El phishing lleva más de dos décadas siendo la puerta de entrada favorita de los ciberdelincuentes, y en 2026 sigue siéndolo por un motivo muy sencillo: es barato de ejecutar, escala con facilidad y ataca el eslabón más difícil de blindar de cualquier organización: las personas.
La diferencia respecto a hace unos años es que ya no hablamos de correos torpes con faltas de ortografía, sino de campañas hiperpersonalizadas, apoyadas en inteligencia artificial, capaces de engañar incluso a empleados formados y alerta.
Para una empresa, entender qué es el phishing, cómo evoluciona y qué medidas reducen realmente el riesgo ya no es una cuestión exclusiva del departamento de IT, es una decisión de negocio.
¿Qué es el phishing y por qué es la mayor amenaza para las empresas?
El phishing es una técnica de ingeniería social en la que un atacante se hace pasar por una entidad de confianza (un banco, un proveedor, un compañero o incluso el propio director general) con el objetivo de engañar a la víctima para que revele credenciales, datos bancarios o información confidencial, o para que ejecute una acción concreta, como aprobar un pago o abrir un archivo malicioso.
Lo que convierte al phishing en la amenaza número uno para las empresas no es su sofisticación técnica, sino su eficacia. Los estudios sitúan en torno al 90-91 % de los ciberataques el porcentaje que comienza con un correo electrónico fraudulento.
Solo en España el Instituto Nacional de Ciberseguridad (INCIBE) gestionó más de 122.000 incidentes de ciberseguridad en 2025, un 26 % más que el año anterior, con el phishing entre las categorías más frecuentes junto al malware y el robo de información.
El coste que supone para las empresas tampoco es menor: el incidente medio para una empresa española supera ya los 105.000 euros, y algunos informes sitúan el coste medio de una brecha originada por phishing a nivel internacional por encima de los 4,8 millones de dólares cuando se suman pérdidas directas, sanciones, recuperación de sistemas y daño reputacional.
Con estas cifras encima de la mesa, tratar el phishing como un problema exclusivamente técnico es, sencillamente, subestimar el riesgo.
Descubre tus puntos débiles antes que los ciberdelincuentes
Analizamos el nivel de protección de tu empresa frente a ataques de phishing, suplantación de identidad y robo de credenciales para ayudarte a reforzar tu seguridad.
¿Cómo funciona el método phishing paso a paso?
Detrás de un correo o un mensaje de phishing hay casi siempre un mismo guion, por muy sofisticado que resulte el envoltorio:
- Selección del objetivo: el atacante elige a una empresa, un departamento o incluso a una persona concreta, a menudo tras investigar su presencia pública en LinkedIn, la web corporativa o redes sociales.
- Construcción del pretexto: se elabora un mensaje creíble que suplanta a una fuente de confianza y apela a una emoción concreta: urgencia (“tu cuenta será bloqueada”), autoridad (“soy tu director, necesito esto ya”), curiosidad o miedo.
- Entrega a través de un canal: el mensaje llega por correo, SMS, WhatsApp, una llamada de teléfono o incluso una videollamada, incluyendo un enlace, un archivo adjunto o una petición directa.
- Acción de la víctima: el empleado hace clic, introduce sus credenciales en una web falsa, descarga un archivo infectado o realiza una transferencia.
- Explotación: con las credenciales o el acceso obtenido, el atacante entra en los sistemas, se mueve lateralmente, roba información o directamente monetiza el fraude, por ejemplo desviando un pago.
Técnicas más utilizadas por los ciberdelincuentes
Más allá del guion general, los atacantes recurren a un puñado de técnicas que se repiten una y otra vez porque, sencillamente, funcionan:
- Suplantación de dominio: uso de direcciones muy similares a las legítimas, cambiando una letra o una extensión (por ejemplo, “empresa-online.es” en lugar de “empresa.es”).
- Enlaces acortados o camuflados: el texto visible del enlace no coincide con la web real a la que redirige.
