¿Cuánto tiempo tardarías en detectar un correo falso de tu banco si llegara en el momento exacto en que estás esperando una notificación importante? Esa pregunta no es retórica: es la que el atacante ya se ha hecho antes de que abras el mensaje. El phising —o phishing, en su grafía original— no es un problema tecnológico en esencia. Es un problema humano disfrazado de tecnología, y entender esa diferencia cambia completamente cómo nos defendemos.
En este artículo diseccionamos el ataque de ingeniería social más extendido del mundo: su psicología, sus variantes técnicas, un caso práctico reconstruido paso a paso y las defensas que realmente funcionan. Si trabajas en seguridad, IT, defensa o simplemente usas correo electrónico a diario, esto te concierne directamente.
1. El engaño: cuando Correos te roba las credenciales bancarias
En octubre de 2023, el INCIBE y la Oficina de Seguridad del Internauta (OSI) alertaron de una campaña masiva de phishing que suplantaba la identidad de Correos. Los usuarios recibían un SMS indicando que su paquete estaba retenido por una pequeña tasa de aduana —generalmente entre 1,20 € y 2,50 €—. El enlace dirigía a una web clonada con el logo oficial, colores corporativos y un formulario de pago que solicitaba número de tarjeta, fecha de caducidad y CVV.
El detalle más perturbador: la campaña se lanzó coincidiendo con el pico de compras online previo al Black Friday. No fue casualidad. El atacante conocía el contexto emocional de la víctima. Miles de personas esperaban paquetes. La fricción cognitiva era mínima. La tasa de conversión, altísima.
Según datos del CCN-CERT recogidos en su Informe de Amenazas 2023, las campañas de smishing y phishing que suplantan organismos públicos y servicios de paquetería se han convertido en el vector de entrada más frecuente para el robo de credenciales bancarias en España. No es un problema de usuarios poco preparados: es un problema de diseño del ataque.
2. La psicología del ataque: por qué caemos
El phising no explota vulnerabilidades en el software. Explota vulnerabilidades en el cerebro humano. Y lo hace con una precisión que a veces resulta incómoda de reconocer.
El principio de autoridad de Cialdini
Robert Cialdini identificó en 1984 —y reformuló en 2001— seis principios de influencia social que los atacantes utilizan sistemáticamente. El más explotado en phishing es la autoridad: cuando un mensaje parece provenir de una fuente legítima (tu banco, Hacienda, la Seguridad Social, tu propio jefe), el cerebro desactiva el escrutinio crítico y activa el modo de cumplimiento. No es debilidad: es una heurística evolutiva que normalmente nos ahorra tiempo.
La urgencia como desactivador del pensamiento crítico
Christopher Hadnagy, en Social Engineering: The Science of Human Hacking (2018), describe cómo la urgencia artificial es el acelerador más efectivo del ataque. Cuando el mensaje indica «tu cuenta será bloqueada en 24 horas» o «tu paquete será devuelto hoy», activa el sistema límbico —el cerebro emocional— y suprime la corteza prefrontal, que es donde reside el pensamiento analítico. El miedo y la urgencia no son emociones que nos hagan estúpidos: son emociones que priorizan la acción inmediata sobre la deliberación. El atacante simplemente explota ese mecanismo.
La reciprocidad y la curiosidad como anzuelos
Mitnick y Simon, en The Art of Deception (2002), documentan cómo los ataques más sofisticados no solo usan miedo, sino también curiosidad y reciprocidad. Un correo que dice «hemos detectado actividad inusual en tu cuenta y queremos protegerte» activa simultáneamente el miedo y la gratitud. La víctima no solo hace clic: lo hace agradecida.
3. Técnicas y variantes: el catálogo completo
El término phising engloba en realidad una familia de técnicas que comparten el mismo núcleo psicológico pero varían en vector, objetivo y sofisticación. Aquí el catálogo con ejemplos concretos:
- Phishing masivo: Correos genéricos enviados a millones de direcciones. Marta recibe un email de «seguridad@bancosantander-alertas.com» indicando que su tarjeta ha sido comprometida. El dominio es falso; el logo, idéntico al original.
