Phishing: qué es, tipos, ejemplos y cómo reconocerlo

El phishing es una técnica de fraude en la que el atacante se hace pasar por un tercero de confianza, como un banco, un proveedor, una administración o un compañero, para obtener contraseñas, datos personales, datos bancarios o un pago. El mensaje llega sobre todo por correo electrónico, pero también por SMS, por llamada telefónica o mediante un código QR.

Este artículo ofrece la definición de phishing, sus principales tipos (spear phishing, whaling, smishing, vishing, quishing), ejemplos tipo, las señales para reconocerlo y qué hacer después de un clic. También explica por qué el entrenamiento debe cubrir el teléfono.

Phishing: qué es y qué significa

La palabra viene del inglés «fishing» (pesca), con una «ph» heredada de la jerga informática. El atacante lanza un cebo y espera a que alguien pique. En español también se habla de «suplantación de identidad» o, en Francia, de «hameçonnage».

El servicio público francés de asistencia Cybermalveillance.gouv.fr describe el phishing como una técnica fraudulenta destinada a engañar al usuario para que facilite datos personales o bancarios, haciéndose pasar por un tercero de confianza. Cita correos falsos, SMS falsos y llamadas falsas de bancos, operadores, administraciones o tiendas en línea.

El phishing es una forma de ingeniería social. El atacante no necesita romper ningún sistema, porque la propia víctima le entrega lo que una protección técnica le negaría. Para entender por qué estos mensajes funcionan, consulte las palancas psicológicas de la ingeniería social.

Los principales tipos de phishing

El principio es siempre el mismo: un cebo, un pretexto creíble, una acción que realizar. Lo que cambia es el canal y el grado de personalización.

• Phishing por correo electrónico: un mensaje masivo imita a un banco, a una empresa de paquetería o a un operador, con un enlace a un sitio falso o un archivo adjunto malicioso.
• Spear phishing (phishing dirigido): el mensaje apunta a una persona o a un equipo concreto. Usa su nombre, su puesto y sus proyectos, a menudo extraídos de redes profesionales.
• Whaling: un spear phishing dirigido a directivos o a quienes pueden autorizar una transferencia importante.
• Smishing: el cebo llega por SMS o por mensajería, con un enlace a un sitio falso.
• Vishing: el cebo es una llamada telefónica o un mensaje de voz. El detalle está en nuestro artículo sobre la definición de vishing.
• Quishing: el enlace se esconde en un código QR, por ejemplo en un correo, en un cartel o en una pegatina falsa. El filtro de correo ve una imagen, no una dirección.
• Clone phishing: el atacante copia un mensaje legítimo que usted ya recibió y lo reenvía con el enlace o el archivo adjunto sustituidos por una versión maliciosa.

Estas formas se combinan. Un correo puede pedir que se llame a un número, o una llamada puede anunciar un SMS con un código. El comunicado de Cybermalveillance.gouv.fr del 26 de marzo de 2026 menciona oleadas de phishing «por SMS, correos electrónicos o incluso llamadas de audio».

Ejemplos de phishing

Los tres escenarios siguientes están construidos para ilustrar el mecanismo. No describen ningún caso real.

El falso aviso del buzón de la empresa

Imaginemos un correo que dice: «Su buzón está lleno, reactive su cuenta en 24 horas». El botón lleva a una página idéntica a la de acceso de la empresa. El empleado escribe su usuario y su contraseña, y el atacante los recoge al instante.

El spear phishing dirigido a contabilidad

Imaginemos un mensaje enviado a una contable, con el nombre de su responsable y una factura adjunta: «¿Puedes pagar esta antes de esta noche? El proveedor amenaza con suspender la entrega». El tono es familiar, la petición es plausible y la urgencia limita la comprobación. Para la versión telefónica de este esquema, consulte el fraude del CEO por teléfono.

El falso SMS de entrega seguido de una llamada

Imaginemos un SMS: «Su paquete está retenido, pague 1,99 euros de gastos». El sitio falso recoge los datos de la tarjeta. Unas horas después, un falso asesor bancario llama para «proteger» la cuenta. El primer mensaje preparó el segundo.

Cómo reconocer un mensaje de phishing

Ninguna señal basta por sí sola. Lo que debe hacer dudar es su acumulación. Cybermalveillance.gouv.fr cita, entre otras, una oferta demasiado tentadora, una apariencia sospechosa, un archivo adjunto inesperado y una dirección de remitente extravagante.