- Archivos adjuntos maliciosos: comúnmente archivos como facturas, currículums o “informes urgentes” con extensiones como .zip, .exe o macros ocultas en documentos ofimáticos.
- Páginas de login clonadas: réplicas casi idénticas de portales de Microsoft 365, banca online o proveedores habituales, diseñadas para capturar credenciales en tiempo real.
- Fatiga de autenticación multifactor (MFA): bombardeo de solicitudes de aprobación hasta que el usuario, por error o cansancio, acepta el acceso.
Phishing impulsado por inteligencia artificial: la nueva amenaza
La irrupción de la IA generativa ha cambiado las reglas del juego. El consejo clásico de “fíjate en las faltas de ortografía” ha quedado prácticamente obsoleto: los modelos de lenguaje redactan correos impecables, en cualquier idioma, imitando el tono corporativo o incluso el estilo de escritura de un directivo concreto. Algunos análisis del sector estiman que la IA ha reducido el tiempo necesario para preparar un ataque de varias horas a apenas unos minutos.
Esta “hiperpersonalización” se apoya en información pública (proyectos, compañeros, publicaciones recientes en LinkedIn) para construir mensajes que citan detalles reales y resultan mucho más difíciles de descartar a simple vista. A esto se suma el auge del vishing con clonación de voz: con apenas unos segundos de audio, hoy es posible imitar la voz de un directivo para solicitar por teléfono una transferencia urgente, algo que ya ha provocado fraudes multimillonarios en distintas empresas a nivel internacional.
El resultado es que la tasa de éxito de las campañas de phishing dirigidas y apoyadas en IA puede multiplicarse varias veces respecto a los envíos masivos tradicionales.
Tipos de phishing: ¿cuál puede afectar a tu empresa?
No todo el phishing es igual, y cada variante requiere una defensa distinta. c
Phishing por correo electrónico
Es la variante más extendida y la que lleva más años en uso: correos masivos que suplantan a bancos, proveedores de paquetería, la Agencia Tributaria o plataformas de correo como Microsoft 365 o Google Workspace, pidiendo verificar datos o actualizar una contraseña a través de un enlace fraudulento.
Whaling o fraude al CEO
Una variante de spear phishing dirigida específicamente a directivos y perfiles con capacidad de aprobar pagos. El caso más citado internacionalmente sigue siendo el de un atacante que, haciéndose pasar por un proveedor legítimo, engañó a los departamentos financieros de dos grandes tecnológicas para que abonaran facturas falsas por más de 100 millones de dólares, de los que solo una parte pudo recuperarse tras un largo proceso judicial. Es el ejemplo perfecto de por qué ninguna empresa, por grande o sofisticada que sea, está exenta de este riesgo.
Spear phishing
A diferencia del phishing masivo, el spear phishing se dirige a una persona o a un grupo muy concreto dentro de la organización. El atacante investiga previamente a la víctima (su puesto, sus proyectos, sus compañeros) para construir un mensaje mucho más creíble, lo que dispara notablemente la probabilidad de éxito.
Smishing y vishing: phishing por SMS y por voz
El smishing llega por SMS o aplicaciones de mensajería, normalmente simulando avisos de paquetería, notificaciones bancarias o comunicaciones oficiales. El vishing utiliza la llamada telefónica, apoyándose en la confianza que genera una voz humana. Una variante relacionada, el quishing o phishing mediante códigos QR, ha crecido con fuerza en los últimos años, con pegatinas fraudulentas superpuestas a códigos legítimos en aparcamientos, restaurantes o facturas.
Phishing en redes sociales
Perfiles falsos, mensajes directos que suplantan a marcas o compañeros, encuestas que solicitan datos personales o enlaces a supuestos sorteos: las redes sociales se han convertido en un canal adicional para robar credenciales corporativas, especialmente cuando los empleados reutilizan la misma contraseña en distintos servicios.