- Spear phishing: Ataques dirigidos con información personalizada. Carlos, director financiero de una pyme en Valencia, recibe un email que menciona su nombre, su empresa y una factura pendiente real —obtenida de LinkedIn y registros públicos—. La tasa de apertura se dispara.
- Whaling: Spear phishing dirigido a altos directivos. El atacante suplanta al consejo de administración o a un socio estratégico. Elena, CEO de una empresa de logística, recibe instrucciones de transferencia urgente firmadas por el abogado de la empresa. Es una variante del Business Email Compromise (BEC).
- Smishing: Phishing por SMS. Javier recibe un mensaje de «su entidad bancaria» con un enlace acortado. El SMS tiene el mismo hilo de conversación que mensajes legítimos anteriores del banco —técnica conocida como SMS spoofing—.
- Vishing: Phishing por llamada de voz. Laura recibe una llamada de alguien que dice ser del soporte técnico de Microsoft. La voz es profesional, el número parece local, y el atacante conoce el sistema operativo que usa Laura porque lo ha obtenido previamente de un formulario de soporte falso.
- Baiting: Un USB con malware etiquetado como «Nóminas Q3» aparece en el parking de una empresa. La curiosidad hace el resto.
- Watering hole: El atacante compromete un sitio web legítimo que la víctima visita con frecuencia —un foro sectorial, una publicación gremial— e inyecta código malicioso. Sin correo, sin SMS: la víctima cae por navegar como siempre.
Tabla comparativa: phishing masivo vs. spear phishing
| Dimensión | Phishing masivo | Spear phishing |
|---|---|---|
| Objetivo | Cualquier usuario | Persona o rol específico |
| Personalización | Ninguna o mínima | Alta (nombre, empresa, contexto) |
| Volumen | Millones de envíos | Decenas o cientos |
| Tasa de éxito | 0,1 – 3% | 15 – 40% (estimación SANS) |
| Coste para el atacante | Muy bajo | Medio-alto (OSINT previo) |
| Detección técnica | Más sencilla (patrones conocidos) | Difícil (dominios nuevos, contenido único) |
4. Caso práctico: reconstrucción de un ataque de spear phishing corporativo
Reconstruimos aquí un ataque típico de Business Email Compromise documentado por el CCN-CERT, con nombres ficcionalizados pero metodología real.
Fase 1 — Reconocimiento
El atacante identifica a Javier Molina, director financiero de una empresa constructora de Sevilla, a través de LinkedIn. Localiza el nombre de su empresa, el de la directora general (Ana Ruiz) y el proveedor habitual de materiales (consultado en registros mercantiles y la web corporativa). En 48 horas tiene suficiente inteligencia OSINT para construir un pretexto creíble.
Fase 2 — Construcción del pretexto
Registra el dominio constructora-sevilla.net (el original es constructora-sevilla.es). Configura un servidor de correo con los mismos parámetros visuales. Redacta un email en nombre de Ana Ruiz que comunica una «transferencia urgente» a una cuenta nueva del proveedor, indicando que el cambio de IBAN se ha producido por un incidente bancario.
Fase 3 — Contacto y explotación
El email llega un viernes a las 17:40. Javier está terminando la semana, tiene pendiente cerrar cuentas del trimestre. El mensaje parece de su directora general, menciona al proveedor por su nombre completo, incluye el número de expediente correcto y pide discreción «hasta confirmar el cambio con el banco el lunes». La urgencia, la autoridad y el elemento de confidencialidad —que inhibe la verificación con terceros— funcionan en sincronía.
Fase 4 — Extracción
Javier realiza la transferencia: 47.000 euros. El lunes, cuando intenta verificar con Ana Ruiz, el dinero ya ha pasado por tres cuentas en distintas jurisdicciones. La recuperación es prácticamente imposible.
Este patrón no es excepcional. Según el Verizon Data Breach Investigations Report (DBIR) de 2023, el BEC fue responsable de pérdidas superiores a 2.900 millones de dólares solo en Estados Unidos. En Europa, el ENISA Threat Landscape 2023 señala el phishing como el vector inicial más frecuente en incidentes de seguridad corporativa.
5. Defensa: tres niveles que no son opcionales
La defensa contra el phising no es un único control: es una arquitectura de capas. Fallar en una sola no significa catástrofe; confiar en una sola sí.
