Puntos clave
- El phishing fue el 60% de las intrusiones observadas en Europa durante 2025, según ENISA; es la puerta de entrada favorita de los atacantes.
- Las tres variantes que más daño hacen en una PYME son el spear phishing dirigido, el whaling contra directivos y el smishing por mensaje de texto.
- Un correo fraudulento casi siempre se delata: remitente raro, urgencia exagerada, enlaces disfrazados y errores que no cometería tu banco.
- Si un empleado hace clic, lo que salva a la empresa es la reacción en minutos: desconectar, cambiar contraseñas y avisar, no esconder el error.
- El 95% de la seguridad recae en la prevención, y ahí es donde entra RealNet con MailGuru filtrando el correo antes de que llegue a tu gente.
Un correo de phishing bien hecho se parece tanto al de tu banco que lo abrirías sin pensarlo, y ahí está el problema. En este artículo le mostramos ejemplos de phishing reales, los tipos que más golpean a las empresas mexicanas y las señales concretas que delatan el engaño antes de que alguien haga clic. Lo decimos por experiencia: en RealNet llevamos atendiendo casos de secuestro de información y fraude por correo desde hace años, y casi siempre la historia empieza igual, con un mensaje que parecía legítimo.
Les platico cómo pasa. Una tarde cualquiera, en una empresa a la que llamaremos Empresa, llega un correo "del director" pidiéndole a la contadora que haga una transferencia urgente antes de que cierre el banco. El logo está bien, la firma también, el tono es el de siempre. María, la contadora, duda un segundo, pero la palabra "urgente" pesa. Transfiere. Dos días después se enteran de que el director jamás escribió ese correo. Gran problema;(
Esto no es ciencia ficción. Según ENISA, la agencia de ciberseguridad de la Unión Europea, el phishing fue responsable del 60% de las intrusiones observadas en 2025 (Infosecurity Magazine, 2025). Es decir, más de la mitad de los ataques entran por donde menos cuesta: engañando a una persona. Nuestra filosofía en RealNet es clara: no hay nada 100% seguro, pero el 95% de la seguridad recae en la prevención. Quien les diga que les garantiza un 100% que se los firme con sangre.
¿Cuáles son los tipos de phishing: spear, whaling y smishing?
No todo el phishing es igual, y entender las variantes le ayuda a reconocerlas. El phishing común se manda a miles de personas a ver quién pica. Pero las versiones dirigidas son las que más dinero cuestan, y según la misma ENISA, para principios de 2025 la gran mayoría de la ingeniería social ya se apoyaba en inteligencia artificial. Hoy el engaño viene redactado sin faltas y hasta imitando el estilo de su jefe.
Le explico las tres que más vemos en campo:
1.- Spear phishing, o phishing con lanza. En lugar de lanzar la red a cualquiera, el atacante investiga a su víctima: sabe su nombre, su puesto, a quién le reporta. El correo que recibe María fue spear phishing puro.
2.- Whaling, o "caza de ballenas". Es spear phishing, pero apuntando al pez gordo: el dueño, el director general, el de finanzas. Como esas personas autorizan dinero, un solo engaño exitoso puede vaciar una cuenta.
3.- Smishing, el phishing por SMS o WhatsApp. "Su paquete está retenido, pague $45 aquí" o "Soy del banco, confirme su clave". El teléfono baja la guardia porque lo asociamos con lo personal.
A estos hay que sumarles el vishing, que es el engaño por llamada telefónica. ¿Se imaginan Uds. cuántas de estas llegan a su empresa en una semana sin que nadie las reporte?
¿Cómo son los ejemplos reales de correos fraudulentos?
Los correos fraudulentos que más daño hacen son los de fraude al CEO, conocidos como BEC, por sus siglas en inglés Business Email Compromise, o compromiso del correo empresarial. El caso de María es exactamente eso. Y no es menor: el reporte DBIR 2026 de Verizon encontró que el ransomware estuvo presente en el 48% de las brechas analizadas, y el correo sigue siendo la vía principal para colarlo (Help Net Security, 2026).
