Es tentador pensar en ciberataques sofisticados: exploits de día cero, herramientas de hacking avanzadas, atacantes con conocimiento técnico excepcional. La realidad de la mayoría de los incidentes en Colombia es mucho menos cinematográfica. Según cifras del Ministerio de Tecnologías de la Información y las Comunicaciones, el fraude — impulsado principalmente por phishing y el uso no autorizado de cuentas de correo — representa cerca del 80% de los incidentes reportados en el país en los últimos dos años. No hace falta un exploit sofisticado cuando basta con un correo bien diseñado y un empleado que hace clic sin pensarlo dos veces.
Por qué el phishing sigue funcionando después de tantos años
Si el phishing es una técnica tan conocida, ¿por qué sigue siendo tan efectivo? La respuesta tiene menos que ver con la tecnología y más con la psicología humana. El phishing no explota una vulnerabilidad de software — explota la confianza, la urgencia y la rutina. Un correo que parece venir del banco, con el logo correcto y un tono de urgencia sobre "actividad sospechosa en tu cuenta", activa una respuesta emocional que pasa por encima del pensamiento crítico, especialmente cuando la persona está ocupada, distraída, o revisando el correo desde el celular entre otras tareas.
Las variantes que más se ven en el entorno colombiano
El phishing genérico — correos masivos con errores evidentes de ortografía — sigue existiendo, pero cada vez representa una porción menor del problema real. Las variantes que realmente están causando incidentes hoy son más dirigidas:
Correos que suplantan bancos y entidades financieras colombianas, pidiendo "verificar" información de cuenta ante una supuesta actividad sospechosa — el gancho que consistentemente genera más clics porque apela directamente al miedo de perder dinero.
Correos que suplantan proveedores o clientes reales de la empresa, con solicitudes de cambio de datos bancarios para un pago — una variante que ha causado pérdidas significativas en transacciones empresariales.
Mensajes que suplantan entidades gubernamentales o de servicios públicos, aprovechando trámites que la mayoría de las personas ya está acostumbrada a hacer en línea.
Variantes que ya no llegan solo por correo: el smishing (por SMS) y el vishing (por llamada telefónica) están creciendo específicamente porque muchos filtros de seguridad se diseñaron pensando únicamente en el correo electrónico.
El problema de fondo: el phishing es la puerta, no el destino
Un correo de phishing exitoso raramente es el ataque completo — es el punto de entrada que habilita algo más grande. Credenciales robadas mediante phishing son, con frecuencia, el primer paso hacia un ataque de ransomware-as-a-service, hacia el acceso no autorizado a sistemas protegidos bajo la Ley 1273, o hacia el robo directo de fondos mediante transferencias fraudulentas. Entender el phishing como "solo un correo sospechoso" subestima seriamente lo que realmente representa dentro de la cadena completa de un ataque.
Qué realmente reduce el riesgo
La tecnología sola no resuelve el problema del phishing, porque el phishing está diseñado específicamente para evadir la tecnología apelando al factor humano. Las medidas que consistentemente muestran impacto real combinan ambos frentes:
Preguntas frecuentes
¿Por qué el phishing sigue siendo tan común si la mayoría de la gente ya sabe qué es?
Saber qué es el phishing en teoría no siempre se traduce en reconocerlo bajo presión, distracción, o cuando el correo está bien diseñado y personalizado. El conocimiento general no reemplaza la práctica reconocible mediante simulacros reales.
¿Los filtros de correo modernos no deberían bloquear la mayoría de estos intentos?
Bloquean una parte importante, pero ningún filtro es perfecto, y los atacantes ajustan constantemente sus técnicas para evadir los filtros más comunes. La defensa nunca puede depender de una sola capa.
¿Qué tan común es el phishing dirigido específicamente contra empleados de una empresa, y no genérico?
Cada vez más común, especialmente contra empleados con acceso a sistemas financieros o administrativos — es lo que se conoce como spear phishing, y suele estar mejor investigado y personalizado que el phishing masivo tradicional.
¿Cuánto tiempo toma capacitar efectivamente a un equipo contra phishing?
No es un evento único. La capacitación efectiva es continua, combinando formación inicial con simulacros periódicos que mantengan la vigilancia activa a lo largo del tiempo, no solo en el momento posterior a una capacitación puntual.
¿Hablamos?
El phishing sigue siendo la causa raíz de la mayoría de los incidentes serios de ciberseguridad, y por eso merece la misma seriedad técnica que cualquier otra amenaza. En T.I. RESCUE trabajamos en [ataques de ingeniería social](https://tirescue.com/ataques-de-ingenieria-social/) — desde simulacros hasta capacitación real — y contamos con [respuesta ante incidentes 24/7](https://tirescue.com/respuesta-ante-incidentes-247/) si un ataque de phishing ya derivó en un compromiso mayor. ¿Quieres evaluar qué tan preparado está tu equipo? [Hablemos](https://tirescue.com/contacto-ti-rescue/).
ContactarTambién te puede interesar
Comentarios (0)
Sé el primero en comentar.