El phishing: La trampa favorita de los ciberdelincuentes

Un dibujo que representa como los ciberdelincuentes roban nuestra información a través de Internet. Foto extraída de Retarus.

• El phishing es el delito cibernético más habitual

• Miles de víctimas ceden sus datos a estafadores sin darse cuenta y por ello es necesario una labor de concienciación

Hoy en día la tecnología está más presente que nunca en nuestras vidas. Esta, además de ofrecernos infinidad de beneficios también trae consigo una serie de peligros. Uno de ellos es el phishing. Este término, que proviene de la palabra “fishing” (pescar) del inglés, se refiere al tipo de estafa online mediante la cual un atacante trata de “poner un anzuelo” a su víctima con el fin de obtener alguna información confidencial. El estafador trata de ganarse la confianza de un usuario mediante cualquier vía digital, ya sea correo electrónico, redes sociales, páginas web o incluso llamadas; y supone una de las amenazas cibernéticas de mayor calibre en la actualidad. 

Es a día de hoy la forma de ciberdelincuencia más extendida. La razón es evidente, es la más rentable para los estafadores. Es además la más complicada de combatir pues no busca aprovecharse de vulnerabilidades técnicas, sino de errores humanos. En la actualidad existen gran variedad de canales para acceder a nuevas víctimas, y estas solo podrán evitar ser engañadas si desarrollan un aprendizaje basado en la experiencia. 

Un dibujo que representa como los ciberdelincuentes roban nuestra información a través de Internet. Foto extraída de Shopify.

Una práctica muy silenciosa

El phishing ya no se da de forma aislada. Es una actividad que se encuentra muy estructurada y donde existen profesionales dedicados a hacer estas estafas mucho más atractivas. Sobre todo enfocados al sector informático, pueden crear webs falsas desde cero o ayudar a otros estafadores a localizar datos de potenciales víctimas. 

Sin duda uno de los pilares en los que se basa esta estrategia es en la construcción de un buen texto. La credibilidad es la clave, normalmente se hacen pasar por algún tipo de institución o empresa como un banco, universidades, empresas de envíos como correos… Y claro, estos mensajes son enviados masivamente, pueden llegar a tener miles de receptores en muy poco tiempo, por lo que aunque la mayoría de los receptores no caigan, con obtener unas pocas “victorias”, los atacantes pueden satisfacer sus aspiraciones económicas. 

Opinión de un experto

Sergio Jorge Fernández es un educador social y pedagogo con quien hemos podido concertar una entrevista para profundizar más sobre este tema. En su experiencia, no es difícil caer en este tipo de estafas, cualquiera puede hacerlo. Sergio cree que hay que empezar ya a educar en ciberseguridad para evitar el aumento de estos casos. 

La clave, insiste Sergio, es insistir en el aprendizaje de perfiles repetitivos como aquellos que no han sido suficientemente educados en la materia. Y así evitar que caigan o al menos tengan más cuidado con los mensajes que reciben.

Prevenir el ataque

Ante este tipo de campañas, el internauta debe estar muy atento y tomar todo tipo de prevenciones. Ello supone partir de cosas básicas como mantener el software actualizado y verificar el remitente de correos o sms recibidos antes de realizar cualquier acción. Sobre todo, ante un correo o mensaje sospechoso, evitar abrir enlaces o archivos sin antes haber hecho una serie de comprobaciones previas.

Si buscamos una protección más avanzada, son buenas opciones activar el filtrado de correos antispam o anti-phishing, implementando incluso protocolos como SPF, DKIM O DMARC en los dominios del correo electrónico, evitando así la suplantación de identidad. 

Un dibujo que representa como los ciberdelincuentes roban nuestra información a través de Internet. Foto extraída de EasyDMARC.

• El Sender Policy Framework señala las direcciones de correo que pueden utilizar tu dominio y previene que potenciales spammers se introduzcan en él.
• El DomainKeys Identified Mail añade una firma digital al correo para alterar de posibles manipulaciones en el tránsito.
• El Domain-Based Message Authentication, Reporting and Conformance indica cómo operar con aquellos correos que no superen el SPF o el DKIM.

En la misma línea de protección de datos, activar la autenticación multifactor también es una forma de ponerle otra cerradura a la puerta.

El Estado ante la estafa

En lo que respecta a la respuesta de las instituciones, existe un organismo público llamado INCIBE (Instituto Nacional de Ciberseguridad), que se dedica al desarrollo de la ciberseguridad y a la atención a empresas y particulares. Lo hace a través de recursos como INCIBE-CERT, su centro de respuesta a incidentes de seguridad, con el que se enfrenta a delitos relacionados con redes y sistemas de información. Además cuenta con el 017, un número de atención dirigido a ciudadanos, profesionales y empresas.

Un dibujo que representa como los ciberdelincuentes roban nuestra información a través de Internet. Foto extraída de gextor.

A nivel internacional, concretamente comunitario, existe ENISA (Agencia de la Unión Europea para la Ciberseguridad). Esta organización ofrece apoyo a instituciones y organismos públicos de los países miembros, aunque también a la comunidad empresarial, especialmente pequeña y mediana empresa, y a los ciudadanos.

Datos del fraude

El phishing por correo electrónico es una de las mayores amenazas digitales actuales. A mediados de 2025, la APWG registró más de 1,1 millones de ataques, casi un 30 % más que el año anterior. Paralelamente, el FBI estima que las pérdidas por delitos online en 2024 alcanzaron los 16.600 millones de dólares, una muestra del enorme impacto económico de estas estafas.

El crecimiento se debe a la digitalización masiva de trámites y servicios que ha multiplicado los puntos donde los ciberdelincuentes pueden suplantar comunicaciones legítimas. La IA generativa permite crear correos más creíbles y personalizados, elevando la eficacia de los fraudes. A esto se suma la disponibilidad de herramientas criminales, que facilitan a cualquiera lanzar campañas masivas.

Un dibujo que representa como los ciberdelincuentes roban nuestra información a través de Internet. Foto extraída de Grupo GV.

Los sectores más afectados son las finanzas y los servicios de pago, los proveedores de correo y plataformas en la nube, donde se concentran ataques de robo de credenciales y fraudes. En un escenario donde el factor humano sigue siendo lo más débil, la combinación de tecnología avanzada y motivación económica convierte al phishing en un problema creciente y difícil de contener.