Tipos de phishing: smishing, vishing, spear phishing y más
El phishing empezó como un correo masivo mal escrito que imitaba a un banco. Hoy llega por SMS, WhatsApp, llamadas, códigos QR y redes sociales, y a veces está tan bien hecho que engaña a gente que sabe del tema. Repasamos los tipos de phishing más comunes, cómo reconocer cada uno y qué los diferencia.
¿Prefiere que lo revisemos nosotros? Diagnóstico gratis, sin claves.
¿Consulta urgente? Escríbanos por WhatsApp al 095 283 123
Los tipos de phishing según el canal
Phishing por correo electrónico
El más común. Un correo que imita a un banco, una paquetería, un servicio (Microsoft, Google, Netflix) o un organismo público, con un enlace a una página falsa o un adjunto con malware.
Ejemplos de phishingSmishing (por SMS o WhatsApp)
El mismo engaño en un mensaje de texto: «su paquete está retenido», «detectamos un movimiento inusual en su cuenta». Funciona porque en el celular es más difícil ver a dónde lleva un enlace.
Vishing (por llamada)
Alguien llama haciéndose pasar por el banco, el soporte técnico o un organismo, y pide códigos, claves o que instale un programa de «asistencia remota». Cada vez más con voces clonadas con inteligencia artificial.
Quishing (por código QR)
Un código QR en un correo, un cartel o una factura que lleva a una página falsa. Esquiva los filtros porque el enlace está dentro de una imagen.
Phishing en redes sociales
Perfiles falsos de soporte de una marca que responden a quejas públicas y piden datos «para resolver el caso» por mensaje privado.
Los tipos de phishing según el objetivo
Phishing masivo
El mismo mensaje a miles de personas, esperando que caiga un porcentaje pequeño. Más fácil de detectar por sus errores y por lo genérico.
Spear phishing
Dirigido a una persona concreta, con su nombre, su cargo y detalles reales de su trabajo, sacados de LinkedIn o del sitio de la empresa.
Spear phishingWhaling («pesca de ballenas»)
Spear phishing contra directivos: dueños, gerentes, directores financieros. El premio es mayor: transferencias grandes o acceso total.
Fraude del CEO (BEC)
El atacante se hace pasar por el dueño o por un proveedor y pide una transferencia o un cambio de cuenta bancaria. No hay enlaces ni adjuntos, solo un pedido convincente.
Fraude del CEO
¿Quiere saber qué tiene abierto su sitio?
Lo revisamos desde afuera, sin claves y sin instalar nada. Si no encontramos nada relevante, se lo decimos igual.
Los tipos de phishing según la técnica
Phishing clonado
Copian un correo legítimo que usted ya recibió (una factura, una notificación) y lo reenvían igual, cambiando solo el enlace o el adjunto.
Pharming
En lugar de engañarlo para que haga clic, redirigen la dirección real hacia una página falsa, alterando la configuración de DNS del equipo o del router. Usted escribe la dirección correcta y termina en la falsa.
Suplantación de dominio
Correos que parecen salir exactamente del dominio de una empresa real, aprovechando que no tiene DMARC configurado.
Suplantación de identidadPáginas falsas en sitios legítimos
El atacante aloja su formulario falso en un sitio web real que vulneró, para que el enlace parezca confiable y los filtros no lo bloqueen.
Phishing alojado en mi sitioSextorsión
Un correo que asegura tener videos comprometedores y pide un pago en criptomonedas. Casi siempre es un engaño masivo.
Me llegó un correo diciendo que me hackearon
Comparación rápida
| Tipo | Canal | A quién apunta | Señal típica |
|---|---|---|---|
| Phishing masivo | Correo | A cualquiera | Mensaje genérico, urgencia, enlace raro |
| Spear phishing | Correo | A una persona concreta | Datos reales de su trabajo y un pedido fuera de lo normal |
| Whaling | Correo o llamada | A directivos | Tono ejecutivo, confidencialidad, montos altos |
| Fraude del CEO | Correo | A quien paga | «Es urgente y confidencial, no me llames» |
| Smishing | SMS o WhatsApp | A cualquiera | Enlace acortado, paquete o banco |
| Vishing | Llamada | A cualquiera | Pide códigos o instalar un programa |
| Quishing | Código QR | A cualquiera | QR en un correo o cartel que pide iniciar sesión |
| Pharming | DNS o router | A todos los que usan esa red | La dirección es correcta pero la página no |
Smishing: qué es y cómo evitarlo
El smishing es phishing por mensaje de texto (SMS o WhatsApp). Los temas más usados son paquetes retenidos, movimientos bancarios sospechosos, multas y premios.
