El phishing sigue siendo uno de los ciberataques más comunes. La mayoría de las empresas lo han experimentado: correos electrónicos que solicitan la realización de una "tarea urgente" o un "pago atrasado", a veces incluso imitando a un director ejecutivo o un alto directivo. De hecho, la Encuesta sobre Violaciones de Ciberseguridad de 2025 del Gobierno del Reino Unido reveló que, de las empresas u organizaciones benéficas que sufrieron una brecha de seguridad o un ataque en los últimos 12 meses, el 85 % de las empresas y el 86 % de las organizaciones benéficas fueron víctimas de ataques de phishing.

En este blog, nos sumergimos en el turbio mundo del phishing: qué es, cómo identificar posibles intentos de phishing y cómo las organizaciones pueden protegerse contra él.

Ataques de phishing comunes dirigidos a empresas

correo electrónico de phishing

En los ataques de phishing por correo electrónico, los cibercriminales envían a sus víctimas correos electrónicos fraudulentos, a menudo haciéndose pasar por empresas o proveedores reconocidos. ¿El objetivo? Engañar a las víctimas para que visiten un sitio web fraudulento, abran un archivo adjunto con virus o malware o compartan información confidencial como datos bancarios o contraseñas de cuentas corporativas.

Algunos ejemplos a tener en cuenta incluyen:

  • Facturas inesperadas
  • Correos electrónicos de remitentes desconocidos con archivos adjuntos
  • Alertas de actividad inusual con enlaces a sitios web externos.

Spear Phishing

El phishing selectivo es un enfoque más específico del phishing por correo electrónico, que utiliza información fácilmente disponible sobre una empresa, como los nombres de los empleados, para suplantar comunicaciones internas y fuentes de confianza. Es fundamental verificar la identidad del remitente mediante un método de comunicación diferente, como Teams o una llamada telefónica con un número verificado.

Algunos ejemplos a tener en cuenta incluyen:

  • Correos electrónicos "urgentes" inesperados que supuestamente provienen de sus departamentos de RR.HH. o TI
  • Solicitudes inusuales, supuestamente de alguien dentro de su empresa.

Compromiso de correo electrónico comercial

Los ataques de compromiso de correo electrónico empresarial (BEC, por sus siglas en inglés) son otra forma dirigida y siniestra de phishing, que a veces utiliza direcciones de correo electrónico falsas o incluso compromete las cuentas de correo electrónico de los empleados para llevar a cabo el ataque. Suelen tener como objetivo a personas de confianza o responsables de presupuestos, intentando engañarlos para que realicen transacciones financieras fraudulentas o revelen información confidencial. Los delincuentes incluso pueden comprometer a un proveedor o vendedor, enviando facturas que parecen legítimas. El BEC es tan frecuente que el FBI afirmó que los ataques de BEC costaron a las organizaciones estadounidenses y globales casi 55.5 millones de dólares entre octubre de 2013 y diciembre de 2023.

Algunos ejemplos de intentos de BEC incluyen:

  • Fraude del director ejecutivo: Correos electrónicos "urgentes", supuestamente de la dirección de correo electrónico de un alto ejecutivo, pero en realidad controlados por el actor de la amenaza
  • Estafas de facturas: Facturas falsas o alteradas que redirigen los pagos a la cuenta de un atacante
  • Fraude de terceros: Facturas inesperadas o solicitudes de cambio de datos bancarios de sus proveedores actuales, lo que indica un posible compromiso.

Suplantación de identidad de clones

Los atacantes que utilizan clonación de phishing copian un correo electrónico real de forma casi idéntica y lo reenvían a la víctima con un nuevo archivo adjunto o enlace malicioso. Los actores de amenazas suelen usar correos electrónicos falsos con una ortografía similar a la del correo electrónico que suplantan; sin embargo, pueden usar suplantación de identidad sofisticada para simular que el correo electrónico fue enviado por el remitente legítimo.

Algunos ejemplos a tener en cuenta incluyen:

  • Correos electrónicos duplicados, especialmente aquellos con enlaces nuevos o modificados.

Cómo identificar correos electrónicos de phishing

Si bien combatir el phishing puede parecer una tarea abrumadora, existen múltiples formas de identificar correos electrónicos de phishing.

Dominios de correo electrónico que no coinciden: ¿El dominio de correo electrónico coincide con el de la empresa que el remitente dice representar? Por ejemplo, un correo electrónico oficial de ISMS.online sería: nombre.apellido@ISMS.online, soporte@isms.online, etc.

