Phishing de clonación vs. spear phishing vs. BEC
Estos términos suelen usarse juntos, y un solo incidente puede combinar los tres. El spear phishing es un mensaje diseñado para una persona u organización concreta, que puede usar clonación. Business Email Compromise (BEC) suplanta a un directivo o proveedor para desviar pagos, a menudo sin ningún enlace. El phishing masivo envía mensajes genéricos a muchos destinatarios, sin personalización.
El phishing de clonación es el más acotado de estos términos: el atacante reutiliza un mensaje real para robar credenciales, distribuir malware o estafar. Cuando el mensaje funciona, el resultado suele ser una brecha de datos que empieza con un inicio de sesión robado y no con un archivo robado.
Cómo funciona el phishing de clonación
El ataque empieza con un mensaje real, obtenido de un buzón comprometido, de un hilo capturado o del mismo boletín que recibe la víctima. Se reproduce casi exactamente, con remitente, asunto, redacción e imágenes, y se envía como respuesta dentro de la conversación original.
El único cambio relevante está en la carga maliciosa, y ahí es donde el ataque rinde. La copia suele presentarse como una actualización, como una factura corregida o el reenvío de un archivo que supuestamente no se abría. El inicio de sesión robado lleva después a la exfiltración de datos, la etapa que los controles todavía pueden ver.
- 1
Obtener un mensaje real
El atacante copia un correo auténtico de un buzón comprometido o de un hilo capturado.
- 2
Reproducirlo con fidelidad
Se copian remitente, asunto, redacción e imágenes, y la respuesta queda dentro de la conversación original.
- 3
Cambiar la carga maliciosa
El enlace o el adjunto lleva a un sitio o archivo malicioso, y el resto no cambia.
- 4
Dar un motivo para actuar
Una factura corregida o el reenvío de un archivo fallido da al destinatario una razón para hacer clic.
Indicios de un correo clonado
Un mensaje clonado está diseñado para superar una mirada rápida, así que los detalles que lo delatan son pequeños. La tabla evalúa cada señal según lo difícil que es falsificarla:
| Señal | Cómo se ve | Peso |
|---|---|---|
| Conversación duplicada | El mismo correo, o una versión actualizada, llega dos veces aunque el original no requería respuesta | Débil sola |
| Enlaces ligeramente alterados | El texto del enlace es igual al original, pero la dirección real apunta a otro dominio | Señal fuerte |
| Archivos sustituidos o reanexados | Mismo nombre, pero otro formato o tamaño, o un doble con ejecutable o macros | Señal fuerte |
| Urgencia fabricada | Una corrección o un reenvío que presiona para actuar de inmediato | Débil sola |
| Anomalías de autenticación | Falla en SPF, DKIM o DMARC, o usa un dominio parecido al real | Señal fuerte |
| Rastros en cabeceras y formato | Hora, ID o respuesta extraños, historial del hilo ausente, restos de copiar y pegar | Revisar |
Por qué el phishing de clonación es eficaz
La técnica funciona porque roba el contexto en lugar de inventarlo. La formación enseña a desconfiar del correo inesperado, pero el clon parece esperado: el destinatario ya vio el original y probablemente confiaba en él. El diseño copiado, el nombre del remitente y el historial del hilo hacen el trabajo de persuasión.
También complica la defensa técnica. Los filtros de correo encuentran en el clon muchos elementos que parecen legítimos, como una marca real, un texto real y una conversación real, así que la diferencia maliciosa es pequeña. Tras un clic exitoso, el atacante va a por los datos sensibles al alcance del acceso que obtuvo.
La formación por sí sola no detiene un clon, porque reutiliza un mensaje en el que el destinatario ya confiaba.
