Phishing: qué es, cómo detectarlo y qué hacer si recibes un intento de suplantación

En la era digital casi todas las gestiones cotidianas se realizan telefónicamente o mediante canales online: correo electrónico, apps, webs, SMS o herramientas de mensajería. Los ciberdelincuentes aprovechan cualquier oportunidad para obtener datos personales y usarlos fraudulentamente.

Cada vez resultan más frecuentes las acciones directas y especializadas para atacar sistemas de información de empresas, acciones individuales basadas en técnicas de persuasión sobre los clientes, y acciones orientadas a descubrir información personal existente en el mundo digital público (internet y redes sociales). Todo ello con el único propósito de obtener datos de carácter personal al hacerse pasar por una persona o entidad legítima, como tu banco o compañía eléctrica. A este tipo de fraude se le conoce como phishing.

Según la Global Anti-Scam Alliance, las estafas digitales provocaron en España pérdidas de más de 7.400 millones de euros en 2024, y uno de cada seis ciudadanos recibió al menos un intento de fraude.

Las gestiones cotidianas con las comercializadoras eléctricas, como la consulta de facturas, el alta de contratos o la modificación de datos personales, no están exentas de los peligros implícitos de un uso indebido, y, por tanto, es muy importante que tengas activados tus sistemas de alerta para identificar los intentos de phishing y no caer en ellos.

¿Qué es el phishing? 

Pero, cuando hablamos de phishing concretamente, ¿a qué nos estamos refiriendo?

El phishing es una forma de ingeniería social en la que un ciberdelincuente o estafador, se hace pasar por empresas o instituciones legítimas para persuadir al cliente y que este comparta información sensible. Existe un patrón común en este tipo de engaños: aprovechar la confianza en una persona o entidad reconocida mediante la utilización de un lenguaje personalizado y cercano, unido a una sensación inducida de urgencia o necesidad.

El propósito de estas prácticas fraudulentas es obtener un beneficio económico o cualquier ventaja indebida mediante la utilización o divulgación de información sensible o confidencial.

Formas más comunes de phishing

El término phishing tiene una antigüedad de más de 30 años y las variaciones y técnicas empleadas han evolucionado exponencialmente en estas tres últimas décadas.

Como dato, hay que destacar que el volumen económico implícito en la ciberdelincuencia es, desde hace ya más de 5 años, superior a aquel asociado al narcotráfico como actividades ilícitas. Los ciberdelincuentes, además, modifican de una manera dinámica su actuación en canales y medios para conseguir los objetivos directos sobre sus víctimas.

Los ejemplos más frecuentes de acciones de phishing utilizan y combinan correos electrónicos, SMS y llamadas telefónicas con discursos y mensajes cercanos para condicionar las acciones de los clientes, es siempre con ese objetivo malicioso. Relatos creíbles, mensajes cercanos, alta personalización en las conversaciones, utilización de datos técnicos, facturas pendientes o actualización de datos contractuales, son los ganchos más habituales en los diálogos de los ciberdelincuentes hacia sus víctimas.

El canal más común sigue siendo el correo electrónico. Los atacantes envían un mensaje que parece proceder de una entidad de confianza con un asunto que genera alarma o urgencia, como, por ejemplo, un pago pendiente, una devolución o un problema con una cuenta. En el mensaje normalmente se incluye un enlace que redirige a una página falsa o a un archivo adjunto que, al abrirse, instala un programa malicioso en tu dispositivo móvil u ordenador.

La evolución de la ciberdelincuencia está directamente ligada a la evolución tecnológica y a la digitalización de la sociedad de la información. En este contexto, la irrupción de la inteligencia artificial ha elevado y especializado la sofisticación de este tipo de ataques.

Mediante el acceso a información pública como la compartida en redes sociales, los ciberdelincuentes generan mensajes altamente personalizados y realistas, mucho más difíciles de distinguir y tan verosímiles como un mensaje auténtico. Además, con el uso de la inteligencia artificial generativa, es cada vez más fácil poder persuadir y actuar sobre las emociones y comportamientos del ser humano.