Llamadas urgentes a la acción: Los correos electrónicos que solicitan una acción urgente o inmediata podrían ser intentos de phishing; la falsa sensación de urgencia busca alarmar al destinatario. Considere contactar al remitente por medios oficiales, por ejemplo, buscando el número de teléfono en el sitio web oficial de la empresa.

Ortografía y gramática: Los errores ortográficos y gramaticales podrían indicar un intento de phishing, ya que muchas empresas cuentan con herramientas de corrección ortográfica en su software de correo electrónico.

Enlaces: Al pasar el cursor sobre un enlace, puede ver la URL a la que le redirigirá. En los correos electrónicos de phishing, esta URL suele ser diferente del texto que se muestra en el correo.

Solicitudes para enviar información personal o financiera: Las credenciales de inicio de sesión, la información de pago y otros datos confidenciales no deben compartirse por correo electrónico. Asimismo, si un correo electrónico contiene un enlace a un sitio web externo para ingresar dicha información, asegúrese de verificar que el sitio web sea legítimo.

Proteja su organización contra ataques de phishing con la norma ISO 27001

Establecer las mejores prácticas de ciberseguridad, como las descritas en la norma de seguridad de la información ISO 27001 , permite a su empresa reducir el riesgo, reforzar la seguridad y limitar el impacto de los ataques de phishing.

Formación y concienciación de los empleados

Sus empleados son su primera línea de defensa en materia de ciberseguridad. Implementar un programa de formación y concienciación en ciberseguridad puede capacitar a su equipo para identificar y denunciar posibles intentos de phishing, así como otros ciberataques.

Su programa de capacitación y concientización también debe describir los procesos a seguir, como el proceso que deben seguir los empleados para reportar presuntos intentos de phishing. Capacitar a su personal para reconocer las señales de un ataque de phishing y garantizar que su empresa cuente con procesos rigurosos de reporte y respuesta forma parte de una sólida estrategia de seguridad.

Control de Acceso

Limite los derechos y privilegios de los empleados según el criterio de "privilegio mínimo". Por ejemplo, limite el acceso de un usuario típico únicamente a los recursos necesarios para realizar su trabajo. Esto ayuda a reducir el impacto de un intento de phishing en su organización si una cuenta se ve comprometida.

Además, exigir controles como la autenticación multifactor en las cuentas del personal puede proporcionar una defensa clave contra el acceso no autorizado y las credenciales comprometidas.

Respuesta al incidente

Las empresas que cumplen con la norma ISO 27001 deben establecer procesos de respuesta a incidentes. Esto incluye la recopilación de evidencias, el análisis forense de seguridad de la información, la escalación a clientes y autoridades supervisoras pertinentes, el registro de actividades de respuesta a incidentes, la comunicación interna de incidentes, la resolución de incidentes y el análisis posterior. Una respuesta eficaz a los incidentes ayuda a garantizar una resolución más rápida y a mitigar el impacto de los ataques exitosos.

Configuración segura

La norma exige que las empresas incorporen la seguridad en sus operaciones desde el principio, en lugar de considerarla como una idea de último momento. Este enfoque reduce los posibles puntos de entrada para los actores de amenazas, por ejemplo, a través de soluciones de puerta de enlace de correo electrónico inseguras.

Gestión de proveedores externos

Nuestro Informe sobre el Estado de la Seguridad de la Información 2024 reveló que casi cuatro de cada cinco encuestados (79 %) se vieron afectados por un incidente de ciberseguridad o de seguridad de la información causado por un proveedor externo o un socio de la cadena de suministro. Adoptar un enfoque basado en el riesgo en las relaciones con los proveedores puede ayudar a limitar el impacto de dichos incidentes.

Por ejemplo, su empresa puede optar por preferir trabajar con proveedores con certificación ISO 27001, limitar el acceso de los proveedores a la información en función de los niveles de clasificación de la información y realizar un seguimiento del riesgo del proveedor si la incorporación de un proveedor tiene el potencial de afectar la confidencialidad, integridad y disponibilidad de la información o los procesos de su organización.

Pensamiento final

El phishing es una forma generalizada de ciberataque; por suerte para las organizaciones, muchas de las señales son fáciles de detectar. La formación continua de los empleados, la implementación de las mejores prácticas de seguridad y un enfoque sólido de la seguridad de la información pueden reducir la probabilidad —y el impacto— de los ataques de phishing y las filtraciones de datos.

A medida que las amenazas cibernéticas continúan evolucionando, las empresas proactivas que implementan un enfoque de múltiples capas para la seguridad de la información y empoderan a los empleados para que actúen como su primera y más importante línea de defensa sin duda cosecharán los beneficios.