Te llega un aviso de un paquete retenido. Minutos después, alguien llama diciendo que trabaja en soporte y necesita el código que acaba de aparecer en tu teléfono. En otro contexto, una supuesta proveedora pide cambiar la cuenta bancaria de una factura pendiente.
Los medios cambian, pero comparten una idea: conseguir que una comunicación parezca suficientemente confiable para que hagas algo que no harías si conocieras a su verdadero autor. El phishing utiliza ese engaño para obtener información o provocar acciones perjudiciales. Forma parte de la ingeniería social, que manipula decisiones humanas mediante confianza, urgencia, miedo o autoridad.
No todos los ataques buscan lo mismo. Un formulario falso puede robar credenciales; unas instrucciones de pago alteradas pueden causar fraude sin robar ninguna contraseña; un adjunto puede distribuir malware, software diseñado para realizar acciones maliciosas. MITRE recoge el phishing como una vía de acceso que puede utilizar enlaces, archivos, servicios externos o voz. MITRE ATT&CK: Phishing.
Vamos a ordenar ese mapa. La intención no es memorizar una docena de nombres, sino reconocer qué está intentando conseguir cada engaño y dónde puedes interrumpirlo.
Tres preguntas para clasificar un ataque
Los tipos de phishing no son categorías excluyentes. Puedes describir un mismo intento desde distintos ángulos:
| Criterio | Pregunta | Ejemplos |
|---|---|---|
| Canal | ¿Por dónde llega? | Correo, SMS, llamada, mensajería, redes sociales o un QR que conduce a una web. |
| Destinatario | ¿A quién han seleccionado? | Público masivo, una persona, un equipo o alguien con autoridad y acceso valioso. |
| Técnica | ¿Cómo construyen el engaño? | Suplantación, copia de una comunicación, intermediación de una sesión o contenido sintético. |
Una llamada dirigida a una responsable de finanzas puede ser spear phishing por su selección y vishing por el canal. Si además la conduce a un sitio que intermedia el inicio de sesión, incorpora una técnica AiTM. Esta tabla es una forma de organizar la explicación, no una taxonomía normativa nueva.
Spear phishing, smishing, vishing y whaling aparecen en guías públicas de ciberseguridad. Otros nombres, como clone phishing y angler phishing, son etiquetas descriptivas utilizadas por la industria; no todos son técnicas independientes de MITRE ni designan protocolos distintos. Centro Canadiense de Ciberseguridad: ingeniería social.
Del correo masivo al mensaje hecho para ti
Phishing tradicional y clone phishing
El caso habitual es un correo que aparenta proceder de un banco, una tienda o un servicio de trabajo: «tu cuenta será suspendida, entra aquí». Puede distribuirse masivamente y acertar por coincidencia con algo que estás esperando. El remitente visible, la firma y el diseño se pueden imitar.
Spam significa correo no solicitado, normalmente masivo; no implica por sí solo phishing. A su vez, un ataque de phishing puede llegar una única vez a una sola persona. Tampoco exige malware: entregar una contraseña en una página falsa ya puede ser suficiente para causar daño. IBM: phishing y sus modalidades.
En clone phishing, el atacante copia una comunicación reconocible y sustituye, por ejemplo, el enlace o el archivo. «El documento anterior tenía un error; abre esta versión» resulta creíble precisamente porque se parece a algo que ya viste. No necesita haber robado el buzón: también puede imitar una notificación conocida.
La familiaridad no resuelve la verificación. Ante un adjunto inesperado o una nueva petición de acceso, abre el servicio desde tu marcador habitual y comprueba allí el documento. Copiar un mensaje no es lo mismo que controlar una conversación legítima, aunque ambas técnicas puedan combinarse. Proofpoint: clone phishing.
Spear phishing y whaling
El spear phishing selecciona una persona o un grupo y adapta el pretexto. Puede mencionar tu proyecto, un proveedor o un proceso de selección. Conocer esos detalles no demuestra identidad: parte de la información puede ser pública o proceder de una filtración.
El whaling dirige ese enfoque a altos cargos o figuras de especial valor. Es una variante del ataque dirigido, no un canal diferente. Suplantar a una directora para engañar a un administrativo no convierte automáticamente a este último en objetivo de whaling.
La defensa práctica es separar conocimiento de autorización: que alguien conozca una operación no le permite cambiarla. Las solicitudes sensibles necesitan comprobación independiente y los permisos concedidos deben limitar el daño si una cuenta cae. Definiciones de spear phishing y whaling.
Cuando el engaño llega al teléfono o a las redes
Smishing, mensajería y vishing
Smishing suele referirse al phishing por SMS: una entrega pendiente, una multa o un supuesto cargo que requiere actuar desde un enlace. Un mensaje parecido en una aplicación de chat utiliza la misma lógica, pero conviene describirlo como phishing mediante mensajería; no necesitamos otro nombre para cada plataforma.
