El phishing sigue siendo una de las amenazas más generalizadas y eficaces en el panorama de la ciberseguridad. A pesar de la proliferación de malware avanzado, ransomware y exploits nativos de la nube, el phishing sigue superando a muchos otros tipos de ataque porque se dirige al comportamiento humano en lugar de a las vulnerabilidades técnicas.

En todo el mundo, el phishing es, con diferencia, el tipo de ciberdelincuencia más común, lo que pone de manifiesto lo resistente que se ha vuelto este vector de ataque. Se calcula que cada día se envían unos 3.400 millones de correos electrónicos de phishing en todo el mundo, lo que representa aproximadamente el 1,2% de todo el tráfico de correo electrónico.

Los correos electrónicos de phishing modernos están diseñados para parecer benignos, personalizados y contextuales, y utilizan cada vez más la inteligencia artificial para perfeccionar su impacto. En esta era de ataques asistidos por IA, los atacantes pueden enviar mensajes que parezcan comunicaciones auténticas de un colega, proveedor o servicio de confianza.

Por qué sigue funcionando el phishing

El éxito del phishing radica en su explotación de la psicología humana. Los atacantes manipulan la confianza, la urgencia y la sobrecarga cognitiva para crear situaciones en las que los destinatarios actúan primero y piensan después. A gran escala, incluso un pequeño porcentaje de clics puede generar importantes beneficios. De hecho, los correos electrónicos de phishing representan más del 90% de los ciberataques con éxito en todo el mundo, lo que confirma su papel central como método de acceso inicial para los actores de amenazas.

El mero volumen de intentos de phishing aumenta las probabilidades de éxito. Datos recientes sugieren que el 57% de las organizaciones se enfrentan a estafas de phishing semanales o diarias, y que los mensajes de phishing representan aproximadamente el 1,2% de todos los correos electrónicos enviados en todo el mundo, lo que equivale a miles de millones de mensajes maliciosos cada día.

El error humano sigue siendo un factor crítico. Incluso las organizaciones con prácticas de seguridad sólidas informan de que la mayoría de los empleados se han encontrado con al menos una cuenta de correo electrónico comprometida debido a la actividad de phishing. Una encuesta indicaba que el 92% de las empresas habían visto comprometido al menos un correo electrónico empresarial, y el 93% habían experimentado fugas de datos debido a credenciales comprometidas o negligencia. Estas cifras ponen de manifiesto que los controles técnicos por sí solos no bastan; si se engaña a la gente para que facilite credenciales o haga clic en un enlace, los atacantes pueden saltarse defensas que de otro modo serían sólidas.

La evolución de las tácticas de phishing

El phishing ha evolucionado mucho más allá de las estafas mal redactadas de los inicios de Internet. En la actualidad, los agresores utilizan información detallada extraída de las redes sociales, los sitios web corporativos y las redes profesionales para elaborar mensajes de gran relevancia para personas o funciones específicas. Este enfoque, conocido como spear phishing, mejora significativamente las tasas de éxito en comparación con los mensajes genéricos.

Las campañas de phishing también se han diversificado a través de los canales. El phishing por SMS (conocido como smishing) y el phishing por voz (vishing) explotan los dispositivos móviles y los sistemas telefónicos, mientras que las plataformas de mensajería como Teams y Slack se están utilizando para enviar enlaces maliciosos en entornos en los que los usuarios confían intrínsecamente. Estas campañas multimodales aumentan la superficie de ataque y dificultan la detección del phishing.

La IA ha potenciado esta evolución. Las investigaciones indican que los correos electrónicos de phishing generados por IA tienen una tasa de clics de alrededor del 54%, en comparación con solo el 12% de los ataques escritos por humanos, y que es mucho más probable que los destinatarios introduzcan credenciales después de hacer clic en un enlace generado por IA. Esta marcada diferencia pone de relieve cómo la automatización y la generación de lenguaje natural pueden hacer que los ataques parezcan más auténticos y plausibles para los destinatarios.

El impacto de la IA en el phishing

La inteligencia artificial no sólo ha aumentado el volumen y la calidad de los contenidos de phishing, sino que ha hecho que los mensajes sean más difíciles de detectar. Los modelos lingüísticos permiten a los atacantes crear textos que reflejan el tono corporativo, la marca y el contexto con una fluidez impresionante. La personalización impulsada por la IA significa que los mensajes de phishing pueden hacer referencia a proyectos internos, contactos específicos o jerga específica del sector con un mínimo esfuerzo manual, lo que reduce aún más las posibilidades de que sean detectados como maliciosos.

La IA también se utiliza para automatizar todo el ciclo de vida de las campañas de phishing, desde la generación de nombres de remitentes y cuerpos de correo electrónico hasta la adaptación de páginas de destino que recopilan credenciales. Tecnologías emergentes como el audio y el vídeo deepfake ya se han utilizado en casos de fraude, en los que las víctimas reciben llamadas o mensajes que imitan de forma convincente a ejecutivos y colegas. A medida que estas capacidades sigan avanzando, distinguir entre comunicación auténtica y fraudulenta sin controles técnicos será aún más difícil.

Reforzar las defensas humanas con una concienciación de seguridad gestionada

Dado que el phishing se dirige a las personas y no sólo a la tecnología, la concienciación y la formación siguen siendo esenciales. Las iniciativas de concienciación sobre seguridad ayudan a los empleados a reconocer mensajes sospechosos y a comprender las respuestas adecuadas, pero la formación debe ser continua y adaptable. Un enfoque gestionado puede integrar la concienciación en las rutinas empresariales habituales y ayudar a las organizaciones a desarrollar una resistencia de comportamiento.

Por ejemplo, el servicio Managed Security Awareness de Integrity360 ayuda a las organizaciones con formación continua y específica, simulaciones realistas de phishing e informes procesables. Al exponer periódicamente a los equipos a amenazas simuladas y reforzar las mejores prácticas mediante módulos de formación oportunos, las organizaciones pueden reducir la probabilidad de que se produzcan infracciones provocadas por errores humanos y observar mejoras cuantificables en la forma en que los empleados responden a los intentos de phishing. Este tipo de apoyo continuo ayuda a convertir la concienciación en una mentalidad constante, en lugar de un ejercicio puntual.

Por qué la tecnología por sí sola no basta

Ninguna solución de filtrado de correo electrónico o control de seguridad bloqueará todos los intentos de phishing. Algunos mensajes maliciosos siempre llegarán a las bandejas de entrada, y bajo presión los empleados pueden cometer errores. El refuerzo de la tecnología y la formación de los usuarios deben ir de la mano.

Las organizaciones deben adoptar defensas en capas que incluyan la protección de la identidad, la autenticación multifactor y políticas de acceso condicional que dificulten a los atacantes pivotar incluso si se consigue el acceso inicial. Las herramientas de supervisión que alertan sobre inicios de sesión sospechosos y actividades inusuales pueden reducir aún más el impacto del éxito de la ingeniería social. La detección y contención rápidas son fundamentales cuando el phishing tiene éxito, como inevitablemente ocurrirá.

Adaptación a una amenaza cambiante

El phishing no va a desaparecer. Como la comunicación digital es cada vez más importante para las operaciones empresariales, los adversarios seguirán explotándola. Pero el impacto del phishing puede reducirse significativamente combinando una formación continua, sólidas salvaguardas técnicas y una cultura operativa que considere el phishing como un reto de seguridad fundamental.

Si le preocupan los riesgos que el phishing supone para su empresa, póngase en contacto con los expertos de Integrity360.