Phishing: cómo las ciberestafas ponen en riesgo a empresas y usuarios

La problemática generada por el phishing y otras formas de ciberestafa preocupa a gobiernos, agencias internacionales, empresas y ciudadanos por igual. Según el Informe de Riesgos Globales 2025 del Foro Económico Mundial, los ciberataques figuran entre las mayores amenazas para la economía global, con proyecciones que estiman pérdidas superiores a los 10.5 billones de dólares anuales para 2050.

Además de las estafas por phishing, los ataques de denegación de servicio distribuido (DDoS) [enlace] se convirtieron en una de las tácticas más empleadas por los ciberdelincuentes para saturar infraestructuras críticas y deshabilitar servicios empresariales. La creciente sofisticación de estas amenazas y la falta de medidas de protección adecuadas continúan impulsando este riesgo a nivel mundial.

La palabra phishing se utiliza para describir a un tipo de ciberestafa. A través del uso de “técnicas de ingeniería social”, el objetivo de los delincuentes es engañar a una persona para obtener información privada de ella. De conseguirlo, la víctima puede perder desde contraseñas de emails hasta claves bancarias sin darse cuenta de que está siendo estafada.

Esto ocurre porque los criminales idean tácticas para evitar ser descubiertos durante el proceso. En los últimos años se han denunciado desde supuestos emails de marcas internacionales hasta llamadas de ayudantes bancarios. En todos los casos, el delincuente se gana la confianza de su víctima y, a través del phishing, roba sus datos personales.

El phishing en el mundo

Un reciente estudio de NetsKope revela que el phishing continúa siendo una amenaza en aumento para usuarios corporativos. Según la investigación, se observa un alarmante incremento en la cantidad de usuarios que caen en trampas de phishing, con un ascenso de 2.9 a 8.4 por cada mil usuarios por mes en el último año.

Este panorama es consistente con el informe de ThreatLabz 2024 de Zscaler, que reportó un aumento del 58,2% en los ataques de phishing durante 2023, lo que refleja la creciente sofisticación y alcance de los atacantes.

Este aumento se produce a pesar de las intensivas campañas de capacitación en concienciación de seguridad que muchas organizaciones implementan. Los investigadores atribuyen este crecimiento a factores como la fatiga cognitiva, donde los usuarios enfrentan un bombardeo constante de intentos de phishing, combinado con la creciente creatividad y adaptabilidad de los atacantes, quienes diseñan engaños cada vez más sofisticados y difíciles de identificar.”

Los principales factores que conducen a este aumento son la fatiga cognitiva (los usuarios son bombardeados constantemente con intentos de phishing) y la creatividad y adaptabilidad de los atacantes para ofrecer cebos más difíciles de detectar

Según el Global Cybersecurity Outlook 2025 del Foro Económico Mundial, los sectores más afectados por el phishing incluyen:

• Nube (27%): Los atacantes apuntan principalmente a vender el acceso a cuentas robadas en mercados ilícitos. Estas cuentas comprometidas suelen utilizarse para infiltrar el correo electrónico corporativo, sustraer datos valiosos o realizar ataques secundarios a víctimas de mayor perfil.
• Banca (17%): Este sector es frecuentemente objetivo de fraudes financieros, donde los atacantes buscan acceder a cuentas bancarias para realizar transferencias no autorizadas o robar información financiera sensible.
• Telco (13%): Los proveedores de servicios de telecomunicaciones son atacados tanto para cometer fraudes como para vender el acceso a cuentas robadas, lo que puede llevar a una serie de estafas secundarias.
• Redes Sociales (11%): Las cuentas en plataformas de redes sociales son utilizadas por actores de amenazas para propagar estafas, distribuir malware, o en casos de actores más sofisticados, para difundir desinformación y datos erróneos.
• Gobierno (10%): Los ataques de phishing dirigidos a entidades gubernamentales suelen centrarse en agencias como el Servicio de Impuestos Internos de los Estados Unidos, con el objetivo de obtener información financiera para fraudulentas devoluciones de impuestos.
• Otros (19%): Incluye una variedad de objetivos menos comunes pero no menos importantes, que varían en método y enfoque según el sector y la actualidad.”