Vishing utiliza voz: una llamada, una grabación o una conversación por Internet. Un supuesto técnico puede pedir un código MFA —el segundo factor de autenticación— o instalar una aplicación para «reparar» el equipo. El número mostrado tampoco basta para identificar a quien llama. Centro Canadiense de Ciberseguridad: vishing.
Una llamada legítima de soporte no es phishing por ser una llamada. La diferencia está en la identidad, el contexto y la acción solicitada. Si hay dudas, cuelga y contacta mediante un número obtenido por tu cuenta. No uses como verificación el contacto que acaba de darte la persona sospechosa.
Quishing: el QR es el puente
Quishing describe el uso de códigos QR para conducir al engaño. Puede aparecer en un correo o en una pegatina que sustituye un código físico. Al escanearlo, saltas a una dirección que antes no veías escrita.
El QR no es malicioso por naturaleza ni escanearlo equivale automáticamente a infectarse. En este escenario, el riesgo está en el destino y en lo que sucede después: introducir datos, autorizar un pago o descargar y ejecutar contenido. Revisa la dirección antes de abrirla y utiliza la aplicación o web conocida si el contexto resulta extraño. La FTC documenta estas sustituciones y los pretextos de entrega o bloqueo de cuenta. FTC: enlaces ocultos en códigos QR.
Angler phishing: soporte que sale a tu encuentro
Publicas una queja y una cuenta con aspecto de soporte responde enseguida: para ayudarte, debes entrar en un enlace o enviar información privada. Angler phishing es el nombre utilizado para esta suplantación de atención al cliente en redes sociales.
El problema no es que una empresa atienda por redes, sino aceptar una identidad solo por su avatar, nombre o iniciativa. Busca el canal de soporte desde la web oficial; no entregues contraseñas ni códigos por mensajes privados. Proofpoint: cuentas falsas de atención al cliente.
Engaños dentro de los flujos de trabajo
BEC: a veces no hay enlace que inspeccionar
En Business Email Compromise (BEC), el engaño aprovecha comunicaciones de negocio para provocar pagos o entrega de información. Una supuesta proveedora cambia sus datos bancarios; un falso directivo pide una transferencia excepcional.
Puede utilizar una cuenta comprometida o una suplantación. A diferencia del ejemplo típico de phishing, no necesita una página de acceso falsa, un adjunto ni malware: basta con que alguien ejecute la instrucción. Robar credenciales mediante spear phishing también puede ser el paso previo de un BEC.
Confirma cambios de beneficiario con un contacto conocido y exige revisión independiente de pagos sensibles. Responder al mismo hilo no verifica nada si el atacante controla ese buzón. FBI: cómo funciona BEC y cómo prevenirlo.
Invitaciones y servicios de colaboración
Un aviso auténtico de un servicio de archivos puede acompañar un documento creado por un atacante. Lo mismo ocurre con invitaciones y mensajes enviados desde cuentas externas o comprometidas. La plataforma puede ser legítima y el contenido, engañoso.
MITRE contempla el phishing mediante servicios de terceros. Antes de abrir o autorizar algo, revisa quién comparte, qué esperabas recibir y qué permisos te pide. Llegar desde una notificación real no convierte en segura una pantalla posterior que solicita credenciales. MITRE: Spearphishing via Service.
Técnicas que hacen más convincente o peligroso el ataque
Deepfakes e IA: una voz conocida no autoriza un pago
La IA puede ayudar a redactar mensajes correctos, personalizarlos o generar una voz o imagen que imite a otra persona. Un deepfake puede reforzar una llamada o videollamada fraudulenta; no constituye un canal de phishing separado.
Imagina una videollamada de tu supuesto supervisor solicitando un pago urgente y confidencial. La defensa no debería depender de detectar un parpadeo extraño: aplica el procedimiento de aprobación y verifica por una vía independiente. El FBI describe el uso de texto, audio y vídeo sintéticos en fraudes e ingeniería social. FBI/IC3: uso fraudulento de IA generativa.
AiTM: robar la sesión, no solo la contraseña
En un phishing Adversary-in-the-Middle, el sitio del atacante actúa como intermediario entre la víctima y el servicio legítimo. Puede retransmitir el inicio de sesión y capturar la cookie que representa la sesión autenticada. Una cookie de ese tipo permite al servicio reconocer solicitudes posteriores sin volver a pedir la contraseña en cada una.
Esto es distinto de guardar una contraseña para probarla más tarde. Si el flujo utiliza factores retransmitibles, como un código de un solo uso, el atacante puede aprovechar la autenticación realizada por la víctima. No significa que toda MFA sea inútil ni que cualquier protocolo se pueda retransmitir igual. Microsoft: phishing AiTM y robo de cookies de sesión.
Las passkeys y WebAuthn aportan resistencia al phishing al vincular la autenticación al sitio correspondiente. Aun así, siguen siendo necesarias la protección del dispositivo y una gestión segura de sesiones: autenticar bien no elimina todos los caminos de robo de una sesión.
