Los ciberdelicuentes siguen apuntando a los correos electrónicos: ¿Qué es el phishing y cómo evitarlo?

El correo electrónico es mucho más que una herramienta de comunicación. Es la llave de acceso a gran parte de la vida digital de una persona: ahí llegan los enlaces para restablecer contraseñas, se almacenan facturas, se confirman reservas, se guardan contratos y se verifican identidades. Todo eso lo convierte en uno de los objetivos más codiciados por los ciberdelincuentes.

Las cifras respaldan esa preocupación. Los registros indican un aumento del 36% en los correos maliciosos durante la segunda mitad de 2025 en comparación con los seis meses anteriores, una tendencia que muestra que los ataques vía correo no solo no disminuyen, sino que siguen creciendo con sofisticación.

"Una bandeja de correo puede contener años de información sensible, desde planes de viaje y recibos de compras hasta turnos médicos, contratos, documentos fiscales e identificaciones escaneadas. Una bandeja de entrada puede darle a un cibercriminal una ventaja sobre el resto de la vida digital de una persona", advierte Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica.

¿Qué es el Phishing?

El phishing, es decir, el engaño a través de correos que simulan ser legítimos, fue la forma de ciberataque más común el último año según estadísticas del gobierno del Reino Unido, representando el 38% de los casos. Le siguió la suplantación de organizaciones en correos electrónicos con un 12%, dos modalidades que tienen al correo electrónico como principal vector de entrada.

"El correo electrónico sigue siendo atractivo para los atacantes porque está en la intersección entre tecnología, identidad y confianza humana. Incluso usuarios cuidadosos pueden cometer errores cuando un mensaje parece provenir de un remitente conocido, llega en un momento de apuro o transmite urgencia", explica Micucci, destacando que la inteligencia artificial generativa ya está siendo usada por actores maliciosos para redactar mensajes con gramática y ortografía impecables, lo que los hace mucho más difíciles de detectar.

En entornos laborales, el riesgo es aún mayor. Con acceso a un correo corporativo, un atacante puede ingresar a aplicaciones en la nube, revisar sistemas de finanzas y recursos humanos, espiar comunicaciones con clientes y acceder a bases de datos sensibles. Un ataque de phishing a una cuenta corporativa suele ser la primera etapa de una brecha de datos más amplia o un ataque de ransomware.

Los consejos para evitarlo

Frente a este escenario, los especialistas en ciberseguridad recomiendan usar una contraseña única y robusta para cada cuenta, guardada en un gestor de contraseñas confiable. Activar la autenticación multifactor es otro paso fundamental, ya que añade una capa de protección que dificulta considerablemente el acceso no autorizado, incluso si la contraseña es comprometida.

También es importante revisar periódicamente las configuraciones de la cuenta. Buscar reglas de reenvío desconocidas, filtros extraños, aplicaciones conectadas que no se reconozcan o dispositivos no identificados son señales de alerta que no deben ignorarse. Si se sospecha que la cuenta fue comprometida, lo primero es cambiar la contraseña, revocar sesiones sospechosas y revisar los datos de recuperación.

Ante cualquier mensaje no solicitado, la recomendación es actuar con precaución. Pasar el cursor sobre el remitente para detectar inconsistencias, verificar la ortografía del dominio y no hacer clic en enlaces ni abrir adjuntos sin confirmar por otro canal son hábitos simples que marcan una diferencia real. Tampoco se deben aprobar códigos de autenticación multifactor que no se hayan solicitado, ya que podría ser un atacante intentando ingresar.

En contextos laborales, cualquier solicitud urgente de transferencia bancaria debe verificarse siempre a través de un canal independiente, aunque parezca provenir del CEO o del área de tecnología. La ingeniería social representó el tercer patrón más común en las brechas de seguridad el año pasado según un informe de Verizon, y el factor humano estuvo presente en el 62% de los casos, lo que demuestra que la educación y la atención siguen siendo la mejor línea de defensa.

Todo sobre Ciberseguridad