Los ataques Phishing han sido, desde hace muchos años, un medio muy utilizado por los piratas informáticos para robar datos personales y contraseñas. Tradicionalmente, el correo electrónico ha sido lo que han usado para este tipo de campañas maliciosas. Sin embargo, esto está cambiando en los últimos tiempos. Vamos a explicarte por qué, también hablaremos de qué es lo que usan actualmente y qué puedes hacer para protegerte.
Estas estafas van a llegar por medio de un cebo. Suele ser algo que genere interés en la víctima, que provoque la necesidad de hacer clic o de tener que hacer algo cuanto antes. El objetivo es redirigir a ese usuario a un sitio web malicioso, creado para que inicie sesión y esos datos vayan a un servidor controlado por los atacantes.
Cómo llega ahora el Phishing
Los cambios en la manera en la que nos comunicamos, las prácticas laborales o las nuevas plataformas que han ido surgiendo, han hecho que los atacantes no utilicen tanto el correo electrónico para lanzar Phishing. No lo ven algo tan efectivo, además, debido a las medidas de seguridad que han ido implementando servicios como Gmail, Outlook y similares.
Desde INCIBE, el Instituto Nacional de Ciberseguridad de España, ya advirtieron el pasado mes de julio de lo que denominan como Phishing 2.0. Se trata de ataques en los que utilizan la IA para generar mensajes más convincentes y que sean más difíciles de detectar.
Pero hay que añadir que ahora están utilizando otros medios, y no solo el e-mail, para estafar. Algo muy utilizado son las redes sociales. No solo usan plataformas como Facebook o Instagram para estafar, sino que buscan, también, robar esas cuentas concretas. El informe Data Breach Investigations Report 2025 de Verizon destaca un cambio de paradigma: aunque no especifica un porcentaje de credenciales robadas en redes sociales, sí revela que el 30% de las brechas analizadas involucran el uso de infostealers en dispositivos corporativos, muchos de los cuales capturan credenciales de redes sociales y mensajería.
El motivo de por qué utilizan más las redes sociales, es por la facilidad para llegar a muchos usuarios, de todas las edades. Facebook, por ejemplo, es una plataforma que utilizan cientos de millones de personas en todo el mundo, con edades, conocimientos y usos muy diversos. Tienen ahí un abanico de opciones muy amplio para lanzar ataques Phishing.
Estos ataques pueden llegar a través de un mensaje privado, por medio de una publicación o páginas creadas dentro de la propia red social. Pueden usar cebos, como una supuesta oferta, algún producto novedoso, una noticia que resulta ser Fake News, etc. Lo que quieren es atraer a la víctima. Además, suelen jugar con el tiempo. Van a decirte que esa oferta termina en pocas horas o que ese producto se está agotando.
También, como indican desde Bleeping Computer en una publicación con fecha de 22 de septiembre, están utilizando mucho aplicaciones de mensajería instantánea. Por ejemplo, pueden usar WhatsApp. Entre otras cosas, son aplicaciones que utilizan los trabajadores, por lo que podrían llegar a acceder a información importante de empresas. Saben que tienen ahí una gran oportunidad para llegar a muchos usuarios sin demasiados esfuerzos.
| Plataforma | Método Común | Señal de Alerta Principal |
|---|---|---|
| Facebook / Instagram | Mensaje directo sobre 'infracción de copyright' o 'suspensión de cuenta' con enlace a una web falsa. | La URL del enlace no pertenece a facebook.com o instagram.com. |
| Envío de un código QR para 'unirse a un grupo exclusivo' o 'verificar la cuenta' que secuestra la sesión. | Nunca se debe escanear un código QR de una fuente no fiable para gestionar la cuenta. | |
| Todas | Ofertas de empleo o inversiones falsas que solicitan datos personales o un pago inicial a través de un chat. | Promesas de ganancias desproporcionadas y presión para actuar con rapidez. |
Qué hacer para protegerte
Para protegerte, lo principal es el sentido común. No importa si el Phishing llega por correo, por redes sociales o a través de un mensaje por WhatsApp. Lo que debes hacer es no cometer errores. Nunca debes hacer clic en links que puedan ser sospechosos y mucho menos iniciar sesión o poner datos personales.
También es clave que protejas al máximo tus cuentas y te blindes ante un posible ataque Phishing en el que caigas. Más allá de usar una buena contraseña, deberías habilitar la autenticación en dos pasos. Esto te permite crear una capa extra, para reducir el riesgo de intrusos en tus cuentas.
Para poder usar la 2FA, es posible hacerlo a través de códigos que te envían por SMS. Sin embargo, te recomendamos que utilices aplicaciones como Google Authenticator. Es más seguro, de cara a evitar que puedan interceptar esos mensajes de texto o que incluso clonen tu tarjeta SIM.
Por otra parte, mantener la seguridad en tus dispositivos, es otro factor importante. Asegúrate de contar con un buen antivirus. Puedes usar opciones como Microsoft Defender, Avast o Bitdefender. Además, tener todo correctamente actualizado, evitará que puedan explotar vulnerabilidades. Esto último, es clave que lo apliques, especialmente, en programas que se conecten a Internet, como puede ser el navegador, aplicaciones de mensajería y similares.
En definitiva, el Phishing está cambiando y ya no llega tanto por correo electrónico. Debes estar atento a otros métodos que utilizan, como son el envío por redes sociales o aplicaciones como WhatsApp. No obstante, esto no significa que no te lleguen e-mails que vayan a ser un fraude.