- 01
No abra el enlace
Si el mensaje dice ser del banco o de una empresa, entre a su aplicación o escriba la dirección a mano.
- 02
Desconfíe de los enlaces acortados
Un banco no le manda enlaces acortados para «verificar su identidad».
- 03
Nunca comparta códigos
Un código que le llega por SMS es para usted. Nadie del banco ni del soporte lo necesita.
- 04
Reporte y bloquee
Reenvíe el mensaje como spam desde el celular y bloquee el número.
Vishing: qué es y cómo evitarlo
El vishing es el phishing por llamada telefónica. El atacante se presenta como el banco, la compañía telefónica, el soporte de un programa o un organismo, y tiene algunos datos reales suyos para generar confianza.
Corte y llame usted
Al número que figura en su tarjeta o en el sitio oficial, nunca al que le dieron en la llamada.
Nadie legítimo le pide la clave ni los códigos
Ni el banco ni el soporte técnico.
No instale nada
Los programas de «asistencia remota» le dan al atacante el control de su equipo.
En la empresa, una palabra clave
Para pedidos de pago por teléfono, una verificación acordada de antemano frena las voces clonadas.
Cómo protegerse de todos los tipos de phishing
Segunda clave en todo
Correo, banco y redes. Es la medida que más daño evita cuando alguien cae.
Verificar por otro canal
Ante cualquier pedido de dinero, de datos o de cambio de cuenta, confirmar llamando a un número conocido.
Proteger el dominio
SPF, DKIM y DMARC impiden que usen el suyo para engañar a sus clientes.
Seguridad del correo corporativoHablarlo en el equipo
Mostrar ejemplos de cada tipo es la mejor capacitación.
Ciberseguridad para pymes
Para la base de todo, vea qué es el phishing.
Servicios relacionados
Preguntas frecuentes
¿Cuántos tipos de phishing hay?
No hay una lista cerrada, pero los más comunes son el phishing por correo, el spear phishing, el whaling, el fraude del CEO, el smishing, el vishing, el quishing, el phishing clonado y el pharming.
¿Qué es el smishing?
Es phishing por SMS o WhatsApp: un mensaje con un enlace a una página falsa o un pedido de datos, que suele hablar de paquetes, bancos o multas.
¿Qué es el vishing?
Es phishing por llamada telefónica: alguien se hace pasar por el banco, el soporte técnico o un organismo para obtener claves, códigos o el control de su equipo.
¿Cuál es el tipo de phishing más peligroso para una empresa?
El fraude del CEO y el spear phishing, porque están hechos a medida, no tienen enlaces ni adjuntos sospechosos y apuntan a quien puede mover dinero.
¿Qué es el quishing?
Es phishing con un código QR: el enlace a la página falsa está dentro de una imagen, lo que le permite esquivar algunos filtros de correo.
Más sobre phishing y correo
Qué es el phishing y cómo protege una empresa a su equipo
El phishing es un engaño: un mensaje que se hace pasar por alguien de confianza (un banco, un proveedor, el propio jefe)…
LeerFraude del CEO: la estafa por correo a la administración
"¿Estás en la oficina? Necesito que hagas una transferencia hoy, es confidencial. Después te explico." Un correo así, que parece del dueño…
LeerSpear phishing: el ataque dirigido a su empresa
El phishing común tira la red y espera. El spear phishing apunta con arpón ("spear", en inglés): un correo escrito para una…
Leer¿Su empresa está expuesta al phishing?
Revisamos su dominio y su sitio sin pedirle claves: si alguien puede mandar correos en su nombre y si su web aloja algo que no debería.
¿Consulta urgente? WhatsApp 095 283 123