Ejemplos de phishing reales: así intentan engañar a las empresas
Analizar casos reales ayuda a entender que el phishing no distingue entre pymes y multinacionales:
- Fraude BEC a dos gigantes tecnológicos (2013-2015). Un atacante se hizo pasar por un proveedor habitual de dos grandes empresas tecnológicas y envió facturas falsas, contratos y cartas con firmas simuladas de directivos reales. El fraude superó los 100 millones de dólares y, aunque parte del dinero se recuperó y el responsable fue detenido, el caso sigue siendo la referencia obligada sobre los riesgos del fraude al proveedor.
- Secuestro de cuentas verificadas en una red social (2020). Mediante spear phishing dirigido a empleados internos, un grupo de atacantes obtuvo acceso a herramientas administrativas de una gran plataforma social y tomó el control de cuentas de alto perfil para difundir una estafa con criptomonedas. El impacto económico directo fue limitado, pero expuso vulnerabilidades críticas en los procesos internos de seguridad.
Estos casos son solo la punta del iceberg: según distintos informes del sector, en torno al 94 % de las empresas españolas ha sufrido algún intento de phishing o vishing en los últimos ejercicios, y una parte relevante lo ha vivido en más de una ocasión
Señales para detectar un ataque de phishing
Aunque la IA ha eliminado muchas de las señales tradicionales, sigue habiendo indicios que conviene revisar antes de interactuar con cualquier comunicación inesperada:
- Remitente que no coincide exactamente con el dominio oficial, aunque se parezca mucho a simple vista.
- Tono de urgencia, amenaza o promesa poco creíble (“tu cuenta será bloqueada en 24 horas”, “has ganado un premio”).
- Enlaces cuya dirección real, al pasar el cursor por encima sin hacer clic, no corresponde con la web oficial.
- Adjuntos inesperados, especialmente con extensiones ejecutables o comprimidas.
- Solicitudes de datos sensibles o de cambios en cuentas bancarias que llegan por un canal distinto al habitual.
- Peticiones que se saltan los procedimientos internos habituales, aunque parezcan venir de un superior.
La recomendación más eficaz, precisamente porque ya no basta con “fijarse bien”, es verificar siempre por un canal distinto (una llamada al número de contacto conocido, no al que aparece en el mensaje) cualquier solicitud que implique dinero, datos sensibles o cambios de acceso.
Consecuencias del phishing para una empresa
Un ataque de phishing exitoso rara vez se queda en un incidente aislado. Sus efectos suelen extenderse por varias capas del negocio:
- Pérdidas económicas directas: transferencias fraudulentas, rescates de ransomware o costes de recuperación de sistemas.
- Interrupción de la operativa: sistemas bloqueados, procesos parados y equipos de IT volcados en la contención en lugar de en su actividad habitual.
- Daño reputacional: pérdida de confianza de clientes, socios y proveedores, especialmente si el incidente implica datos de terceros.
- Riesgo regulatorio: posibles sanciones vinculadas al RGPD y, cada vez con más peso, a la Directiva NIS2, que exige a un número creciente de empresas notificar los incidentes significativos en plazos muy ajustados y demostrar diligencia en la gestión del riesgo.
- Efecto en cadena: si el phishing compromete a un proveedor, el impacto puede extenderse a toda su cartera de clientes, algo que la normativa europea vigila cada vez más de cerca
¿Te preocupa que un ataque de phishing afecte a tu empresa?
En Inforges ayudamos a las empresas a prevenir, detectar y responder ante amenazas de ciberseguridad mediante servicios de SOC, formación y simulacros de phishing, vigilancia digital y respuesta ante incidentes.
Cómo evitar un ataque phishing en su empresa
No existe una solución única, pero sí un enfoque que reduce de forma notable el riesgo cuando se combinan personas, tecnología y procesos.
Formación y concienciación de los empleados
El factor humano sigue siendo, a la vez, el eslabón más vulnerable y la primera línea de defensa. Formar en ciberseguridad a la plantilla para reconocer un intento de phishing, realizar simulacros periódicos y aplicar un método sencillo como “detente, piensa y después haz clic” reduce de forma significativa la probabilidad de que un solo error abra la puerta a toda la organización.