• El remitente: la dirección imita un nombre conocido, con un carácter cambiado o un dominio inusual. El nombre mostrado no prueba nada.
• El enlace: la dirección real, visible al pasar el cursor sin hacer clic, difiere del texto mostrado.
• La urgencia: un plazo corto, una amenaza de bloqueo, una sanción o una oportunidad que desaparece.
• La petición: una contraseña, un código, datos bancarios o un pago. Según Cybermalveillance.gouv.fr, ninguna administración ni empresa seria pide así los datos bancarios o las contraseñas.
• El archivo adjunto inesperado, sobre todo si el remitente nunca le escribe.
• El contexto: una petición fuera del circuito habitual, como un cambio de cuenta bancaria anunciado por un simple correo.

Las faltas de ortografía son una pista, pero los mensajes recientes suelen estar bien escritos. El buen reflejo no es buscar un error. Es comprobar la petición por un canal que ya conoce.

Qué hacer si ha hecho clic

No se quede solo con la duda y actúe rápido. Este es el orden aconsejado, según la ficha de Cybermalveillance.gouv.fr y las recomendaciones de la CNIL francesa.

1. Avise al departamento de informática o de seguridad si el incidente afecta a un equipo o a una cuenta de trabajo. Cada minuto cuenta, y a nadie le interesa ocultar un clic.
2. Cambie la contraseña de la cuenta afectada y de todas las cuentas en las que la reutilizaba.
3. Contacte con su banco si introdujo datos bancarios o ve un cargo fraudulento. Use el número de su tarjeta o de su aplicación, no el del mensaje.
4. Conserve las pruebas: el mensaje, la dirección del remitente, las capturas de pantalla, la hora.
5. Presente una denuncia ante la policía si ha sufrido un perjuicio.
6. En Francia, se señalan los correos sospechosos en Signal Spam, se reenvían los SMS sospechosos al 33700 y se denuncian los sitios fraudulentos en la plataforma PHAROS. Compruebe siempre esas direcciones y números en los sitios oficiales antes de usarlos.

Para saber qué anotar al comunicar el incidente, consulte nuestra guía para notificar un incidente de seguridad.

Por qué el entrenamiento contra el phishing debe cubrir el teléfono

Muchas organizaciones se limitan a campañas de correos falsos, con la tasa de clics como indicador. Es útil, pero mide un solo gesto: hacer clic o no. Los ataques reales cambian de canal cuando el correo fracasa.

Por teléfono, la situación es distinta. Un correo se relee, se reenvía y se notifica. Una llamada exige una respuesta inmediata, ante alguien que insiste, adula o amenaza. Saber que hay que verificar no basta para hacerlo cuando la voz apremia.

Los límites de las campañas de correos falsos se detallan en nuestro artículo sobre los límites de la simulación de phishing frente a la voz. Conviene retener el principio: el reflejo de verificación se construye practicándolo en voz alta, no leyéndolo.

Cómo formar a los equipos contra el phishing

Un enfoque sólido combina cuatro elementos.

1. Una regla simple que todos conozcan: ante cualquier petición sensible, se verifica por un canal independiente, nunca con los datos de contacto del mensaje.
2. Un canal de notificación sin reproches, usado incluso después de un clic. Quien teme la sanción avisa tarde.
3. Recordatorios breves y regulares sobre los tipos de ataque, en lugar de un módulo anual.
4. Práctica de la conversación: rechazar, devolver la llamada y pedir una validación por escrito ante alguien que insiste.

Para este último punto, Face Up permite a los formadores crear sus propios juegos de rol a partir de sus casos reales, con una herramienta de autor. El alumno habla, por voz o en vídeo, con un personaje interpretado por una IA: un falso asesor bancario, un falso proveedor o un compañero con prisa. Después recibe un debriefing con citas de lo que dijo y puede repetir la escena.

El enfoque completo se describe en nuestra guía de concienciación en ciberseguridad frente al vishing.

Preguntas frecuentes

¿Qué diferencia hay entre phishing y spear phishing?

El phishing clásico se envía de forma masiva, con un mensaje genérico. El spear phishing se prepara para una persona o un equipo, con datos reales sobre su puesto o sus contactos. Es más difícil de detectar.

¿Existe el phishing por teléfono?

Sí, y se llama vishing. Cambia el canal, no el principio: quien llama se hace pasar por una persona de confianza para obtener información, un código o una transferencia.

¿Bastan un antivirus y un filtro antispam?

No. Los filtros bloquean una parte de los mensajes, no todos, y no ven las llamadas ni siempre los códigos QR. La acción de la persona sigue siendo la última barrera.

¿Qué diferencia hay entre phishing y smishing?

El phishing suele referirse al correo electrónico. El smishing es la misma trampa enviada por SMS. Ambos se apoyan en un enlace o una petición que parece legítima.

Para entrenar a sus equipos a rechazar una petición sospechosa, por correo o por teléfono, solicite una demostración de Face Up.