¿Cuándo nace el phishing?

No hay forma de saber cuándo ocurrió el primer caso de phishing de forma precisa. Aunque internacionalmente se suele tomar como punto de partida una estafa que ocurrió a mediados de la década de 1990. En la misma, un grupo de jóvenes hackers se hizo pasar por administradores de la empresa AOL para robar números de tarjetas de créditos.

Para conseguir esto, los delincuentes crearon usuarios similares a los utilizados por la compañía para brindar apoyo técnico. Desde ellos, se contactaron con las víctimas indicando que había problemas con el servicio. Según aseguraban, era necesario tener información del cliente para resolver el desperfecto. Era en ese momento que le pedían a las personas sus números de tarjetas de crédito, los cuales utilizaron posteriormente para realizar compras por su cuenta.

Cuando los dueños de las tarjetas entendieron lo que estaba ocurriendo, los gastos ya habían sido facturados. Con el tiempo, se describió a este accionar como phishing, en relación a la palabra en inglés “fishing”, que quiere decir pescar en español. Esta idea surgió porque los phishers, personas que llevan a cabo este ciberdelito, ponen “un anzuelo” a la víctima para hacerla caer en la trampa.

Características comunes del phishing

Según Gartner, en la actualidad, el phishing se practica por medio de emails, llamadas, redes sociales o plataformas de mensajes como WhatsApp. Por lo general, los delincuentes utilizan el nombre de marcas o empresas internacionales con el objetivo de generar confianza en la víctima. Por eso, suelen falsificar la dirección o cuenta que envía el mensaje para que sea similar a la de la compañía. Como destaca James Tucciarone III, CISO de la Universidad de Yale:

‘Cualquier correo electrónico que parezca fuera de lo común podría ser malicioso. Es mejor reportar estos mensajes en lugar de responder’ James Turcciarone

Este tipo de consejos es clave para evitar caer en estafas diseñadas para manipular a los usuarios desprevenidos.”

Para hacerlo aún más real, el criminal suma el logo de la marca o empresa, el cual sustrae de Internet. Y para que el comunicado resulte todavía más atractivo, inventa un sorteo o regalo que le llegará a la persona si completa una encuesta o hace click en un link. Sin embargo, al realizar estas acciones, la víctima termina en un sitio inventado que no es el de la empresa. Como es muy similar, no se da cuenta y termina otorgando datos privados y sensibles de su intimidad.

Así es como las tácticas de phishing continúan evolucionando, aprovechando las marcas y servicios más confiados por los usuarios para perpetrar sus estafas. Un informe reciente pone de manifiesto que Microsoft encabeza la lista de las marcas más atacadas en el ámbito de las aplicaciones en la nube, destacándose principalmente por los intentos de robo de credenciales asociadas a Microsoft Live y Microsoft 365.

Este tipo de ataques no se limita solo a las grandes corporaciones como Microsoft; otros servicios populares como Yahoo y AOL también son blanco frecuente de tácticas similares, donde los ciberdelincuentes crean páginas de inicio de sesión falsas que imitan con precisión las auténticas, engañando a los usuarios para que entreguen sus datos personales.

Lo alarmante es que estos sitios fraudulentos no solo buscan credenciales específicas, sino que están diseñados para capturar una amplia gama de datos de acceso mediante la inclusión de una opción “otra”, permitiendo a las víctimas ingresar cualquier dirección de correo electrónico y contraseña.

Además, marcas como Adobe y DocuSign también se ven comprometidas bajo un esquema ligeramente diferente. Las páginas de phishing que las imitan no solo buscan robar credenciales de sus propios servicios, sino que están configuradas para capturar información de otras cuentas, evidenciando la versatilidad y el alcance adaptativo de los ataques de phishing actuales.

La predominancia de Microsoft como objetivo principal de estos ataques no es casualidad. Dado que Microsoft 365 es la suite de productividad más utilizada a nivel mundial, los atacantes han puesto un especial énfasis en este servicio, logrando que alrededor del 75% de los clics en campañas de phishing estén dirigidos a robar credenciales de Microsoft.