Soluciones tecnológicas antiphishing
- Filtrado avanzado de correo electrónico y análisis de reputación de dominios.
- , preferiblemente con métodos resistentes a phishing frente al simple código por SMS.
- Soluciones EDR/XDR y monitorización continua para detectar comportamientos anómalos tras un posible clic.
- Copias de seguridad inmutables, que garantizan poder recuperar la operativa aunque el phishing derive en ransomware.
- Un SOC que vigile, detecte y responda a los intentos de intrusión de forma continuada, más allá del horario de oficina.
Políticas y protocolos internos
- Verificación por un segundo canal, obligatoria, para cualquier cambio de cuenta bancaria o transferencia poco habitual.
- Gestión estricta de accesos y privilegios, revisada de forma periódica.
- Un canal claro y sin fricción para reportar correos sospechosos, aunque el empleado no esté seguro del todo.
- Cláusulas de ciberseguridad en los contratos con proveedores, alineadas con las exigencias que marca Directiva NIS2 sobre la cadena de suministro.
¿Qué hacer si tu empresa ha sido víctima de phishing?
Si a pesar de las medidas preventivas se ha producido un incidente, la rapidez de reacción marca la diferencia entre un susto controlado y una crisis prolongada:
- Aísla el equipo afectado desconectándolo de la red para evitar que el ataque se propague.
- Cambia de inmediato las contraseñas comprometidas y activa la autenticación multifactor donde no estuviera ya activa.
- Avisa a tu banco si se han visto implicados datos financieros o se ha ordenado una transferencia.
- Conserva las evidencias (correo, capturas, cabeceras) sin borrar nada; serán clave para la investigación y para la denuncia.
- Notifica internamente al equipo de IT o al SOC-CSIRT para que analice el alcance real del incidente.
- Denuncia el incidente ante la Policía Nacional, la Guardia Civil o la línea gratuita 017 de INCIBE, y valora si el incidente debe notificarse a la autoridad competente en los plazos que marca NIS2 (24 horas, 72 horas y un informe final en un mes) si tu empresa entra dentro de su ámbito de aplicación.
¿Qué hacer si tu empresa ha sido víctima de phishing?
Si a pesar de las medidas preventivas se ha producido un incidente, la rapidez de reacción marca la diferencia entre un susto controlado y una crisis prolongada:
- Aísla el equipo afectado desconectándolo de la red para evitar que el ataque se propague.
- Cambia de inmediato las contraseñas comprometidas y activa la autenticación multifactor donde no estuviera ya activa.
- Avisa a tu banco si se han visto implicados datos financieros o se ha ordenado una transferencia.
- Conserva las evidencias (correo, capturas, cabeceras) sin borrar nada; serán clave para la investigación y para la denuncia.
- Notifica internamente al equipo de IT o al SOC-CSIRT para que analice el alcance real del incidente.
- Denuncia el incidente ante la Policía Nacional, la Guardia Civil o la línea gratuita 017 de INCIBE, y valora si el incidente debe notificarse a la autoridad competente en los plazos que marca NIS2 (24 horas, 72 horas y un informe final en un mes) si tu empresa entra dentro de su ámbito de aplicación.
Cómo Inforges ayuda a tu empresa a protegerse del phishing
En Inforges acompañamos a las empresas en todo el ciclo de protección frente al phishing, combinando tecnología, procesos y personas. Nuestro SOC monitoriza, detecta y responde de forma proactiva a los intentos de phishing antes de que comprometan tu operativa, mientras que nuestros programas de formación y simulacros de phishing convierten a tus empleados en la primera línea de defensa real, no solo teórica.
Además, ayudamos a las organizaciones a dar un paso más allá de la reacción puntual, con servicios de vigilancia digital que detectan intentos de suplantación de tu marca o dominios fraudulentos antes de que lleguen a tus clientes, y con un servicio de respuesta ante incidentes (DFIR) preparado para actuar con rapidez si el phishing ya ha derivado en un incidente mayor. El objetivo siempre es el mismo: que la ciberseguridad deje de ser una preocupación constante y se convierta en una ventaja competitiva.