Nivel individual
- La regla de los 10 segundos: Antes de hacer clic en cualquier enlace urgente, detente. Diez segundos de pausa activan la corteza prefrontal y desactivan la respuesta emocional que el atacante ha diseñado.
- Verificación fuera de banda: Si recibes una petición inusual por email, verifica por teléfono usando un número que ya conoces —no el que aparece en el propio email—.
- Comprueba el dominio real: Pasa el ratón sobre el enlace antes de hacer clic. El dominio visible y el destino real rara vez coinciden en un ataque de phishing.
- Desconfía de la urgencia artificial: Las organizaciones legítimas raramente te presionan para actuar en horas. La urgencia es una señal de alerta, no una razón para acelerar.
Nivel organizacional
- Simulacros de phishing: Herramientas como GoPhish o plataformas gestionadas permiten lanzar campañas de phishing simulado. El objetivo no es sancionar a quien cae: es generar conciencia real en contexto operativo.
- Protocolos de verificación para transferencias: Cualquier cambio de IBAN o transferencia superior a un umbral debe requerir confirmación telefónica con la contraparte, usando números previamente registrados.
- Cultura de seguridad sin punitividad: Si los empleados temen reportar errores, los incidentes se ocultan. La detección temprana vale más que la represalia tardía.
Nivel técnico
- DMARC, DKIM y SPF: Estos tres protocolos, correctamente configurados, dificultan enormemente el spoofing de dominios corporativos. Sin ellos, cualquiera puede enviar correos que parecen venir de tu empresa.
- MFA obligatorio: La autenticación multifactor no previene el phishing, pero limita el daño cuando las credenciales son comprometidas. Una contraseña robada sin el segundo factor no sirve de nada al atacante.
- Filtros de correo con análisis de reputación: Soluciones como Microsoft Defender for Office 365, Proofpoint o Mimecast analizan patrones, dominios recién registrados y contenido sospechoso antes de que el correo llegue a la bandeja de entrada.
- Zero Trust: El modelo de confianza cero asume que cualquier usuario, dispositivo o conexión puede estar comprometido. Elimina la noción de «perímetro seguro» que el phishing explota constantemente.
6. Conclusiones clave sobre el phising
- El phising es un ataque psicológico con envoltura tecnológica. Entender los principios de Cialdini —autoridad, urgencia, reciprocidad— es tan importante como conocer los indicadores técnicos.
- La personalización del ataque multiplica exponencialmente su efectividad. El spear phishing y el BEC tienen tasas de éxito que ningún filtro técnico puede neutralizar por sí solo.
- La defensa efectiva requiere capas: el control técnico más el protocolo organizacional más la capacidad individual de reconocer la manipulación. Ninguna capa es suficiente sola.
- La urgencia artificial es la señal de alerta más universal. Cuando un mensaje te presiona para actuar rápido, esa presión misma es el indicador de que debes detenerte.
- El OSINT que el atacante usa contra nosotros también podemos usarlo para entender nuestra superficie de exposición. Busca tu nombre en LinkedIn, en registros públicos, en la web corporativa: lo que encuentras es lo que el atacante también encontrará.
Fuentes
- Cialdini, R. (2001). Influence: Science and Practice. Allyn & Bacon.
- Hadnagy, C. (2018). Social Engineering: The Science of Human Hacking. Wiley.
- Mitnick, K. y Simon, W. (2002). The Art of Deception. Wiley.
- INCIBE / OSI (2023). Alerta de campaña de smishing suplantando a Correos. https://www.osi.es
- CCN-CERT (2023). Informe de Amenazas 2023. Centro Criptológico Nacional. https://www.ccn-cert.cni.es
- Verizon (2023). Data Breach Investigations Report 2023. Verizon Business.
- ENISA (2023). ENISA Threat Landscape 2023. European Union Agency for Cybersecurity.
Si este análisis del phising te ha resultado útil, puede interesarte profundizar en temas relacionados como el vishing avanzado con deepfakes de voz, la ingeniería social en entornos OT/ICS o las campañas de influencia que combinan desinformación y phishing dirigido. Son las próximas fronteras del engaño digital, y en guerracognitiva.es seguimos diseccionándolas.