Coca-Cola, Adidas, McDonald’s, Nike, Pepsi y otras corporaciones internacionales también suelen utilizarse para este tipo de ciberestafas. Todas ellas tienen una larga trayectoria y son conocidas en todos los sectores de la sociedad. Además, gozan de buena reputación entre los consumidores. La finalidad es que la víctima reconozca de forma rápida a la empresa y así evite pensar que en realidad está ante una estafa.

La Comisión Federal de Comercio de los Estados Unidos generó una serie de tips rápidos para detectar casos de phishing. Si un mensaje recibido cuenta con alguna de estas características, es recomendable eliminarlo o tomar medidas preventivas antes de continuar:

• Decir que se ha detectado alguna actividad sospechosa o intentos de inicio de sesión en alguna de sus cuentas.
• Afirmar que hay un problema con su cuenta o con su información de pago.
• Decir que debe confirmar algunos datos personales.
• Incluir una factura falsa.
• Pedirle que haga clic en un enlace para hacer un pago de una compra o servicio.
• Decir que usted es elegible para registrarse para recibir un reembolso del gobierno.
• Ofrecerle un cupón para algo gratis o con descuento.

¿Cuándo es más común?

Como se mencionó, la cantidad de casos de phishing se incrementó desde el comienzo de la pandemia. Por lo tanto, los usuarios están expuestos a este ciberdelito durante todos los días del año. Sin embargo, existen momentos específicos donde su aparición es mucho más frecuente.

El primero de ellos son las fiestas. Navidad y Año Nuevo suelen ser terreno fértil para los delincuentes digitales porque las personas invierten mucho dinero en compras de todo tipo. Desde regalos y comida hasta entretenimiento y servicios, los gastos durante esas semanas se incrementan y los casos de phishing también.

A estas festividades les siguen otras más específicas como Pascuas, el Día de la Madre o el Día del Niño. Es muy frecuente que días antes de sus celebraciones circulen mails o mensajes para ganar huevos de chocolate, perfumes o juguetes. Los criminales apuestan por la intención de las personas de conseguir un obsequio de forma gratuita y aprovechan eso para robar información personal.

Otros momentos en los cuáles los casos de phishing florecen son las fechas de fomento del e-commerce. El Black Friday o el Cyber Monday son días para extremar las medidas de seguridad ante las ciberestafas. Las empresas realizan campañas de marketing y los usuarios reciben constantemente mails con promociones y descuentos. La mayoría de ellos son verdaderos pero al ser tan masivos es muy fácil para los criminales virtuales esconder engaños entre ellos.

Por último, aparecen las vacaciones, sobre todo las de verano. Antes de su llegada, los casos de phishing suelen relacionarse con sorteos para ganar vuelos de avión a destinos paradisíacos. También hospedajes en playas remotas o paseos por las principales ciudades del mundo. Pero ninguno de ellos es real y al finalizar el proceso la persona termina accediendo a un sitio fraudulento.

¿Cuáles son los casos de phishing más comunes?

A lo largo de los últimos años, los delincuentes virtuales fueron sofisticando y desarrollando distintos tipos de phishing, adaptándose a nuevas tecnologías y canales de comunicación. Como destaca el Foro Económico Mundial, es crucial que las organizaciones adopten enfoques proactivos para combatir las ciberamenazas en constante evolución, implementando estrategias de detección temprana y formación en seguridad digital. Estas técnicas incluyen desde correos electrónicos fraudulentos hasta ataques más dirigidos como el spear phishing o el QRishing, lo que hace imprescindible la actualización constante de los mecanismos de defensa.

Rob Greig, Director de Información de Arup observó un aumento en la cantidad y sofisticación de los ciberataques, destacando la necesidad de estrategias avanzadas de ciberseguridad.