Estos son los ejemplos que más nos ha tocado ver en empresas de manufactura, salud, logística y servicios financieros aquí en México:
- El "director apurado". Un correo que imita al jefe y pide una transferencia o el pago de una factura "ya mismo, no alcanzo a llamarte".
- El proveedor que cambió de cuenta. Un supuesto proveedor avisa que "actualizó sus datos bancarios" y pide depositar la próxima factura a una cuenta nueva. Es de los más caros.
- El "verifica tu cuenta". Un correo del banco o de Microsoft 365 avisando que su cuenta será bloqueada si no inicia sesión por un enlace. Ese enlace lleva a una página falsa que copia su contraseña.
- El falso comprobante fiscal o CFDI. Muy mexicano este: le mandan un "complemento de pago" o "factura" en un archivo o enlace que en realidad instala un programa malicioso.
Lo que tienen en común todos es un disfraz convincente y una emoción que lo apura: miedo, urgencia o avaricia. Si quiere profundizar en la defensa del buzón, escribimos aparte sobre cómo proteger el correo empresarial contra el phishing.
¿Qué elementos delatan un intento de engaño?
La buena noticia es que casi todo correo de phishing deja huellas, y aprender a verlas es la mejor defensa gratuita que tiene su empresa. Aunque la inteligencia artificial mejoró la redacción de los atacantes, el engaño sigue necesitando que usted actúe con prisa, y ahí es donde se le cae el disfraz. Revisar un correo con calma toma diez segundos y puede ahorrarle una pérdida de miles de pesos.
Estas son las señales que enseñamos a revisar, siempre en este orden:
1.- El remitente real, no el nombre que se ve. "Banco Nacional" puede esconder una dirección como servicio@banco-seguro-mx.net. Pase el cursor sobre el nombre y lea el dominio de verdad.
2.- La urgencia artificial. "Hoy", "en las próximas 2 horas", "su cuenta será suspendida". Su banco no trabaja con amenazas de reloj.
3.- Los enlaces disfrazados. Pase el cursor sobre el enlace sin hacer clic. Si el texto dice un sitio y abajo aparece otro distinto, no lo toque.
4.- Las solicitudes raras. Nadie legítimo le pide su contraseña por correo, ni que cambie una cuenta bancaria por un mensaje.
5.- Los detalles que no cuadran. Un saludo genérico ("Estimado cliente"), un logo borroso, o un archivo adjunto que no esperaba.
La regla de oro que repetimos a nuestros clientes: ante la duda, no haga clic, levante el teléfono y confirme por otro canal. Si el correo dice ser de su proveedor, llámele al número que usted ya tenía, no al que viene en el mensaje.
¿Qué hacer si un empleado hace clic?
Lo primero: que no cunda el pánico, y que nadie esconda el error. Hemos visto empresas donde el daño creció porque el empleado, por miedo al regaño, se quedó callado horas. En seguridad, el tiempo lo es todo, y una brecha de correo puede abrir la puerta a un secuestro de información que, como vimos con el DBIR de Verizon, hoy aparece en casi la mitad de los incidentes.
Si alguien ya hizo clic o entregó sus datos, estos son los pasos:
1.- Desconectar el equipo de la red. Apague el wifi o quite el cable. Esto evita que algo malicioso se propague a los demás.
2.- Cambiar las contraseñas desde otra máquina. La del correo primero, luego las del banco y los sistemas importantes. Active la verificación en dos pasos si no la tenía.
3.- Avisar a sistemas o a su proveedor de ciberseguridad. Mientras más pronto, mejor. Aquí es donde un servicio de detección y respuesta gestionada, lo que llamamos MDR, hace la diferencia para contener el problema a tiempo.
4.- Conservar la evidencia. No borre el correo. Sirve para entender cómo entraron y para avisarle a su banco o a su abogado si hubo fraude.
5.- Avisar a quien pudo verse afectado. Si se filtró una cuenta de cliente o proveedor, prevéngalos antes de que les llegue el mismo engaño desde su buzón.
