Resumen rápido: El phishing es una técnica de fraude digital en la que un ciberdelincuente suplanta la identidad de una empresa, banco o institución de confianza para engañarte y conseguir tus datos confidenciales (contraseñas, números de tarjeta, credenciales de acceso). Llega principalmente por correo electrónico, pero también por SMS (smishing), llamadas (vishing) o códigos QR (quishing). En 2025, INCIBE gestionó 25.133 casos específicos de phishing en España, y el país figura entre los cinco más atacados del mundo. La defensa más eficaz es sencilla: desconfía de la urgencia, nunca pulses enlaces de mensajes inesperados y verifica siempre por el canal oficial.
El phishing es, con diferencia, el fraude digital más extendido y persistente. En Jet Computer, tras más de una década asesorando a clientes sobre seguridad informática, hemos visto cómo esta técnica pasa de los correos mal traducidos y llenos de faltas de ortografía a mensajes indistinguibles de los reales, redactados con inteligencia artificial y personalizados con datos obtenidos de filtraciones previas.
Cualquiera puede ser víctima, y precisamente por eso conviene entender bien qué es el phishing, cómo actúa, qué modalidades existen y qué medidas concretas puedes aplicar hoy mismo para protegerte. Vamos con ello. 🎣
Qué es el phishing y de dónde viene el término
El phishing es una técnica de ciberdelincuencia basada en la ingeniería social que consiste en engañar a una persona para que revele información confidencial de forma voluntaria: contraseñas, números de cuenta, datos de tarjetas de crédito o credenciales corporativas.
El término deriva del inglés fishing (pescar), en alusión a la idea de lanzar un cebo y esperar a que alguien pique. La grafía con «ph» procede de la jerga de los primeros hackers telefónicos de los años setenta, conocidos como phreakers.
El método es siempre el mismo en su esencia: el atacante se hace pasar por una entidad de confianza (tu banco, tu compañía telefónica, una administración pública, una empresa de paquetería o incluso un compañero de trabajo) y te envía un mensaje que te empuja a actuar con rapidez. Al no atacar al software sino a la persona, ningún antivirus puede detenerlo por completo: la última barrera siempre eres tú.
Cómo funciona un ataque de phishing paso a paso
Aunque cada campaña tiene sus particularidades, la mecánica sigue un patrón muy definido que conviene conocer para reconocerlo a tiempo:
1. El cebo
Recibes un mensaje que aparenta proceder de una fuente legítima. El diseño imita los colores, el logotipo y el tono de la empresa real. Los asuntos más habituales son: tu cuenta ha sido bloqueada, hemos detectado un acceso sospechoso, tu paquete no ha podido entregarse o tienes una devolución pendiente de Hacienda.
2. La urgencia
Aquí está la clave psicológica de todo el ataque. El mensaje transmite presión temporal y consecuencias negativas: si no actúas en 24 horas perderás el acceso, se cancelará tu pedido o se te aplicará una sanción. Esta urgencia fabricada bloquea el pensamiento crítico y te empuja a actuar sin verificar.
3. El enlace fraudulento
El mensaje incluye un enlace que conduce a una web que imita fielmente a la legítima. Las réplicas actuales son prácticamente idénticas al original, incluyendo el certificado de seguridad y el candado del navegador. La única pista suele estar en la URL, que presenta variaciones sutiles respecto a la dirección real.
4. La captura de datos
Al introducir tus credenciales en esa web falsa, se las estás entregando directamente al atacante. En muchos casos la página te redirige después al sitio real para que no sospeches nada, dándote la impresión de que simplemente te equivocaste al teclear la contraseña.
5. La explotación
Con tus datos en su poder, el ciberdelincuente puede vaciar tus cuentas, suplantar tu identidad, acceder a tu correo corporativo, instalar malware o vender tu información en mercados clandestinos.