Medidas de protección
Ningún control por sí solo detiene el phishing de clonación. Los programas eficaces combinan capas independientes, y cada una cubre una etapa distinta del ataque:
| Control | Alcance | Qué hace |
|---|---|---|
| Formación en concienciación sobre phishingPersonas que leen correo | Toda la plantilla | Verificar reenvíos, comprobar enlaces y tratar la urgencia como una alerta |
| Autenticación multifactor (MFA)Inicio de sesión en cuentas | Todas las cuentas | Las credenciales robadas sirven menos; los métodos resistentes al phishing superan a los códigos SMS |
| SPF, DKIM y DMARCRegistros del dominio remitente | Dominio de correo | Dificulta la suplantación y da base para rechazar mensajes |
| Filtrado de correo y sandboxingPasarela de entrada | Correo entrante | Abre adjuntos aislados, inspecciona enlaces y marca anomalías |
| Notificación y respuestaProceso de seguridad | Equipo de seguridad | Denuncia en un clic y un proceso ensayado para cerrar sesiones y restablecer credenciales |
| Mínimo privilegio y verificaciónCambios de pagos y cuentas | Finanzas y administradores | Confirmación por canal alternativo para cambios de pagos y de cuentas |
Cómo se ve en Anexet
Anexet no puntúa remitentes ni URLs, pero sí intercepta el correo en los endpoints monitorizados. Mediante la intercepción de correo, el administrador ve el cuerpo del mensaje y sus adjuntos, donde aparece un archivo sustituido. Los mensajes capturados pueden buscarse después en la consola de investigación para ver qué salió de la empresa.
Por dónde empezar
Empiece por los datos que más dañarían si salieran por una fuga de datos, y después por los canales de correo que los transportan. Un mensaje clonado solo tiene que parecer familiar una vez, así que los controles más importantes son los que ven lo que sale después y pueden detenerlo.
Combine la seguridad del correo, el MFA y la formación con la monitorización de los canales de los endpoints, para que un incidente pueda rastrearse y contenerse a tiempo.
Lectura recomendada: Phishing: principales tendencias en 2025; Ingeniería social vs. sistemas DLP: cómo proteger a tu empresa de las fugas de datos.
Un correo clonado solo tiene que parecer familiar una vez. El daño llega después, y ahí es donde los controles deben funcionar.
Anexet TeamCómo lo resuelve Anexet
Anexet no es una puerta de enlace antiphishing: no clasifica remitentes, no inspecciona URLs ni puntúa mensajes por intención de phishing. Su relevancia aquí está en las mecánicas que sí tiene: intercepción y análisis de contenido del correo y los adjuntos en los endpoints monitorizados, y detección de las transferencias de datos que siguen a un compromiso.
Cuando un empleado cae en un mensaje clonado, la consecuencia es movimiento de datos: archivos que salen por correo, web, almacenamiento en la nube o soportes extraíbles. El módulo DLP de Anexet monitoriza esos canales y analiza el contenido de lo que se envía, lo que hace posible la contención y la investigación.
Intercepción y análisis del correo
los agentes en los endpoints capturan el tráfico de correo, incluidos webmail y clientes de correo, y analizan el contenido de mensajes y adjuntos contra diccionarios de seguridad, bancos de hashes, huellas digitales y etiquetas de sensibilidad: un doble malicioso puede marcarse por lo que contiene, no por quién lo envió.
Detección de transferencias de datos
las políticas de seguridad vigilan el contenido sensible que se mueve por correo, web, aplicaciones en la nube, mensajería, impresión, portapapeles y dispositivos extraíbles, y pueden bloquear, poner en cuarentena o alertar, limitando lo que sale tras el clic inicial.
Pista de auditoría para investigación
cada evento interceptado se registra con usuario, marca de tiempo, canal y clasificación de contenido, una pista de auditoría completa y atribuible de lo que pasó por el endpoint y de qué datos salieron.
Límites honestos
impedir el propio mensaje clonado sigue siendo tarea de la seguridad del correo, del MFA y de la formación; Anexet añade visibilidad de los canales del endpoint y control sobre el movimiento de datos que sigue.
Anexet DLP
Saber más