Tema 17
El correo no solo transporta mensajes: también transporta urgencia, autoridad, contexto y confianza. Por eso sigue siendo una de las herramientas más efectivas para engañar al usuario y llevarlo a entregar credenciales, abrir archivos, transferir dinero o validar acciones indebidas.
En el tema anterior vimos por qué el correo es un canal central para la identidad y la operación. Ahora corresponde estudiar el tipo de amenaza más asociado a ese canal: el engaño dirigido al usuario. Phishing, spear phishing y Business Email Compromise no dependen únicamente de malware o de fallas técnicas; dependen sobre todo de manipular confianza, contexto y urgencia.
Estos ataques siguen siendo eficaces incluso en entornos relativamente maduros porque se apoyan en tareas reales del trabajo cotidiano: revisar facturas, aprobar pagos, abrir documentos, responder a directivos, validar cambios o iniciar sesión en servicios utilizados todos los días.
Entender cómo se construyen estas campañas ayuda a detectar mejor sus señales y a diseñar defensas más realistas que simplemente pedirle al usuario que "tenga cuidado".
Phishing es un intento de engañar a la víctima para que entregue credenciales, información sensible, dinero o acceso, generalmente haciéndose pasar por una entidad legítima o por una situación operativa plausible. El correo electrónico es uno de sus canales preferidos porque combina bajo costo, gran alcance y alto poder de persuasión contextual.
El objetivo final puede variar:
El spear phishing es una variante más dirigida y personalizada. En lugar de enviar un mensaje genérico a miles de destinatarios, el atacante adapta el contenido a una persona, un área o un contexto específico. Utiliza nombres, roles, proveedores, proyectos o eventos reales para aumentar credibilidad.
Esto vuelve más difícil la detección intuitiva porque el mensaje puede parecer coherente con la realidad laboral del destinatario. La campaña no busca volumen, sino precisión y efectividad sobre objetivos concretos.
Business Email Compromise, o BEC, es una forma de fraude basada en el abuso del correo corporativo y de la confianza entre personas de una organización o con terceros. En estos casos, el objetivo suele ser lograr pagos, cambios de cuenta bancaria, desvío de facturas, revelación de información sensible o validación de acciones administrativas.
El BEC puede basarse en:
Su peligrosidad es alta porque muchas veces no necesita malware. Le alcanza con convencer a la víctima de actuar.
La ingeniería social es el arte de manipular a una persona para que haga algo que favorece al atacante. En correo electrónico, eso se traduce en mensajes diseñados para activar emociones, automatismos o sesgos que reduzcan la capacidad crítica del usuario.
Los recursos más comunes incluyen:
Por eso el éxito del phishing no depende solo de la ignorancia técnica. También depende del contexto humano en el que cae el mensaje.
Los ataques más efectivos suelen cuidar varios elementos a la vez:
Cuanto mejor encajan estas piezas con la rutina del usuario, más difícil es distinguir el engaño solo por intuición.
| Aspecto | Phishing genérico | Spear phishing / BEC |
|---|---|---|
| Alcance | Masivo | Dirigido a personas o áreas concretas |
| Personalización | Baja | Alta |
| Objetivo | Volumen y oportunidad | Precisión e impacto |
| Señales visibles | A menudo más evidentes | Más sutiles y contextuales |
| Daño potencial | Variable | Muy alto en finanzas, identidad o acceso |
Aunque no existe una señal única, hay patrones que deberían disparar revisión adicional:
Cuanta más información tenga el atacante sobre la víctima, más creíble puede hacer el mensaje. Esa información puede obtenerse de redes sociales, sitios corporativos, conversaciones filtradas, correos previamente comprometidos o incluso del propio buzón de una cuenta ya vulnerada.
Con ese contexto puede mencionar:
Un caso particularmente peligroso es cuando el atacante no solo suplanta, sino que realmente compromete una cuenta de correo. En ese escenario, el mensaje proviene de una fuente auténtica, dentro de una relación real de confianza y, a veces, dentro de un hilo preexistente.
Esto incrementa mucho la efectividad del fraude porque neutraliza varias señales que los usuarios suelen usar para sospechar. Además, permite observar la conversación antes de intervenir en el momento de mayor impacto.
El Business Email Compromise suele asociarse a fraude financiero, pero no siempre apunta a transferencias. También puede buscar listas de empleados, documentación sensible, información fiscal, datos de clientes o credenciales para otros sistemas.
Podemos pensar dos grandes variantes:
Ambas se apoyan en la misma lógica: aprovechar confianza organizativa para obtener un beneficio de alto valor.
Estos ataques persisten porque explotan factores humanos y operativos difíciles de eliminar por completo:
En otras palabras, funcionan porque se parecen demasiado al trabajo normal.
La defensa frente a phishing y BEC necesita combinar tecnología, procesos y entrenamiento realista.
En el próximo tema estudiaremos adjuntos, enlaces, macros y tipos de archivo peligrosos en email. Esa continuidad es natural porque gran parte del phishing y de las campañas de entrega de malware se apoyan justamente en esos elementos para convertir el engaño en ejecución o robo efectivo.
El phishing y el BEC siguen siendo tan efectivos porque atacan donde la tecnología y el trabajo humano se encuentran: en decisiones tomadas bajo presión, confianza y contexto incompleto. Entender su lógica permite diseñar defensas más maduras que no dependan exclusivamente del ojo del usuario.
En el próximo tema nos enfocaremos en adjuntos, enlaces y tipos de archivo peligrosos para ver cómo el correo convierte el engaño en un riesgo técnico concreto sobre el endpoint.