Qué es el phishing
El phishing es un ataque contra las personas, no contra el software. El atacante arma un mensaje que parece venir de un banco, de un colega, de un proveedor o del área de TI y le pide al lector algo cotidiano: iniciar sesión, abrir un archivo, pagar una factura o confirmar datos.
El nombre es un juego con fishing, pesca en inglés: el mensaje es el anzuelo y la acción de la víctima, la presa.
Para una organización, el phishing importa porque es una de las formas más comunes de conseguir un primer acceso. Una amenaza externa sin acceso propio toma prestado el de un empleado, y una sola contraseña robada puede iniciar una brecha de datos.
Cómo se desarrolla un ataque
Las campañas varían en escala y esmero, pero casi todas siguen las mismas cuatro etapas, y la última es donde ocurre el daño: el acceso robado lleva a la exfiltración de datos o a un pago fraudulento.
- 1
Elegir el señuelo
El atacante escoge un pretexto creíble, como un aviso de contraseña por vencer, una factura o un documento compartido.
- 2
Entregar el mensaje
El mensaje llega por correo, SMS, teléfono o redes sociales, a menudo desde un remitente falsificado o muy parecido al real.
- 3
Lograr la acción
La víctima escribe su contraseña en una página falsa, abre un archivo adjunto o aprueba una solicitud.
- 4
Usar el acceso
El atacante inicia sesión, recorre buzones y carpetas compartidas, y se lleva datos o dinero.
Principales tipos de phishing
Los tipos se distinguen por el canal y por lo que el atacante sabe del objetivo. El phishing de clonación conviene conocerlo temprano, porque reutiliza un mensaje en el que la víctima ya confía. Los códigos QR en correos o en carteles (quishing) son otro vehículo para el mismo engaño.
| Tipo | Canal y objetivo | Qué lo distingue |
|---|---|---|
| Phishing masivo | Correo enviado a muchísimos destinatarios | Señuelo genérico, poco esfuerzo, depende del volumen |
| Spear phishing | Correo a una persona o equipo elegido | Usa datos investigados, como nombre, cargo y proyectos en curso |
| Whaling | Correo a la alta dirección | Spear phishing dirigido a quienes tienen amplia autoridad |
| Business email compromise | Correo que imita a un ejecutivo o proveedor | Busca desviar un pago u obtener datos, a menudo sin enlace ni adjunto |
| Smishing y vishing | Mensajes SMS y llamadas telefónicas | El mismo engaño, llevado por texto o por voz |
| Phishing de clonación | Correo reenviado a partir de uno real | Copia un mensaje en el que el destinatario confía y cambia el enlace o el archivo |
Por qué funciona con las personas
El phishing funciona porque aprovecha hábitos, no fallas del software. Los mensajes toman prestada una autoridad (un jefe, un banco), crean presión de tiempo o parecen trabajo rutinario, y las personas ocupadas atienden solicitudes rutinarias sin verificarlas. Cuando un empleado es engañado y entrega una contraseña o un archivo, el resultado es una divulgación involuntaria: nadie quiso filtrar nada.
Antes, la buena redacción era un indicio confiable. Ese consejo perdió fuerza, porque las herramientas que producen texto fluido en cualquier idioma permiten eliminar las frases torpes que antes delataban el fraude.
Un mensaje pulido no es un mensaje seguro: evalúa la solicitud, no la gramática.
Señales de alerta
Ninguna señal es una prueba, y los mensajes bien hechos no muestran ninguna. La prueba es el conjunto y la solicitud misma: ¿un mensaje inesperado pide contraseñas, dinero o datos?
