Lo que hace que el phishing sea tan letal no es la sofisticación de la tecnología sino es la manipulación. La ingeniería social sigue siendo el vector de ataque más explotado, superando el acceso no autorizado, el malware y la explotación de vulnerabilidades. A diferencia de un ataque técnico que puede ser detectado por herramientas, el phishing depende de un clic humano. Y los humanos cometemos errores.
Según los datos relevados en el último ESET Security Report, el 73% de las empresas en América Latina afirman haber sido objetivo de campañas de phishing durante el 2025. Las organizaciones manufactureras registran el 81,4%, y el sector bancario alcanza el 100% de las instituciones que reportan intentos de phishing.
¿Qué sector sufre más por el phishing?
No todos los sectores en América Latina experimentan el phishing en la misma medida. Los datos muestran una concentración de riesgo en industrias específicas, y las razones varían desde la naturaleza del trabajo hasta la madurez de las defensas.
Diferentes sectores sufren de distintas maneras. El sector manufacturero aparece como uno de los más atacados, con un 81,1% de las organizaciones latinoamericanas que reportaron haber sufrido ataques de phishing, lo que indica que las empresas manufactureras son objetivos especialmente atractivos. Por otro lado, el sector de educación registra un 81,4%, explicado en parte por un fenómeno que combina infraestructuras antiguas, ciclos de actualización más lentos y equipos con menos experiencia en seguridad.
El sector de Banca y Finanzas registra el 79,6% de los intentos de phishing en América Latina. Gobierno y Salud, a su vez, registran el 72,6% y el 67,6% respectivamente en la región, cifras que siguen siendo alarmantemente altas.
La conclusión es sencilla: los sectores con datos sensibles o acceso a recursos críticos son una prioridad para los delincuentes. Y no es casualidad que precisamente las industrias con menor capacidad defensiva acaben siendo las más atacadas.
¿Por qué funciona el phishing?
El phishing no es un ataque sofisticado porque utilice tecnología avanzada. Es sofisticado porque explota el elemento más débil de cualquier sistema de seguridad: el ser humano.
La ingeniería social sigue siendo el vector de ataque más explotado en América Latina, superando el acceso no autorizado, el malware y la explotación de vulnerabilidades. Los delincuentes entienden que derrotar a una persona es mucho más fácil que superar un firewall.
El phishing funciona porque explota tres cosas: confianza, prisa y conocimiento limitado. Un correo electrónico que parece legítimo, aparentemente de un compañero o responsable, con una solicitud urgente genera pánico. En este punto, el cerebro está en modo reactivo, no reflexivo. La persona hace clic antes de pensar.
A nivel global, los datos del ESET Threat Report del primer semestre de 2026 muestran la evolución de esta táctica. Los delincuentes no solo envían correos electrónicos evidentes con errores tipográficos. Están personalizando ataques, usando información específica de la empresa, suplantando dominios y expandiéndose a nuevas plataformas como los códigos QR en los correos electrónicos, que evaden el escaneo tradicional.
El phishing funciona porque es sencillo de realizar, demasiado efectivo y, en la mayoría de los casos, la víctima no sabe que ha sido objetivo hasta mucho más tarde.
Cómo reconocer phishing sofisticado
El phishing de hoy no es el correo obvio con errores tipográficos y enlaces extraños. Es demasiado sofisticado para ser fácil de detectar.
Los delincuentes están utilizando varias técnicas nuevas. Como ejemplo, hemos visto en una campaña reciente cómo se había utilizado correos electrónicos con el asunto "Nuevo buzón de voz" para suplantar la propia cuenta de la víctima como remitente, creando la ilusión de que el mensaje se había originado dentro de la empresa.
En este caso, el archivo adjunto era un archivo .svg, un formato menos común que puede eludir los filtros de seguridad tradicionales. Cuando la víctima abría el archivo, era redirigida a una página que imitaba el inicio de sesión de Outlook, donde se les robaban las credenciales.
A nivel global, se han reportado otras tácticas que utilizan códigos QR distribuidos en correos electrónicos, o la técnica de ClickFix, que simulan fallos del navegador y piden al usuario que tome medidas urgentes.
Para mantenerte protegido ante esta amenaza, algunas recomendaciones: no hagas clic en links de mails no solicitados o de dudosa procedencia y desconfía especialmente de asuntos que te generen un sentido de urgencia o alerta. Ten especial cuidado con adjuntos inesperados, especialmente en formatos menos comunes como .SVG.
En resumen, si algo parece urgente y llega por correo electrónico, es una señal de alarma, mejor comunícate con el remitente por una vía oficial.
La seguridad se comparte: lo que las empresas y las personas necesitan hacer
La seguridad contra el phishing no es solo responsabilidad de la empresa. Se comparte entre la organización y cada persona que utiliza el correo corporativo.
Para las empresas, el primer paso es obvio, pero a menudo se pasa por alto: la visibilidad. Si no puedes detectar un ataque, no puedes responder. El firewall, el EDR y los sistemas de respaldo son defensas básicas que deben estar en su lugar y, lo que es más importante, deben ser monitorizadas. Y por supuesto, fortalecer las políticas de autenticación, mantener los sistemas actualizados.
La formación en seguridad no es una actividad anual aburrida. Es lo que diferencia a las empresas que filtran datos de las que no lo hacen. Mostrar ejemplos reales de phishing que circulan hoy, ayuda a la gente a reconocer patrones.
La realidad es clara: el phishing sigue funcionando porque realmente funciona. Los criminales no cambian de arma cuando el arma sigue las defensas corporativas. La seguridad solo cambia cuando las organizaciones entienden que la invisibilidad es el verdadero problema, no la falta de herramientas. Y cuando cada persona entiende que un clic equivocado no es un error personal, es exactamente lo que el criminal planeó.