Pharming: una redirección relacionada, pero diferente
Pharming es la redirección técnica hacia una web falsa que suplanta a otra, por ejemplo mediante alteraciones de la resolución de nombres. No requiere necesariamente un mensaje que te convenza de pulsar un enlace. Por eso conviene distinguirlo del phishing basado en comunicaciones. NIST: definición de pharming.
Tampoco significa que cambiar una respuesta DNS supere por sí solo la validación de certificados. No ignores avisos del navegador. Y recuerda el límite inverso: una web fraudulenta puede tener HTTPS para su propio dominio; TLS protege la conexión, pero no certifica las intenciones de quien opera la página.
Cómo reconocer phishing sin depender de la ortografía
Busca una combinación de señales, especialmente alrededor de la acción solicitada:
- Una petición inesperada que introduce urgencia, amenaza o autoridad.
- Solicitudes de contraseñas, códigos MFA o aprobación de un acceso que no iniciaste.
- Cambios de pago o adjuntos que no encajan con lo acordado.
- Direcciones parecidas a las habituales o un destino distinto del que anuncia el mensaje.
- Presión para mantener el asunto en secreto o impedir que lo consultes.
La ANCI resume parte de estas señales con su recordatorio PUDÚ: pedido, urgencia, de quién viene y URL. Son pistas para detenerse, no un detector infalible. ANCI: reconocer un phishing.
Un mensaje bien escrito puede ser malicioso. También puede utilizar datos personales auténticos o salir de una cuenta comprometida. La ausencia de errores no prueba legitimidad.
Prueba estas dos situaciones ficticias:
- «Estoy en una reunión. Cambia la cuenta del proveedor y no me llames». La señal decisiva es modificar un pago e impedir la comprobación, aunque el mensaje esté bien redactado.
- «Escanea este QR para recuperar tu cuenta». El QR no demuestra por sí solo fraude. Lo que exige verificar es la solicitud inesperada de recuperación y el destino al que te conduce.
En ambos casos, puedes abrir el servicio por tu cuenta o contactar a la persona mediante un canal conocido. No necesitas acertar el nombre de la modalidad para tomar esa decisión.
Qué medidas ayudan y dónde están sus límites
Para quien recibe el mensaje, un gestor de contraseñas ayuda a usar claves distintas y a asociarlas al sitio correcto. Si deja de ofrecer el autocompletado habitual, investiga en vez de copiar la contraseña sin revisar. No es una garantía: puedes forzar su introducción y también existen riesgos en dispositivos comprometidos.
Activa MFA y prioriza mecanismos resistentes al phishing cuando estén disponibles. NIST distingue la vinculación criptográfica al verificador, presente en WebAuthn, de códigos introducidos manualmente que pueden retransmitirse. Una passkey no evita que alguien te convenza de hacer una transferencia legítimamente autenticada. NIST SP 800-63B-4: resistencia al phishing.
Para equipos que desarrollan y operan servicios, conviene combinar controles:
- Correo autenticado: SPF autoriza servidores para un dominio; DKIM firma partes del mensaje; DMARC exige alineación del dominio visible con un resultado válido de SPF o DKIM y publica políticas e informes. Ayudan contra la suplantación, pero no juzgan la intención del contenido ni impiden que otro dominio autentique su propio correo fraudulento. Microsoft: autenticación del correo.
- Sesiones y operaciones sensibles: permite revocar sesiones y exige comprobaciones adicionales para cambios críticos. El mínimo privilegio y la revisión independiente reducen lo que puede hacer una cuenta comprometida.
- Equipos actualizados y protegidos: navegadores, sistemas y protección de endpoints reducen exposición a malware. No pueden decidir por sí solos si una factura corresponde a un acuerdo real.
- Reporte y formación: ofrece un canal sencillo para avisar, sin culpar a quien informa. Practica cómo verificar solicitudes y cómo responder; reconocer señales no debe ser la única barrera.
Son recomendaciones de defensa, no una declaración de cumplimiento normativo. La combinación depende del servicio, sus usuarios y las operaciones que permite.
Si ya entregaste una credencial, entra por un canal conocido para cambiarla y pide revisar o revocar sesiones; cambiar la contraseña no garantiza que todas se cierren. Si hubo un pago, contacta de inmediato a la entidad financiera. Si ejecutaste un archivo, informa al equipo responsable y sigue su procedimiento de contención. Conserva el mensaje y los datos necesarios para investigar sin reenviarlos indiscriminadamente. FBI: respuesta ante BEC, Microsoft: investigación de sesiones comprometidas.
Antes de actuar, cambia de canal
Este mapa permite ubicar un ataque sin confundir su medio con su objetivo. Un SMS puede formar parte de una operación dirigida; un correo impecable puede conducir a un intermediario malicioso; una llamada reconocible puede intentar alterar un pago.
La pregunta útil sigue siendo concreta: ¿quién solicita esta acción y cómo puedo comprobarlo sin depender del mismo mensaje? Las siguientes guías de la serie podrán profundizar en cada escenario. Para empezar, esa pausa y unos controles que no dependan solo de la atención de una persona ya cambian cómo abordamos el problema.