Tipos de phishing más frecuentes
El phishing ha evolucionado en múltiples variantes, cada una con su propio canal y su propia defensa. Estas son las modalidades que más vemos actualmente:
Phishing masivo
La modalidad clásica: envíos indiscriminados a millones de direcciones esperando que un pequeño porcentaje pique. Suele suplantar a bancos, servicios de streaming o plataformas de compra. Es el menos sofisticado pero sigue funcionando por puro volumen.
Spear phishing
Ataque dirigido a una persona concreta. El atacante investiga previamente a la víctima (redes sociales, filtraciones de datos, web corporativa) y personaliza el mensaje con información real: tu nombre, tu cargo, el nombre de tu jefe o un proyecto en el que trabajas. Su tasa de éxito llega a ser hasta diez veces superior a la del phishing masivo.
Whaling o «caza de ballenas»
Variante del spear phishing dirigida específicamente a altos directivos: consejeros delegados, directores financieros o responsables de compras. El objetivo es autorizar transferencias importantes o acceder a información estratégica.
BEC o fraude del CEO
El atacante suplanta a un directivo y solicita al departamento financiero una transferencia urgente y confidencial. Es una de las modalidades más rentables para los delincuentes y ha causado pérdidas millonarias a empresas de todos los tamaños.
Smishing (phishing por SMS)
Utiliza mensajes de texto en lugar del correo. Suele suplantar a empresas de paquetería, entidades bancarias o administraciones. Funciona bien porque los SMS generan más confianza y la pantalla del móvil dificulta verificar los enlaces. Lo tratamos a fondo en nuestra guía sobre smishing.
Vishing (phishing telefónico)
El engaño llega por llamada de voz. El atacante se hace pasar por el departamento antifraude de tu banco o por soporte técnico. En 2026 la variante más peligrosa emplea voces clonadas con inteligencia artificial. Puedes leer más en nuestro artículo sobre vishing.
Quishing (phishing por código QR)
Una de las modalidades de mayor crecimiento: los ataques mediante códigos QR aumentaron un 400% entre 2023 y 2025. El truco es eficaz porque el enlace malicioso va codificado dentro de una imagen, lo que esquiva los filtros de seguridad del correo, que solo analizan texto. Los QR fraudulentos aparecen en correos, carteles pegados sobre los originales en parquímetros o incluso en cartas impresas enviadas por correo postal.
Clone phishing
El atacante toma un correo legítimo que ya recibiste, lo duplica y sustituye los enlaces o adjuntos por versiones maliciosas. Al reconocer el mensaje como algo esperado, la víctima baja la guardia.
Adversary-in-the-Middle (AiTM)
Técnica avanzada que consigue saltarse la verificación en dos pasos. La web falsa actúa como intermediaria entre la víctima y el servicio real, capturando en tiempo real tanto la contraseña como el código de verificación y la cookie de sesión. Es la razón por la que el 2FA por SMS ya no se considera suficiente en entornos críticos.
Phishing generado con IA
La inteligencia artificial generativa ha eliminado la principal pista que delataba estos fraudes: los errores de redacción. Actualmente los mensajes son gramaticalmente impecables, están personalizados con datos reales y se producen a escala industrial. Aquel consejo clásico de «desconfía si tiene faltas de ortografía» ha dejado de ser fiable.
El phishing en España: datos actuales
Para dimensionar la amenaza, estos son los datos oficiales más recientes:
- 122.223 incidentes de ciberseguridad gestionados por INCIBE en 2025, un 26% más que el año anterior
- 25.133 casos específicos de phishing registrados en España durante 2025
- 45.445 fraudes online gestionados en el mismo periodo
- España figura entre los cinco países más atacados del mundo con spam y phishing
- +25% de crecimiento en fraudes por phishing y smishing durante 2025, especialmente en banca, logística y sanidad
- 4,8 millones de ataques registrados por el Anti-Phishing Working Group en 2024, cifra récord desde su creación en 2003
- +400% de aumento en ataques por código QR entre 2023 y 2025
Estas cifras confirman que no se trata de una amenaza residual, sino del principal vector de entrada de los ciberataques actuales.
Cómo identificar un correo de phishing
Reconocer un intento de fraude es más sencillo cuando sabes qué observar. Estas son las señales de alarma más fiables:
- Urgencia injustificada: plazos de horas, amenazas de bloqueo o sanciones inminentes
- Petición de datos confidenciales: ninguna entidad legítima solicita contraseñas o códigos por correo
- Remitente sospechoso: revisa la dirección completa, no solo el nombre mostrado
- Enlaces que no coinciden: pasa el ratón por encima sin pulsar y comprueba la URL real
- Saludos genéricos: «estimado cliente» en lugar de tu nombre, aunque el spear phishing sí lo personaliza
- Adjuntos inesperados: especialmente archivos comprimidos, ejecutables o documentos con macros
- Dominios con variaciones sutiles: letras cambiadas, guiones añadidos o extensiones distintas a la habitual
- Ofertas irresistibles: premios de sorteos en los que nunca participaste, devoluciones inesperadas
- Códigos QR en correos: desconfía de cualquier QR que llegue por email sin que lo esperases
Cabe insistir en un punto: la ausencia de faltas de ortografía ya no garantiza nada. Con la IA generativa, los mensajes fraudulentos están mejor redactados que muchos comunicados corporativos reales.
Cómo protegerte del phishing
Estas son las medidas que recomendamos aplicar, ordenadas por eficacia real:
Desconfía por sistema de la urgencia
Es la regla de oro. Cuando un mensaje te presione para actuar de inmediato, ese es precisamente el momento de detenerte. Los ataques funcionan porque impiden pensar. Tómate treinta segundos antes de pulsar cualquier cosa.
Nunca accedas desde el enlace del mensaje
Si crees que el mensaje puede ser real, no uses su enlace. Escribe tú mismo la dirección oficial en el navegador o accede desde la aplicación oficial de la entidad. Si hay un problema real con tu cuenta, lo verás igualmente al entrar por tu cuenta.
Verifica por el canal oficial
Ante la duda, llama al teléfono que aparece en la web oficial de la empresa o en el reverso de tu tarjeta, nunca al que figure en el mensaje sospechoso.
Activa la verificación en dos pasos
El 2FA añade una barrera adicional muy eficaz. Utiliza preferentemente aplicaciones autenticadoras (Google Authenticator, Microsoft Authenticator, Authy) o llaves físicas de seguridad, más resistentes que el SMS frente a ataques AiTM.
Usa un gestor de contraseñas
Además de generar claves únicas para cada servicio, los gestores solo autocompletan credenciales en la URL correcta. Si estás en una web falsa, el gestor no rellenará nada. Es una de las defensas antiphishing más infravaloradas.
Comprueba siempre la URL
Verifica que la dirección empiece por https:// y que el dominio sea exactamente el correcto. Ten presente que el candado del navegador solo indica que la conexión está cifrada, no que la web sea legítima: muchas páginas fraudulentas también lo tienen.
Mantén todo actualizado y protegido
Un sistema operativo al día y un antivirus actualizado bloquean muchos enlaces maliciosos antes de que llegues a la web falsa. También ayuda mantener un navegador seguro con protección antiphishing activada.
Forma a tu entorno
Explica estas señales a familiares y compañeros, especialmente a las personas mayores, que son objetivo prioritario. En el ámbito empresarial, la formación periódica del equipo reduce drásticamente la tasa de clics en campañas fraudulentas.
Qué hacer si has caído en un phishing
Si has introducido tus datos en una web fraudulenta, actúa con rapidez. Cada minuto cuenta:
- Cambia inmediatamente la contraseña del servicio afectado desde un dispositivo que no esté comprometido
- Cambia también las contraseñas repetidas en otros servicios donde uses la misma clave
- Contacta con tu banco si facilitaste datos financieros, para bloquear tarjetas y vigilar movimientos
- Activa la verificación en dos pasos en todas las cuentas importantes si aún no la tenías
- Cierra las sesiones abiertas desde la configuración de seguridad del servicio (importante frente a robo de cookies)
- Analiza el equipo con un antivirus actualizado por si se instaló algún malware
- Guarda las evidencias: capturas del mensaje, la URL fraudulenta y la hora
- Denuncia ante la Policía Nacional o la Guardia Civil si ha habido perjuicio económico
- Contacta con INCIBE en el 017, línea gratuita de ayuda en ciberseguridad
- Avisa a la entidad suplantada para que pueda alertar a otros clientes
Preguntas frecuentes sobre el phishing
¿Qué diferencia hay entre phishing y spam?
El spam es correo publicitario masivo no deseado, molesto pero generalmente inofensivo. El phishing, en cambio, tiene intención fraudulenta: busca robarte datos o dinero suplantando a una entidad de confianza. Todo phishing suele enviarse de forma masiva como el spam, pero no todo el spam es phishing. La diferencia clave está en la intención maliciosa y en la suplantación de identidad.
¿Basta con abrir un correo de phishing para infectarse?
Normalmente no. Abrir el correo en sí rara vez causa daño con los clientes de email modernos. El riesgo aparece al pulsar enlaces, descargar adjuntos o habilitar contenido. Eso sí, abrirlo puede confirmar al atacante que tu dirección está activa si el mensaje incluye imágenes rastreadoras, por lo que conviene tener desactivada la carga automática de imágenes en remitentes desconocidos.
¿El candado del navegador garantiza que una web es segura?
No, y es un malentendido muy extendido. El candado y el https:// solo indican que la conexión entre tu navegador y el servidor está cifrada, no que el sitio sea legítimo. Obtener un certificado es gratuito y sencillo, por lo que la gran mayoría de webs fraudulentas actuales también lo tienen. Lo que debes verificar siempre es el dominio exacto de la dirección.
¿Puede el phishing saltarse la verificación en dos pasos?
Sí, mediante técnicas llamadas Adversary-in-the-Middle. La web falsa actúa de intermediaria y captura en tiempo real tanto tu contraseña como el código de verificación y la cookie de sesión, entrando en la cuenta antes de que el código caduque. Por eso las aplicaciones autenticadoras y, sobre todo, las llaves físicas de seguridad son más recomendables que el 2FA por SMS.
¿Cómo denuncio un intento de phishing en España?
Puedes reportarlo al INCIBE llamando al teléfono gratuito 017 o a través de su web. Si ha habido perjuicio económico, presenta denuncia ante la Policía Nacional o la Guardia Civil aportando capturas del mensaje, la URL fraudulenta y cualquier justificante bancario. Conviene además avisar a la empresa suplantada, ya que muchas disponen de buzones específicos para reportar fraudes que utilizan su marca.
¿Recupero mi dinero si he sido víctima de phishing?
Depende del caso y de la rapidez con que actúes. La normativa europea de servicios de pago establece que el banco debe reembolsar las operaciones no autorizadas, salvo que se demuestre negligencia grave del cliente. En la práctica, muchos casos acaban en reclamación ante el Banco de España o en vía judicial. Denuncia y avisa al banco cuanto antes: la rapidez es determinante tanto para bloquear fondos como para respaldar tu reclamación.
¿Por qué recibo phishing con mi nombre real y datos correctos?
Porque tus datos han aparecido en alguna filtración. Los atacantes compran bases de datos robadas que incluyen nombres, correos, teléfonos y a veces hasta compras recientes, y las usan para dar credibilidad al mensaje. Puedes comprobar si tu correo aparece en filtraciones conocidas mediante el servicio gratuito Have I Been Pwned. Que conozcan tus datos no significa que hayan accedido a tus cuentas.