o con macros.
Pedidos fuera de lo normal
Cambiar la cuenta bancaria de un proveedor, comprar tarjetas de regalo, saltear el procedimiento habitual.
La guía completa, con los encabezados del correo y los avisos de Gmail y Outlook: cómo detectar un correo de phishing. Y casos reales comentados: ejemplos de phishing.
Qué hacer si alguien de su empresa hizo clic
- 01
No borrar el correo ni ocultarlo
El correo es la evidencia. Quien cayó tiene que poder avisar sin miedo: cuanto antes se sabe, menos daño hace.
- 02
Cambiar la clave desde otro dispositivo
Si escribió su clave en la página falsa, cámbiela de inmediato, y también en cualquier otro servicio donde use la misma.
- 03
Cerrar sesiones y revisar el correo
Cerrar todas las sesiones abiertas y revisar si alguien creó reglas de reenvío o de borrado automático en la casilla. Es lo primero que hace un atacante. → Qué hacer si hackearon su correo
- 04
Avisar al banco si hubo datos financieros
Bloquear la tarjeta o desconocer la transferencia lo antes posible.
- 05
Revisar el equipo si descargó un adjunto
Un análisis completo con el antivirus y, si el equipo tiene acceso a datos sensibles, una revisión profesional.
Cómo proteger a su empresa del phishing
Proteger el dominio de correo
Con SPF, DKIM y DMARC, nadie puede mandar correos que parezcan salir exactamente de su dominio.
SPF, DKIM y DMARC explicadosSegunda clave en el correo
Aunque roben la clave, no pueden entrar. Es la medida que más daño evita.
Reglas claras para pagos
Ningún cambio de cuenta bancaria ni transferencia urgente se aprueba solo por correo: se confirma por teléfono con un número conocido.
Hablar del tema con el equipo
Mostrar ejemplos reales cada tanto vale más que un curso anual.
Un canal para avisar
Que reportar un correo sospechoso sea fácil y nunca motivo de reto.
Vigilar el sitio web
Los atacantes alojan sus páginas falsas en sitios de empresas vulnerados. Si pasa en el suyo, Google lo marca como «engañoso».
Phishing alojado en mi sitio
Cuando el phishing usa su sitio o su dominio
El phishing no solo apunta a su equipo: también puede usar su empresa como disfraz. Dos situaciones que vemos seguido:
Su sitio aloja una página falsa
Un WordPress vulnerado termina sirviendo un formulario que imita a un banco. Chrome muestra la pantalla roja de «Sitio engañoso» en su dominio.
Quitar el aviso de «Sitio engañoso»Sus clientes reciben correos falsos con su nombre
Sin DMARC en modo de rechazo, cualquiera puede mandar correos que parecen suyos.
Seguridad del correo corporativo
Para una pyme, el phishing es el riesgo número uno, junto con el sitio web. Lo que de verdad hace falta, en orden: ciberseguridad para pymes.
Servicios relacionados
Preguntas frecuentes
¿Qué es el phishing en palabras simples?
Un engaño por correo, mensaje o llamada en el que alguien se hace pasar por una persona o empresa de confianza para robarle una clave, datos o dinero.
¿Qué significa phishing?
Viene del inglés fishing (pescar): el atacante tira un anzuelo y espera que alguien muerda. En español se le dice también suplantación de identidad.
¿El antivirus me protege del phishing?
En parte. Puede bloquear algunos enlaces y adjuntos conocidos, pero el phishing apunta a la persona: si usted escribe su clave en una página falsa, el antivirus no lo impide. La segunda clave sí reduce el daño.
¿Qué hago si hice clic en un enlace de phishing?
Si no escribió nada, cierre la página y pase un antivirus. Si escribió una clave, cámbiela de inmediato desde otro dispositivo, active la segunda clave y revise su correo.
¿Cómo evito que usen mi dominio para hacer phishing?
Configurando SPF, DKIM y DMARC en modo de rechazo. Así los servidores de correo descartan los mensajes que dicen ser suyos y no lo son.
Más sobre phishing y correo
Fraude del CEO: la estafa por correo a la administración
"¿Estás en la oficina? Necesito que hagas una transferencia hoy, es confidencial. Después te explico." Un correo así, que parece del dueño…
LeerTipos de phishing: smishing, vishing, spear phishing y más
El phishing empezó como un correo masivo mal escrito que imitaba a un banco. Hoy llega por SMS, WhatsApp, llamadas, códigos QR…
LeerSpear phishing: el ataque dirigido a su empresa
El phishing común tira la red y espera. El spear phishing apunta con arpón ("spear", en inglés): un correo escrito para una…
Leer¿Su dominio está protegido contra la suplantación?
Revisamos su correo y su sitio desde afuera, sin claves: si alguien puede mandar correos en su nombre y si su web tiene algo que no debería.
¿Consulta urgente? WhatsApp 095 283 123