Preguntas frecuentes sobre qué es phishing
¿Cómo identificar un correo electrónico de phishing?
Revisa que el dominio del remitente coincida exactamente con el oficial, desconfía de los mensajes con urgencia o amenazas, pasa el cursor sobre los enlaces sin hacer clic para comprobar su destino real y evita abrir adjuntos que no esperabas. Ante la duda, verifica por otro canal antes de actuar.
¿Qué hago si he hecho clic en un enlace de phishing?
Desconecta el dispositivo de internet, no introduzcas ningún dato adicional, cambia de inmediato las contraseñas que puedan estar en riesgo y avisa al equipo de IT o de seguridad para que analice si ha habido compromiso o instalación de malware.
¿Cómo denuncio un intento de phishing?
Puedes hacerlo ante la Policía Nacional o la Guardia Civil, de forma presencial o a través de sus sedes electrónicas, y también reportarlo a INCIBE llamando gratuitamente al 017 o a través de su formulario web. Conserva siempre las evidencias antes de eliminar cualquier mensaje.
¿Cuáles son las consecuencias de ser víctima de un ataque de phishing?
Van desde pérdidas económicas directas y paralización de la operativa hasta daño reputacional, pérdida de confianza de clientes y posibles sanciones regulatorias, especialmente si la empresa está sujeta a normativas como el RGPD o NIS2.
¿Pueden los correos electrónicos de phishing infectar mi ordenador con malware?
Sí. Muchos correos de phishing incluyen adjuntos o enlaces diseñados para instalar malware, spyware o ransomware en el momento en que se abren o ejecutan, sin necesidad de introducir ningún dato adicional.
¿Qué diferencia hay entre phishing, smishing y vishing?
Los tres son variantes de ingeniería social con el mismo objetivo, pero utilizan canales distintos: el phishing llega por correo electrónico, el smishing por SMS o mensajería instantánea, y el vishing a través de una llamada telefónica.
¿Es lo mismo spam que phishing?
No. El spam es correo no solicitado, normalmente publicitario, mientras que el phishing busca de forma activa engañar a la víctima para robar datos o dinero. Un correo puede ser spam sin ser phishing, pero todo intento de phishing suele considerarse también spam.
¿Qué es el spear phishing y en qué se diferencia del phishing masivo?
El phishing masivo se envía a miles de destinatarios sin personalización, mientras que el spear phishing se dirige a una persona o grupo muy concreto, utilizando información real sobre su puesto, sus proyectos o sus contactos para resultar mucho más creíble.
¿Qué es el trap phishing?
Es una variante en la que el señuelo se basa en generar codicia o interés inmediato, como falsos premios, ofertas irresistibles o supuestos reembolsos, para que la víctima baje la guardia y facilite sus datos sin sospechar
¿Qué es el barrel phishing?
Consiste en enviar primero un mensaje legítimo o inofensivo para generar confianza, y solo después lanzar el correo fraudulento, aprovechando que la víctima ya no desconfía del remitente.
¿Qué es el código antiphishing y cómo funciona?
Es una frase o código personalizado que algunas entidades bancarias muestran en sus comunicaciones legítimas para que el cliente pueda verificar que el mensaje procede realmente de ellas y no de un intento de suplantación.
¿Puede un antivirus protegerme del phishing?
Ayuda, especialmente frente al malware que puede acompañar a un correo de phishing, pero no es suficiente por sí solo: el phishing explota la confianza humana, por lo que necesita combinarse con formación, filtros de correo y verificación de identidad.
¿Qué normativas obligan a las empresas a protegerse del phishing?
El RGPD exige proteger los datos personales frente a accesos no autorizados, y la Directiva NIS2 amplía esa exigencia a la gestión integral del riesgo de ciberseguridad, incluyendo la formación del personal, la notificación de incidentes y la seguridad de la cadena de suministro, para un número cada vez mayor de empresas medianas y grandes.