La segunda forma más cotidiana es el vhishing. Sus características y objetivos son los mismos salvo que esta versión no se lleva a cabo por mail. En estos casos, la víctima recibe una llamada telefónica y es impulsada a dar información por un supuesto error en un servicio o producto que compró. Es frecuente también que sea amenazada en caso de dudar o alertar que algo extraño está pasando.

Otro caso es el spear phishing, que tampoco es muy distinto de la versión original. La diferencia radica en que en esta última el mensaje que recibe la persona es general. Es decir, el criminal obtiene una base de datos con emails y envía el mismo texto a cientos o miles de direcciones. Mientras que en este tipo, el comunicado es personalizado. Por lo tanto, en el mail aparece el nombre y apellido de la víctima con el objetivo de darle más confianza sobre el resto del contenido.

Hasta ahora se han visto casos de phishing relacionados a emails y llamadas. Pero también existen aquellos que se realizan por mensajes de texto o SMS. A estos se los llama smishing y son menos frecuentes en la actualidad. Esto se debe a que pocas personas usan esta forma de comunicación que fue reemplazada por plataformas como WhatsApp y Telegram.

Un caso muy agresivo de phishing es aquel que activa un malware de forma directa. Por lo general, los emails recibidos le piden a la persona que haga click en un link y recién en ese momento es dirigida al sitio falso. En este caso, con tan solo abrir el mail se activa el malware que infecta al equipo y roba información privada.

Finalmente, una variedad de phishing que surgió recientemente es el QRishing. Los delincuentes cambian el QR de un banco o de una marca y cuando la persona lo escanea con su dispositivo activa el malware que lleva dentro. Aún no son tan comunes pero se han visto cada vez más casos porque la utilización de códigos QR es cada vez más cotidiana.

Comparativa de métodos de phishing

El phishing y las redes sociales

El surgimiento de las redes sociales también habilitó nuevos espacios para que los ciberdelincuentes distribuyan phishings. Facebook, Instagram, Tinder y LinkedIn son las plataformas más utilizadas para engañar a las personas ya que millones de ellas pasan una gran cantidad de horas al día compartiendo contenido en estos espacios virtuales.

En Facebook e Instagram, el phishing suele comenzar con los ciberdelincuentes ingresando de forma ilegal a la cuenta de un usuario. Desde ella envían a todos los “amigos” un mensaje junto al link de la web fraudulenta. En el pasado se han detectado textos del estilo: “Creo que apareciste en este video. ¿Sos vos?”. Al provenir de una supuesta persona conocida, la víctima confía que está hablando con dicho individuo pero al hacer click termina siendo estafada.

En el caso de Tinder y LinkedIn, la modalidad es un tanto diferente. En ambos casos, el mensaje llega a través de un mail que aparenta ser de la empresa. En el caso de Tinder, aparece un correo con frases del estilo: “Tenés muchos matches, entrá a ver quiénes son”. Mientras que en el caso de LinkedIn suelen llegar comunicados como: “Muchas empresas están viendo tu perfil. Enterate cuáles”.

En ambas situaciones, hay un link que la persona no revisa y clickea casi de forma inmediata. Esa acción desencadena el phishing, que resulta muy difícil de frenar una vez iniciado.

Phishing con criptomonedas

La gran popularidad de las criptomonedas y otros activos digitales basados en la tecnología blockchain, como los NFTs, genera que los ciberdelincuentes extremen sus esfuerzos en este campo. Por lo general, su objetivo es ingresar a las billeteras virtuales de los usuarios para quedarse con sus tokens.

A este accionar se lo conoce usualmente como crypto clipping. Para explicarlo, sirve tomar como ejemplo un caso que ocurrió a finales del 2021. Todo comenzó con una nueva variante de un malware diseñado específicamente para robar criptomonedas durante su transacción. Se le asignó el nombre de Twitz y constó de un botnet que fue distribuido entre miles de personas a través de una campaña de phishing.

Quienes accedieron al link, desataron un malware dentro de sus dispositivos que realizaba transacciones de criptomonedas. El mismo reemplazaba de forma automática la dirección de la billetera de la víctima para redirigir esos activos a una billetera controlada por el atacante y de esta manera robar su dinero.

