Phishing: casi todo el mundo caerá
Los expertos en ciberseguridad han averiguado qué correos de phishing provocan más reacciones entre los empleados. El phishing consiste en mensajes engañosos que incitan a abrir un enlace malicioso, descargar un archivo o revelar una contraseña. Por lo general, estos correos apelan a la urgencia y al miedo a perder algo o a meterse en problemas.
Los investigadores de Kaspersky han analizado datos anonimizados recopilados voluntariamente mediante el simulador de ataques de phishing de la empresa. Según los especialistas, un elevado porcentaje de clics en los enlaces permite determinar qué formación en ciberseguridad necesitan los empleados.
Los señuelos más eficaces fueron los relacionados con la inteligencia artificial y la tecnología, la medicina y los seguros, las políticas de TI y el cumplimiento de las normas, los regalos y las promociones, así como las noticias de recursos humanos y de la empresa.
El tema más eficaz fue el de la IA y la tecnología: los correos sobre la implantación de una «inteligencia artificial de nueva generación» llevaron al 45% de los destinatarios a hacer clic en el enlace. Casi uno de cada dos; y ese clic podría provocar una infección por malware o el robo de credenciales.
Los correos sobre medicina y seguros funcionaron, de media, con el 28% de los destinatarios. El señuelo de un informe de inspección sanitaria resultó especialmente convincente: el 92% abrió el enlace de ese correo. Los mensajes sobre normas de TI y cumplimiento de las políticas corporativas quedaron en tercer lugar, con un 26%, y las ofertas de regalos y promociones, en cuarto, con un 24%.
Dentro de esta última categoría, un señuelo relacionado con el fútbol fue aún más eficaz que la media: el 66% de los destinatarios hizo clic en un correo que les invitaba a ponerse la camiseta de la selección nacional y ganar un premio. Los mensajes sobre recursos humanos y la empresa alcanzaron el 22%. Según Kaspersky, son especialmente peligrosos los correos que abordan asuntos internos sensibles y de actualidad para los empleados.
Svetlana Kalashnikova, experta en concienciación sobre seguridad de Kaspersky, explicó que las personas reaccionan de forma natural a mensajes sensibles y adaptados con precisión al contexto. Los delincuentes lo tienen en cuenta y personalizan cada vez más sus señuelos; según ella, esta tendencia se intensificará con la expansión de la IA generativa.
Sin embargo, la formación periódica y las simulaciones de ataques pueden reducir considerablemente la vulnerabilidad de los empleados. Según el análisis de eficacia de KASAP, la proporción de quienes caen en el phishing puede bajar del 60% al 5-7%. La empresa recomienda a las organizaciones formar continuamente a todos sus empleados para que aprendan a reconocer estas amenazas.
Según Kaspersky, el phishing sigue siendo el tipo de ciberincidente más frecuente en empresas de todos los tamaños y a menudo acarrea graves consecuencias para el negocio. Los ataques dirigidos a las personas son cada vez más sofisticados, rápidos y amplios. Gracias a la inteligencia artificial, se convierten en campañas de varias etapas.
Antes de la aparición de la IA, era más fácil detectar los correos engañosos: los delincuentes solían escribir en inglés como quienes no lo tienen como lengua materna, por lo que los mensajes sonaban poco naturales y no imitaban bien el estilo de las empresas reales. Ahora la IA ayuda a crear correos casi indistinguibles de la correspondencia auténtica. Por eso hay que comprobar no solo el texto, sino también los enlaces, los archivos adjuntos y el sentido general del mensaje.
Algunas señales de phishing siguen siendo las mismas. La urgencia es una de las principales: las organizaciones legítimas normalmente no amenazan con desactivar una cuenta en un plazo de 24 horas. Tampoco deberían alojar documentos en servicios externos desconocidos ni enviar archivos adjuntos en formato ejecutable, es decir, archivos capaces de iniciar programas en el dispositivo.
También conviene comprobar el dominio del remitente: la parte de la dirección que va después del símbolo @. Los correos de phishing suelen enviarse desde direcciones pirateadas o cuentas de servicios de acceso público. Por ejemplo, el servicio postal británico no mantendrá correspondencia oficial desde una dirección de Proton Mail.
En 2026, concluyen los expertos, la principal línea de defensa sigue siendo la concienciación, la formación periódica y las simulaciones de ataques.
PEREC.RU
El phishing tiene una rara virtud: no pretende ser una filosofía compleja. Le basta con que alguien se asuste por un instante, se ilusione con un premio o crea que su jefe espera una respuesta inmediata. En ese momento, el sentido común suele irse a por un café y el ciberdelincuente tiene la oportunidad de entrar en el sistema sin acreditación.
Lo más desagradable no es que los estafadores hayan aprendido a escribir con soltura. Era cuestión de tiempo: la IA generativa ha convertido la falsificación convincente, antes un oficio, en un servicio a la carta. Ahora un correo puede hablar con la voz de una empresa conocida, encajar en el contexto local y saber qué tecla emocional pulsar. Las tecnologías que prometían liberar a la humanidad de las tareas rutinarias también han liberado a los estafadores de la necesidad de saber escribir.
A las empresas suelen gustarles las soluciones vistosas: un producto nuevo, una plataforma imponente, una presentación llena de gráficos y de la palabra «transformación». Formar a los empleados resulta menos espectacular: repetir las normas, comprobar las direcciones y acostumbrarse a no abrir todo lo que parpadea con la palabra «urgente». Por eso suele dejarse para después del primer incidente, cuando se descubre que el cortafuegos corporativo más caro no puede detener un dedo que ya está pulsando el enlace.
También existe la tentadora excusa de echarle toda la culpa al «empleado distraído». Así no hace falta hablar de por qué en la organización se premian las respuestas instantáneas, por qué todos los mensajes parecen igual de urgentes ni quién decidió que el acceso a sistemas críticos dependiera de un solo clic. Un proveedor de cursos convenientemente afiliado, por supuesto, ofrecerá una solución milagrosa en un envoltorio atractivo. Pero comprar el logotipo de una plataforma no cambia los hábitos.
La conclusión práctica es aburrida y, precisamente por eso, especialmente útil: formar de manera periódica, poner a prueba mediante simulaciones y no castigar a quienes avisan de un correo sospechoso. Si se reprende a alguien por cometer un error, los empleados empiezan a ocultarlos; si pueden comunicarlo sin miedo, la organización tiene la oportunidad de cortar el acceso antes de que el problema llegue a las noticias de la junta directiva.
En última instancia, el phishing no vende un enlace, sino una emoción: miedo, curiosidad, codicia o ganas de no fallar a los compañeros. La IA solo envuelve esa emoción con más esmero. No vence quien asistió una vez a una sesión informativa, sino quien, llegado el momento, es capaz de pararse y comprobar si el correo procede realmente de quien dice ser.