- Una dirección de remitente parecida a la real, pero no idéntica, por ejemplo con una letra cambiada en el dominio
- Urgencia o amenaza: una cuenta a punto de cerrarse, un pago exigido hoy
- Un enlace cuyo destino real, visible al pasar el cursor, difiere del texto
- Un adjunto inesperado, sobre todo un archivo comprimido, un documento que pide habilitar macros o un ejecutable
- Una solicitud de iniciar sesión, pagar o enviar datos por una vía distinta de la habitual
- Una petición de reserva o de saltarse la aprobación normal
Capas de defensa
Ningún control aislado detiene el phishing, porque cada uno cubre una etapa distinta: la llegada del mensaje, el clic, el inicio de sesión y la salida de los datos. Las capas rinden más cuando asumen que algunos mensajes pasarán y procuran que los datos sensibles no salgan con ellos.
| Control | Alcance | Qué hace |
|---|---|---|
| Capacitación de concientizaciónPersonas que leen el correo | Todo el personal | Enseña a verificar solicitudes inesperadas y a reportarlas |
| Autenticación multifactorInicio de sesión en cuentas | Todas las cuentas | Reduce el valor de una contraseña robada; los métodos resistentes al phishing, como las llaves de seguridad y las passkeys, son los más sólidos |
| SPF, DKIM y DMARCRegistros del dominio remitente | Dominio de correo | Dificultan la suplantación del dominio de la organización |
| Filtrado de correo y sandboxPuerta de entrada | Correo entrante | Revisa enlaces y adjuntos antes de la entrega |
| Reporte y respuestaProceso de seguridad | Equipo de seguridad | Reporte con un clic y una forma ensayada de restablecer contraseñas y cerrar sesiones |
| Controles contra la pérdida de datosEquipos y canal web | Equipos finales | Limitan lo que puede salir si de todos modos ocurre un error |
Cómo se ve en Anexet
Anexet no es una puerta de enlace antiphishing y no decide si un mensaje es phishing.
Lo que ofrece es la interceptación de correo en los equipos monitoreados, que permite analizar el contenido de mensajes y adjuntos, y las reglas de bloqueo HTTP dentro del monitoreo del tráfico web, que pueden detener una solicitud cuyo contenido incumple una política, como el envío de datos sensibles a un sitio. El empleado ve entonces un mensaje como el que se muestra abajo.
Por dónde empezar
Empieza por las cuentas y los datos que más dolerían si se perdieran: correo, finanzas y acceso de administrador. Activa primero la autenticación multifactor ahí y luego acuerda una sola vía para reportar mensajes sospechosos y una verificación por otro canal para cambios de pagos y de datos bancarios.
Trata la capacitación como práctica, no como una charla anual: breve, concreta y sin buscar culpables, para que la gente reporte los errores rápido en lugar de ocultarlos.
El phishing no rompe un sistema. Le pide a una persona que abra la puerta, así que la defensa debe cubrir tanto a la persona como lo que hay detrás de la puerta.
Anexet TeamCómo lo resuelve Anexet
Anexet no es una puerta de enlace de correo antiphishing: no clasifica remitentes, no inspecciona URL ni puntúa los mensajes según su intención de phishing. Su relevancia está en los mecanismos que sí tiene: la interceptación y el análisis de contenido del correo en los equipos monitoreados, y el control de las transferencias de datos que siguen a un ataque exitoso.
Cuando un empleado es engañado, lo que sigue es un movimiento de datos: archivos que salen por correo, web, almacenamiento en la nube o medios extraíbles. El módulo DLP de Anexet vigila esos canales y analiza el contenido de lo que se envía, lo que hace posibles la contención y la investigación.
Interceptación y análisis del correo
Los agentes en los equipos capturan el tráfico de correo, incluidos el webmail y los clientes de correo, y analizan el contenido de mensajes y adjuntos con tesauros, bancos de hashes, huellas digitales y etiquetas de sensibilidad de Microsoft.
Control de transferencias de datos
Las políticas de seguridad vigilan el contenido sensible que circula por correo, web, aplicaciones en la nube, mensajería, impresión, portapapeles y dispositivos extraíbles, generan incidentes y alertas, y las reglas de bloqueo pueden detener una transferencia, con los correos bloqueados retenidos en cuarentena.
Registro de auditoría
Los eventos interceptados se registran con usuario, equipo, hora y canal, lo que deja un rastro atribuible de lo que pasó por los canales supervisados y de qué datos salieron.
Límites honestos
Impedir que llegue el señuelo sigue siendo tarea de la seguridad del correo, la MFA y la capacitación; Anexet suma visibilidad de los canales en los equipos y control sobre el movimiento de datos que viene después.
Anexet DLP
Más información