A los empresarios nos cuesta mucho hacer una empresa, y un solo descuido no debería tirarla. Por eso insistimos tanto en la prevención y en tener respaldos sanos, para no acabar tapando el pozo después del niño ahogado.
¿Cómo bloquea MailGuru las campañas maliciosas?
MailGuru es el servicio de RealNet que filtra el correo de su empresa antes de que llegue a la bandeja de su gente, deteniendo la mayoría de las campañas de phishing en la puerta. Piénselo como un guardia que revisa cada carta antes de dejarla pasar: analiza al remitente, los enlaces y los adjuntos, y detiene lo sospechoso. No sustituye la cabeza de su equipo, la refuerza. Porque como decimos siempre, no hay nada 100% seguro, pero el 95% está en la prevención, y RealNet es ese 95% para su empresa.
¿Qué hace MailGuru por dentro? Básicamente tres cosas:
1.- Revisa la reputación y autenticidad del remitente, para cachar al que se hace pasar por su banco o su director.
2.- Analiza enlaces y adjuntos antes de entregarlos, aislando los que llevan a páginas falsas o traen un programa malicioso.
3.- Frena los correos de fraude al CEO y de proveedor falso, que son los más caros y los que más nos piden detener.
Llevamos en esto desde 1993 como empresa y desde 1997 en temas de ciberseguridad, así que hemos visto de todo. MailGuru no trabaja solo: se acompaña de la capacitación de su gente, lo que nosotros llamamos ciberconciencia, y de otros servicios como RadarGuru, MDRGuru y SensorGuru según lo que su operación necesite. Si está evaluando por dónde empezar, le puede servir nuestra guía 360 de servicios de ciberseguridad para empresas.
El phishing no va a desaparecer, y cada vez será más convincente. Pero ningún engaño funciona si su gente sabe reconocerlo y su correo lo detiene antes de llegar. El siguiente paso concreto: siéntese esta semana con su equipo, muéstreles los cinco ejemplos de arriba y pídales que reporten cualquier correo raro sin miedo. Si quiere que revisemos cómo está protegido hoy su correo, escríbanos a contacto@realnet.com.mx o visítenos en https://realnet.com.mx. Una relación de seguridad solo funciona cuando los dos tenemos la misma intención: crecer juntos y proteger lo que tanto le costó construir.
#ciberseguridad #phishing #PYME #MailGuru #RealNet #ciberconciencia
Preguntas frecuentes
¿Qué es el phishing en palabras sencillas?
Es un engaño por correo, mensaje o llamada donde alguien se hace pasar por una empresa o persona de confianza para robarte contraseñas, dinero o datos. La palabra viene de fishing, pescar: te lanzan un anzuelo y esperan a que piques.
¿Cómo detectar un correo de phishing rápido?
Revisa el remitente real, desconfía de la urgencia ('su cuenta será bloqueada hoy'), pasa el cursor sobre los enlaces sin hacer clic para ver a dónde van de verdad, y sospecha de cualquier solicitud de datos o transferencias fuera de lo normal.
¿Qué hago si un empleado ya hizo clic en un enlace fraudulento?
Desconecte el equipo de la red de inmediato, cambie las contraseñas de ese usuario desde otra máquina, avise a su área de sistemas o a su proveedor de ciberseguridad y conserve el correo como evidencia. La rapidez es lo que limita el daño.
¿El antivirus solo me protege del phishing?
No es suficiente. El antivirus revisa archivos, pero el phishing ataca a la persona con engaño. Necesita filtrado del correo que bloquee las campañas antes de que lleguen, además de capacitar a su gente para que reconozca el anzuelo.
¿El phishing solo llega por correo?
No. Llega por correo, por SMS y WhatsApp (smishing), por llamada telefónica (vishing) y hasta por redes sociales. El correo sigue siendo el canal más usado, pero conviene desconfiar de cualquier mensaje que pida datos o dinero con prisa.
