En 2026, el phishing se ha convertido en la principal amenaza cibernética a nivel mundial. Solo en Estados Unidos, durante 2024, se registraron más de 190.000 denuncias relacionadas con este delito, según el Informe de Crímenes en Internet del FBI. Los ciberdelincuentes emplean correos electrónicos, mensajes de texto y llamadas fraudulentas para sustraer contraseñas, datos bancarios e información personal de millones de usuarios al año. La incorporación de inteligencia artificial en estos ataques los vuelve cada vez más difíciles de detectar, advierte el Centro Nacional de Ciberseguridad del Reino Unido (NCSC).
¿Qué es el phishing y cómo opera?
De acuerdo con el NCSC, el phishing es un ataque de ingeniería social donde los delincuentes envían comunicaciones falsas diseñadas para engañar a las personas y lograr que revelen información confidencial, instalen software malicioso o autoricen accesos no permitidos. Los atacantes suelen hacerse pasar por entidades de confianza como bancos, empresas tecnológicas, organismos gubernamentales o servicios comunes.
Según portales especializados en ciberseguridad, el phishing ya no se limita al correo electrónico. Los ataques actuales se distribuyen por múltiples canales:
- Email phishing: mensajes masivos que simulan provenir de empresas reconocidas como Amazon, Microsoft o entidades bancarias, con falsas urgencias.
- Smishing: ataques enviados por SMS que alertan sobre premios, problemas de entrega o verificaciones bancarias urgentes.
- Vishing: llamadas telefónicas donde los delincuentes se hacen pasar por soporte técnico, organismos oficiales o proveedores.
- Phishing con códigos QR: una modalidad creciente donde los usuarios son redirigidos a sitios maliciosos a través de códigos QR impresos o digitales.
Uno de los cambios más alarmantes, según el NCSC, es el uso de herramientas de IA generativa para crear mensajes hiperpersonalizados a partir de datos públicos disponibles en redes sociales, sitios web corporativos y plataformas como LinkedIn.
Un informe reveló que el 82,6% de los correos de phishing analizados entre septiembre de 2024 y febrero de 2025 contenían contenido generado por inteligencia artificial. Esta tendencia elimina los errores ortográficos y gramaticales que antes permitían identificar mensajes fraudulentos, dificultando su detección incluso para usuarios con experiencia en ciberseguridad.
Señales para detectar un intento de phishing
Los expertos coinciden en una serie de alertas que ayudan a identificar un ataque de phishing antes de caer en la trampa:
- Direcciones de correo sospechosas: las empresas legítimas usan dominios oficiales. Una dirección como @amaz0n-security.net en lugar de @amazon.com es una señal de fraude.
- Urgencia artificial: mensajes que exigen acción inmediata bajo amenaza de consecuencias graves, como el cierre de una cuenta, son una táctica de manipulación.
- Saludos genéricos: correos que comienzan con “Estimado cliente” en lugar del nombre real suelen ser campañas masivas de phishing.
- Enlaces sospechosos: pasar el cursor sobre un enlace antes de hacer clic permite ver la URL real. Si no coincide con el sitio oficial, es un fraude.
- Solicitudes de información confidencial: ninguna institución legítima pide contraseñas, números de tarjeta o datos personales por correo o mensaje de texto.
Consejos prácticos para protegerse
De acuerdo con las recomendaciones, existen medidas concretas que cualquier usuario puede adoptar para reducir el riesgo de sufrir un ataque de phishing:
- Activar la autenticación multifactor (MFA): incluso si los atacantes obtienen una contraseña, la MFA exige un segundo paso de verificación que bloquea el acceso no autorizado. El NCSC recomienda el uso de llaves de seguridad físicas FIDO2 o passkeys como alternativas más seguras a los códigos por SMS.
- Usar un gestor de contraseñas: estas herramientas generan contraseñas únicas y robustas para cada cuenta, evitando que el robo de una credencial comprometa el resto de los accesos.
- Verificar por canales alternativos: ante cualquier solicitud urgente o inusual, confirmar la autenticidad del mensaje a través de un canal diferente al usado en la comunicación original, como una llamada directa a la entidad.
- Instalar software antivirus actualizado: las soluciones modernas de seguridad utilizan inteligencia artificial para detectar y bloquear intentos de phishing antes de que lleguen al usuario.
- No hacer clic en enlaces de mensajes no solicitados: ingresar directamente la dirección del sitio web en el navegador, en lugar de seguir enlaces recibidos por correo o mensaje, elimina uno de los vectores de ataque más comunes.
Fuente: Infobae