Aunque hubo casos en Estados Unidos y Europa, la región donde se detectó este crypto clipping con más regularidad fue Latinoamérica. En países como México, Guatemala, Perú y Venezuela se descubrieron miles de casos que fueron alertados por distintas compañías de ciberseguridad.

Más fraudes con criptomonedas

Otro accionar que se volvió popular es la creación de tokens falsos a través de la desconfiguración de smart contracts en las distintas blockchains. El caso más famoso es el de la criptomoneda SQUID relacionada a la serie “El juego del calamar”. A través de una campaña de phishing, y aprovechando el furor por la producción surcoreana, un grupo de hackers impulsó a millones de personas a comprar esta supuesta cripto cuyo valor “seguiría aumentando”.

Se estima que los delincuentes recibieron más de tres millones de dólares y, una vez alcanzada esa cifra, desaparecieron. Al poco tiempo se supo que la criptomoneda nunca fue real y que había sido creada a partir de una desconfiguración de un contrato inteligente.

Expertos explican paso a paso cómo se desconfiguran los smart contracts:

• Para crear tokens fraudulentos: los ciberdelincuentes desconfiguran los llamados contratos inteligentes, programas almacenados en blockchain que se ejecutan cuando se cumplen unas condiciones predeterminadas. Check Point Research describe los pasos que siguen los atacantes para aprovecharse de este tipo de contratos.
• Manipulan las funciones: con la transferencia de dinero, impidiendo vender, o aumentar la cantidad de la cuota. La mayoría de las manipulaciones se producen cuando se transfiere el dinero.
• Crean un hype a través de las redes sociales: abriendo canales Twitter/Discord/Telegram, sin revelar su identidad o utilizando la imagen falsa de otras personas, y empezarán a dar bombo al proyecto para que el público empiece a comprar.
• «Retirada del dinero»: una vez alcanzada la cantidad de dinero que quieren, retirarán de todo el dinero del contrato, y borrarán todos los canales de las redes sociales.
• Omiten los timelocks: por lo que no se verá que esos tokens bloqueen una gran cantidad de dinero en la reserva de contratos, ni tampoco que añadan timelocks. Los timelocks se utilizan sobre todo para retrasar las acciones administrativas y generalmente se consideran un fuerte indicador de que un proyecto es legítimo.

¿Cómo protegerse?

Cada empresa o experto de ciberseguridad da consejos para protegerse de los casos de phishing. Por lo general, son bastante similares entre sí. En general, las prácticas para defenderse de este tipo de ciberestafas podrían resumirse en la siguiente lista:

• Sospechar de los obsequios y premios gratuitos. No confiar en mensajes que llegan vía WhatsApp o RRSS que ofrecen premios y/o regalos. Sobre todo antes de festividades o celebraciones ya que son los momentos más aprovechados por los cibercriminales para distribuir phishings.
• Nunca entregar datos personales, ni nombre de usuario y password, número de cuentas bancarias, número tarjeta de crédito, en general “datos sensibles”.
• Verificar en la web si existen denuncias o damnificados
• Observar la URL de la página web, verificar si es un sitio oficial o un clon. Las URL fraudulentas suelen tener una letra de más, una de menos o una repetida. Nunca van a ser iguales a las originales por lo que si se presta atención es posible identificarlas.
• Desconfiar por más que nos lleguen a través de personas que conocemos. Es muy común que los delincuentes ingresen de forma ilegal a cuentas de individuos reales para distribuir el phishing entre los contactos sin generar sospechas.
• Siempre acceder al sitio web/aplicación oficial en lugar de usar enlaces de fuentes desconocidas.
• Nunca hacer click en enlaces o archivos adjuntos de fuentes desconocidas. 
• Activar la autenticación de dos factores que actualmente es ofrecida en todas las plataformas digitales.

Otra herramienta muy fácil de instalar y que puede impedir que muchos emails fraudulentos ingresen a la casilla de mails es el filtro de spam. Además, existen protecciones adicionales para detectar o advertir que un mensaje o link es fraudulento. Los expertos recomiendan actualizar constantemente los antivirus y los softwares en celulares para instalar en los dispositivos estas configuraciones.