La aplicación del phishing por SMS, conocido como smishing (phishing por SMS), es otra de las vías más extendidas. En este caso, un SMS llega al móvil acompañado de un enlace que imita una página web de una empresa o institución. Su brevedad y apariencia profesional hacen que aumente la posibilidad de que la víctima acceda al enlace.

También existen intentos de fraude telefónico, denominados vishing (phishing telefónico). Aquí, el estafador contacta directamente con la víctima y, con un tono convincente, solicita datos personales o bancarios, habitualmente alegando una verificación, un error en los sistemas o amenazando con un cargo, penalización o una suspensión del servicio contratado.

La combinación de canales de comunicación (SMS, email y llamada telefónica) permite dotar de una mayor realidad el relato y aumentar las probabilidades de éxito de los ciberdelincuentes.

Además, existen otras modalidades de phishing que conviene conocer:

• Spear phishing

Ataque personalizado dirigido a una persona específica o a un grupo dentro de una organización, con el objetivo de obtener acceso a información sensible o comprometer sistemas internos. Suele realizarse mediante correos que parecen enviados por un colega o superior, solicitando acceso a documentos o credenciales privadas.

• Whaling

 Variante del spear phishing que apunta a altos ejecutivos o personas con poder de decisión dentro de la organización, para robar información financiera, autorizar transferencias o acceder a datos estratégicos. Un ejemplo son los correos falsos vinculados al CEO solicitando una transferencia urgente de fondos.

• Clone phishing

 El atacante clona un correo legítimo previamente recibido y lo reenvía a la víctima, añadiendo un enlace o archivo malicioso. El objetivo es aprovechar la confianza del usuario en el correo original para que facilite datos confidenciales.

• Pharming

 Manipulación técnica que redirige al usuario desde una página web legítima a una falsa sin que lo note, para robar contraseñas, credenciales o datos bancarios. Un ejemplo es escribir la URL del banco en el navegador y ser redirigido a una página ficticia idéntica a la original, donde se capturan los datos de acceso.

Señales que delatan el phishing

Existen algunos indicadores comunes que permiten reconocer un intento de suplantación antes de que sea tarde:

• Remitente dudoso: si la dirección de correo no coincide exactamente con la oficial, o utiliza dominios extraños o subdominios añadidos, conviene desconfiar.
• Llamadas y contactos desde teléfonos desconocidos: activa siempre tu alerta ante llamadas o mensajes inesperados y no solicitados. Verifica la identidad del remitente antes de compartir cualquier dato personal o sensible. Es importante corroborar la información acudiendo a los canales oficiales de proveedores/suministradores de bienes y servicios.
• Errores ortográficos o uso de lenguaje no natural que delata textos mal traducidos.
• Saludos impersonales (“Estimado cliente”) o información genérica o incorrecta.
• Urgencia o amenazas: mensajes redactados requiriendo acciones inmediatas o el uso amenazas (“su cuenta será bloqueada si no actúa de inmediato”, “vamos a proceder a la suspensión del servicio”) si no se responde en un plazo muy reducido.
• Enlaces sospechosos: no hagas clic en ningún enlace sin tener la certeza de que la comunicación proviene de una acción solicitada previamente.
• Solicitudes inusuales: desconfía de aquellas empresas que solicitan contraseñas, números de tarjeta bancaria o datos personales por correo electrónico o SMS. Evita instalar aplicaciones de verificación de datos en dispositivos personales y acude siempre a los canales oficiales para verificar la autenticidad.

Ejemplos de phishing en nombre de Endesa

Al ser la principal eléctrica del país, los ciberdelincuentes no podían ignorar a Endesa y en numerosas ocasiones han intentado usar su buen nombre para embaucar a sus víctimas. Han usado diversas estrategias, orquestando verdaderas campañas de phishing. Como, por ejemplo, cuando recibes un mail en el nombre de Endesa: