¿Qué es el phishing? Cómo reconocer correos, mensajes de texto y códigos QR falsos

¿Qué es el phishing?

El Centro Nacional de Ciberseguridad (NCSC) del Reino Unido define el phishing como el uso por parte de delincuentes de correos electrónicos, mensajes de texto o llamadas telefónicas fraudulentos para engañar a sus víctimas; el objetivo suele ser que usted visite un sitio web que puede descargar un virus en su computadora, o robar sus datos bancarios u otra información personal ^[3]. La Comisión Federal de Comercio de Estados Unidos (FTC) lo resume de forma más breve: los estafadores usan correos electrónicos o mensajes de texto para engañarlo y conseguir que les dé su información personal y financiera ^[1].

El FBI agrupa este delito como «phishing/suplantación»: correos electrónicos, mensajes de texto y llamadas telefónicas no solicitados, supuestamente de una empresa legítima, que piden datos personales, financieros o credenciales de inicio de sesión ^[8]. La suplantación (spoofing) consiste en falsificar el remitente, por ejemplo para que un mensaje parezca enviado por su banco.

El phishing es una forma de ingeniería social, que el FBI describe como la obtención de datos protegidos engañando a una persona para que los revele ^[12]. Se aprovecha de la confianza humana y no de fallas técnicas, por lo que puede eludir sistemas sólidos si se logra persuadir a una persona de que entregue una contraseña o un código.

¿Qué formas adopta el phishing?

• Phishing por correo electrónico: mensajes masivos que imitan a bancos, tiendas, empresas de mensajería o empleadores ^[1].
• Spear phishing: un intento dirigido a engañar a una persona o a un grupo concretos, con información destinada a aumentar las probabilidades de éxito ^[12].
• Phishing por mensaje de texto (smishing): los mismos trucos enviados por SMS; la definición de la FTC incluye expresamente los mensajes de texto ^[1].
• Phishing telefónico (vishing): llamadas que fingen provenir de una organización de confianza; el NCSC considera las llamadas fraudulentas parte del phishing ^[3].
• Phishing con códigos QR (quishing): códigos QR en correos electrónicos que llevan a sitios web maliciosos ^[6].

¿Cómo está cambiando la IA el phishing?

En diciembre de 2024, el FBI advirtió que los delincuentes usan la IA generativa para redactar textos creíbles con fines de ingeniería social y spear phishing, para enviar mensajes con mayor rapidez a un público más amplio y para traducir los mensajes de modo que contengan menos errores gramaticales u ortográficos ^[12]. El NCSC señala igualmente que antes era más fácil detectar las estafas por las faltas de ortografía o un diseño extraño, pero que se están volviendo más sofisticadas y algunas engañan incluso a los expertos ^[4].

¿A quién se ataca de forma personal?

Los delincuentes usan la información sobre usted disponible en internet, incluidas las redes sociales, para que sus mensajes resulten más convincentes ^[3]. Los grupos de alto perfil también se enfrentan a campañas vinculadas a Estados. Freedom House informó que un grupo de hackers vinculado al Cuerpo de la Guardia Revolucionaria Islámica de Irán se hizo pasar en internet por periodistas y activistas de derechos humanos para atraer a críticos del gobierno a operaciones de phishing ^[13]. Para los periodistas y activistas de habla persa, una solicitud de entrevista inesperada o un enlace a un documento merecen las mismas comprobaciones que un mensaje del banco.

¿Cómo reconocer un mensaje de phishing?

Según la FTC, los mensajes de phishing suelen decir que se ha detectado actividad sospechosa o intentos de inicio de sesión, afirmar que hay un problema con su cuenta o su información de pago, pedirle que confirme datos personales o financieros, incluir una factura que usted no reconoce, pedirle que haga clic en un enlace para realizar un pago, decir que tiene derecho a un reembolso del gobierno u ofrecer un cupón para obtener artículos gratis ^[1].

El NCSC sugiere revisar un mensaje sospechoso en busca de estas señales reveladoras ^[4]:

1. Autoridad: ¿afirma provenir de alguien oficial, como su banco, su médico, un abogado o un organismo del gobierno ^[4]?
2. Urgencia: ¿le piden responder en un plazo de 24 horas o de inmediato, a menudo con la amenaza de una multa ^[4]?
3. Emoción: ¿le provoca pánico o le hace sentir miedo, esperanza o curiosidad ^[4]?
4. Escasez: ¿ofrece algo difícil de conseguir, como entradas para conciertos, dinero o una cura médica ^[4]?
5. Actualidad: ¿se aprovecha de una noticia, de un gran acontecimiento o de una época del año, como la temporada de declaración de impuestos ^[4]?

El NCSC añade que su banco o cualquier otra fuente oficial nunca le pedirá que facilite información personal por correo electrónico, ni lo llamará para pedirle que confirme los datos de su cuenta bancaria ^[4]. Si tiene dudas, comuníquese directamente con la organización usando los datos de contacto de su sitio web oficial, no los números ni las direcciones que aparecen en el mensaje ^[4].

¿Qué tan común es el phishing?

El Internet Crime Complaint Center (IC3) del FBI recibió 1,008,597 denuncias en 2025, con $20.877 mil millones en pérdidas declaradas ^[8]. El phishing/suplantación fue la categoría más numerosa por número de denuncias, con 191,561 ^[8]. Sus pérdidas declaradas aumentaron a $215,843,126 en 2025, frente a $70,013,036 en 2024 ^[8]. Las cifras de denuncias solo reflejan lo que las personas deciden denunciar ante el IC3, no todo el phishing que se produce.

El Anti-Phishing Working Group (APWG), una coalición del sector, registró 1,003,924 ataques de phishing en el primer trimestre de 2025, la cifra más alta desde finales de 2023, y afirmó que los delincuentes envían cada día millones de correos electrónicos con códigos QR ^[9]. Los ataques contra pagos en línea y la banca representaron en conjunto el 30.9% de todos los ataques de ese trimestre ^[9].

En el Reino Unido, el servicio de denuncias del NCSC había recibido más de 59.6 millones de denuncias de estafas a septiembre de 2026, lo que permitió retirar 263.7 mil estafas en 466,300 URL ^[3].

¿Es seguro escanear códigos QR?

Por lo general sí, en los lugares habituales. El NCSC afirma que los códigos QR de bares o restaurantes probablemente sean seguros de escanear, que el fraude mediante códigos QR es relativamente pequeño en comparación con otros fraudes informáticos y que la mayor parte se produce en espacios abiertos, como estaciones y estacionamientos, a menudo combinado con ingeniería social ^[6].

El correo electrónico es la mayor preocupación. El NCSC observa un aumento de los códigos QR en correos de phishing, una técnica a veces llamada quishing, porque los códigos QR disimulan los enlaces maliciosos, no todas las herramientas de seguridad del correo analizan imágenes y las personas tienden a escanearlos con teléfonos personales que pueden tener una protección más débil que una computadora del trabajo ^[6].

¿Qué aconsejan el FBI y la FTC?

• Después de escanear, revise la dirección web; un dominio malicioso puede parecerse al real, con una errata o una letra cambiada de lugar ^[7].
• En un código impreso, compruebe que no haya sido tapado con una calcomanía ^[7]. La FTC menciona denuncias de estafadores que cubren los códigos QR de los parquímetros con los suyos ^[2].
• No descargue una aplicación desde un código QR ni instale una aplicación de escaneo de QR aparte; la mayoría de los teléfonos tienen un lector integrado en la aplicación de cámara ^[7].
• No escanee un código QR de un correo electrónico o un mensaje de texto que no esperaba; comuníquese con la empresa a través de un número de teléfono o un sitio web que sepa que son auténticos ^[2].
• Evite pagar a través de un sitio al que llegó desde un código QR; escriba en su lugar una dirección conocida y de confianza ^[7].

¿Qué hacer si hizo clic en un enlace de phishing?

Actúe con rapidez y en este orden:

1. Deténgase y corte el contacto. El consejo del NCSC es detenerse, cortar el contacto y analizar el lenguaje utilizado ^[4].
2. Si entregó una contraseña, el NCSC indica que cambie las contraseñas de todas las cuentas que usen esa misma contraseña y que, si está disponible, use una passkey en su lugar ^[14]. La FTC también recomienda la autenticación multifactor para proteger las cuentas ^[1].
3. Si abrió un archivo adjunto o instaló algo, actualice su software de seguridad, ejecute un análisis y elimine todo lo que detecte ^[1][14]. Si ocurrió en una laptop o un teléfono del trabajo, avise a su departamento de TI ^[14].
4. Si perdió dinero o dio datos bancarios, avise a su banco usando el número que figura en su tarjeta o en su estado de cuenta, donde suelen aparecer los datos de contacto oficiales ^[4], y denúncielo como delito; en Inglaterra, Gales e Irlanda del Norte, eso significa acudir a Report Fraud, y en Escocia, a Police Scotland ^[14]. Los lectores de Estados Unidos cuyo número de Seguro Social, de tarjeta o de cuenta bancaria pueda haber quedado expuesto pueden seguir los pasos de IdentityTheft.gov ^[1].
5. Si pagó mediante un código QR manipulado, el FBI indica que lo denuncie, y advierte que las fuerzas del orden no pueden garantizar la recuperación de los fondos perdidos ^[7].

¿Cómo denunciar el phishing?

En el Reino Unido, reenvíe los correos sospechosos al Suspicious Email Reporting Service del NCSC en report@phishing.gov.uk ^[5]. En Estados Unidos, la FTC indica que se reenvíen los correos de phishing al Anti-Phishing Working Group en reportphishing@apwg.org, que se reenvíen los mensajes de texto de phishing a SPAM (7726) y que se denuncie el intento en ReportFraud.ftc.gov ^[1]. En Estados Unidos, las pérdidas por fraude también pueden denunciarse ante el IC3 del FBI ^[7]. Esta es información general, no asesoramiento financiero ni jurídico; su banco y su centro nacional de denuncias son las autoridades competentes para su caso.

¿Qué defensas frenan realmente el phishing?

La FTC enumera cuatro protecciones: software de seguridad en su computadora, actualizaciones automáticas en su teléfono, autenticación multifactor en sus cuentas y copias de seguridad de sus datos ^[1].

¿La autenticación multifactor frena el phishing?

Ayuda mucho, pero no del todo. La autenticación multifactor (MFA) exige dos o más tipos de prueba, como una contraseña más un código ^[10]. La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) explica que una técnica de phishing habitual lleva a los usuarios a una página de inicio de sesión falsa en la que introducen su nombre de usuario, su contraseña y el código de 6 dígitos de su aplicación de autenticación, que luego usa el atacante ^[10]. La CISA añade que los códigos enviados por mensaje de texto o por voz también pueden robarse aprovechando fallas de la red SS7 o mediante duplicados de SIM, y que los atacantes bombardean a los usuarios con notificaciones push hasta que pulsan Aceptar ^[10].

La CISA afirma que la única autenticación resistente al phishing ampliamente disponible es FIDO/WebAuthn, compatible con los principales navegadores, sistemas operativos y smartphones ^[10]. Aun así, afirma que cualquier forma de MFA es mejor que ninguna ^[10]. Las passkeys son credenciales FIDO que reemplazan las contraseñas por pares de claves criptográficas, y la FIDO Alliance afirma que, a diferencia de las contraseñas, las passkeys son siempre robustas y resistentes al phishing ^[11]. Añade que no hay contraseñas que robar de las bases de datos filtradas ^[11].

¿Qué más reduce el riesgo?

Revise lo que usted y otras personas publican sobre usted en internet y refuerce la configuración de privacidad de sus redes sociales, ya que los delincuentes usan esa información para personalizar los mensajes ^[3]. Denuncie los mensajes sospechosos: el NCSC afirma que denunciar reduce las estafas que usted recibe y ayuda a proteger a otras personas ^[3].