Casos de éxito de implementación

¿Cómo denunciar un caso de phishing?

Si por error o descuido se ingresó a un link fraudulento y se otorgó datos privados, existen varias acciones a realizar. En caso de que el phishing esté relacionado con información bancaria, el primer paso es llamar a la institución para alertar sobre la situación. Es necesario que esto se realice de forma veloz para que se congelen las cuentas o se cambien las claves de acceso. De esta forma, los criminales no podrán ingresar a los fondos.

El segundo paso, es denunciar en la plataforma el mensaje recibido. Ya sea un mail o un chat en una red social, existen mecanismo que permiten exponer esta situación. Actualmente, todas estas plataformas tienen sistemas de inteligencia artificial que detectan estas situaciones y proceden a cerrar la cuenta fraudulenta o a eliminar el correo electrónico. De todas formas, los delincuentes suelen crear nuevos usuarios falsos por lo que hay que continuar prestando atención a los mensajes recibidos durante los próximos días.

Finalmente, hoy en día todas las jurisdicciones cuentan con departamentos especializados en ciberseguridad. Tanto a nivel local como a nivel nacional, se puede recurrir a estos lugares para denunciar y conseguir asistencia. De hecho, las personas que trabajan en estos lugares suelen pedir que ante una ciberestafa se realice la denuncia correspondiente.

Esto ocurre porque, por lo general, las víctimas no suelen realizar una denuncia formal. Ya sea por vergüenza, miedo o falta de tiempo, las personas prefieren manejar la situación de otra manera. Sin embargo, esto provoca que las estadísticas no se actualicen correctamente y no se sepa con claridad cuántas ciberestafas se llevan a cabo por año.

Además, la información otorgada a estas agencias puede ser de ayuda para rastrear a los cibercriminales. Por lo general, los grupos de hackers que realizan delitos como el phishing son siempre los mismos y, mientras más datos tengan los agentes, más oportunidades existen de descubrirlos y frenar sus operaciones.

Nuevas tendencias en phishing: IA y deepfakes

A medida que el phishing evoluciona, los ciberdelincuentes están integrando tecnologías avanzadas para hacer sus ataques más creíbles y difíciles de detectar. Una de las principales tendencias actuales es el phishing basado en inteligencia artificial, donde los atacantes utilizan modelos de IA para automatizar y personalizar mensajes fraudulentos a gran escala. Además, los ataques deepfake han comenzado a utilizar audios y vídeos falsificados para suplantar identidades en tiempo real, logrando engaños más sofisticados en sectores como la banca y las empresas de alto perfil.

FAQs | Preguntas y respuestas

¿Qué tecnologías emergentes están ayudando a las empresas a combatir el phishing de manera más efectiva?

Tecnologías como la inteligencia artificial y el aprendizaje automático están revolucionando la detección de phishing, permitiendo identificar y bloquear correos electrónicos y enlaces maliciosos en tiempo real.

¿Cuál es el papel de la formación en concienciación sobre seguridad en la prevención del phishing en las empresas?

La formación en concienciación sobre seguridad es crucial para enseñar a los empleados a reconocer intentos de phishing y aplicar protocolos de seguridad, reduciendo significativamente el riesgo de brechas de datos.

¿Cómo pueden las pequeñas y medianas empresas protegerse eficazmente contra el phishing sin un gran presupuesto para seguridad cibernética?

Las PYMEs pueden implementar soluciones de seguridad económicas como firewalls, software antivirus, y también adoptar prácticas de seguridad fuertes como autenticación de dos factores y capacitaciones regulares en concienciación.

¿Qué medidas específicas deberían tomar las organizaciones tras detectar un ataque de phishing exitoso?

Tras un ataque de phishing, las organizaciones deben cambiar inmediatamente todas las contraseñas comprometidas, analizar el alcance del daño y reportar el incidente a las autoridades competentes para una acción legal.

Por Agustín Jamele.