Spear phishing: el ataque dirigido a su empresa
El phishing común tira la red y espera. El spear phishing apunta con arpón ("spear", en inglés): un correo escrito para una persona concreta, con su nombre, su cargo y detalles reales de su trabajo. Por eso es mucho más difícil de detectar y es el punto de partida de muchos fraudes a empresas. Le explicamos cómo funciona, cómo eligen a la víctima y cómo protegerse.
¿Prefiere que lo revisemos nosotros? Diagnóstico gratis, sin claves.
¿Consulta urgente? Escríbanos por WhatsApp al 095 283 123
Qué es el spear phishing
El spear phishing es un ataque de phishing dirigido. En lugar de mandar el mismo correo a miles de personas, el atacante investiga a una persona o a una empresa y prepara un mensaje a su medida.
| Phishing masivo | Spear phishing | |
|---|---|---|
| A quién apunta | A miles de personas al azar | A una persona o un área concreta |
| Cómo está escrito | Genérico («Estimado cliente») | Con nombre, cargo, proveedores y proyectos reales |
| Qué busca | Claves o datos de muchas personas | Acceso a la empresa, una transferencia o datos específicos |
| Cómo se detecta | Errores, urgencia genérica, filtros de spam | Casi no tiene errores; lo delata el pedido fuera de lo normal |
| Variante contra directivos | — | Whaling («pesca de ballenas») |
Cómo eligen a la víctima y de dónde sacan los datos
Un spear phishing bien hecho se apoya en información pública. Las fuentes más usadas:
El sitio web de la empresa
Nombres del equipo, cargos, correos, clientes y proveedores mencionados.
LinkedIn y redes sociales
Quién trabaja en finanzas, quién entró hace poco, quién está de viaje o de vacaciones.
Correos filtrados
Bases de datos de filtraciones anteriores con direcciones y, a veces, claves viejas.
Una cuenta de correo ya robada
El caso más peligroso: el atacante lee conversaciones reales y responde dentro de un hilo existente, con el tono y los datos correctos.
Qué hacer si hackearon su correo
¿Quiere saber qué tiene abierto su sitio?
Lo revisamos desde afuera, sin claves y sin instalar nada. Si no encontramos nada relevante, se lo decimos igual.
Ejemplos de spear phishing
- 01
El proveedor que cambió de banco
A la persona que paga a proveedores le llega un correo, aparentemente del proveedor de siempre: «A partir de este mes, por favor transferir a esta nueva cuenta». A veces llega desde la cuenta real del proveedor, que fue vulnerada.
- 02
El documento compartido
«Te comparto la propuesta revisada», con el nombre de un cliente real y un enlace a una página idéntica al inicio de sesión de Microsoft 365 o Google. Busca la clave del correo corporativo.
- 03
El pedido del jefe de viaje
El atacante sabe por LinkedIn que el gerente está en un congreso. Escribe como él: «Estoy en reuniones, necesito que hagas este pago hoy, después te explico». → Fraude del CEO
- 04
El nuevo empleado
A alguien que entró hace dos semanas le escribe «soporte técnico» para «completar el alta» y le pide su clave o que instale un programa.
Por qué funciona tan bien
Parece legítimo
Usa nombres, temas y tonos reales. No tiene los errores del phishing masivo.
Esquiva los filtros
Al ser un solo correo, sin enlaces conocidos ni adjuntos maliciosos, los filtros de spam no lo detectan.
Aprovecha la confianza y la jerarquía
Un pedido «del jefe» o «del proveedor de siempre» se cuestiona poco.
Juega con el contexto
Fin de mes, cierre de año, vacaciones, un proyecto en curso.
Cómo proteger a su empresa del spear phishing
- 01
Verificar por otro canal todo pedido de dinero o de datos
Cambios de cuenta bancaria, transferencias urgentes o envío de información sensible se confirman llamando a un número conocido, nunca respondiendo al correo.
- 02
Segunda clave en el correo de todos
Si una clave cae, el atacante no puede entrar a la casilla ni leer conversaciones para el siguiente ataque.
- 03
Proteger su dominio
SPF, DKIM y DMARC impiden que alguien mande correos que salgan exactamente de su dominio. → SPF, DKIM y DMARC explicados
- 04
Marcar los correos externos
Configurar el correo para que muestre un aviso en los mensajes que vienen de afuera de la empresa. Un «mensaje del jefe» con la etiqueta «externo» se delata solo.
- 05
Revisar qué publica la empresa
No hace falta esconder el equipo, pero sí evitar publicar quién aprueba pagos o los correos directos del área de finanzas.
- 06
Hablarlo con el equipo, con ejemplos propios
El spear phishing se frena con personas que se animan a preguntar «¿esto es real?» sin miedo a quedar mal.
Qué hacer si sospecha un spear phishing
No responda al correo
Ni use los datos de contacto que trae.
Confirme con la persona
Por teléfono o en persona.
Avise a quien administra el correo
Para que revise si otros recibieron lo mismo.
Si ya pagó
Llame al banco de inmediato: en las primeras horas a veces se puede frenar la transferencia.
Si escribió su clave
Cámbiela desde otro dispositivo y revise reglas de reenvío y sesiones abiertas.
Qué hacer si hackearon su correo
La protección técnica del dominio y de las casillas es parte de nuestro servicio de seguridad del correo corporativo. Y si quiere ver el resto de los engaños, repase los tipos de phishing.
Servicios relacionados
Preguntas frecuentes
¿Qué es el spear phishing?
Es un phishing dirigido: un correo hecho a medida para una persona concreta, con datos reales de su trabajo, para robarle una clave, datos o dinero.
¿Qué diferencia hay entre phishing y spear phishing?
El phishing es masivo y genérico; el spear phishing es dirigido y personalizado, y por eso es más difícil de detectar.
¿Qué es el whaling?
Es spear phishing contra directivos: dueños, gerentes o directores financieros, que pueden aprobar pagos grandes o tienen acceso a todo.
¿Un filtro de spam detecta el spear phishing?
Muchas veces no, porque es un solo correo, bien escrito y sin enlaces o adjuntos conocidos. La defensa principal es verificar por otro canal.
¿Qué hago si el correo falso vino desde la cuenta real de un proveedor?
Avísele al proveedor por teléfono: su cuenta está comprometida. Y no siga ninguna instrucción de pago de ese correo sin confirmarla.
Más sobre phishing y correo
Fraude del CEO: la estafa por correo a la administración
"¿Estás en la oficina? Necesito que hagas una transferencia hoy, es confidencial. Después te explico." Un correo así, que parece del dueño…
LeerQué es el phishing y cómo protege una empresa a su equipo
El phishing es un engaño: un mensaje que se hace pasar por alguien de confianza (un banco, un proveedor, el propio jefe)…
LeerTipos de phishing: smishing, vishing, spear phishing y más
El phishing empezó como un correo masivo mal escrito que imitaba a un banco. Hoy llega por SMS, WhatsApp, llamadas, códigos QR…
Leer¿Su dominio puede ser usado para engañar a sus clientes?
Revisamos su configuración de correo desde afuera y le decimos si alguien puede mandar mensajes en su nombre.
¿Consulta urgente? WhatsApp 095 283 123