{"id":99,"date":"2026-11-04T19:00:00","date_gmt":"2026-11-05T01:00:00","guid":{"rendered":"https:\/\/cloudstudio.mx\/blog\/?p=99"},"modified":"2026-11-04T19:00:00","modified_gmt":"2026-11-05T01:00:00","slug":"que-es-phishing","status":"publish","type":"post","link":"https:\/\/cloudstudio.mx\/blog\/ciberseguridad\/que-es-phishing\/","title":{"rendered":"Qu\u00e9 es phishing y c\u00f3mo proteger a tu equipo"},"content":{"rendered":"<p>El phishing es un enga\u00f1o en el que alguien se hace pasar por un banco, el SAT, un proveedor o tu propio jefe para que entregues contrase\u00f1as, datos o dinero, o para que abras un archivo infectado. Llega por correo, SMS, WhatsApp, llamadas y hasta c\u00f3digos QR.<\/p>\n<p>El nombre viene de <em>fishing<\/em>, pescar en ingl\u00e9s: el atacante lanza un anzuelo y espera a que alguien muerda. Sigue funcionando porque ataca a las personas y no a los sistemas. El <a href=\"https:\/\/www.verizon.com\/business\/resources\/executivebriefs\/dbir-2026-executive-summary.pdf\">Data Breach Investigations Report 2026 de Verizon<\/a> encontr\u00f3 que el elemento humano estuvo presente en 62% de las brechas analizadas y que el phishing fue la v\u00eda de entrada en 16% de ellas. Por eso la defensa combina capacitaci\u00f3n con buenas configuraciones, y estas \u00faltimas se cuidan mejor con un <a href=\"https:\/\/cloudstudio.mx\/servicios\/mantenimiento\">soporte t\u00e9cnico que vigila accesos, parches y cuentas de tu sitio<\/a>.<\/p>\n<h2>C\u00f3mo funciona un ataque de phishing<\/h2>\n<p>Casi todos siguen la misma receta. Primero, un pretexto cre\u00edble: un pago pendiente, una devoluci\u00f3n de impuestos, un paquete retenido o una factura vencida. Luego, urgencia, para que act\u00faes sin pensar. Al final, una acci\u00f3n concreta: entrar a un enlace, abrir un adjunto, dictar un c\u00f3digo o hacer una transferencia.<\/p>\n<p>Un ejemplo mexicano reciente: en abril de 2026, la <a href=\"https:\/\/www.ssc.cdmx.gob.mx\/comunicacion\/nota\/COM1243-29-04-2026\">Secretar\u00eda de Seguridad Ciudadana de la CDMX alert\u00f3<\/a> sobre mensajes falsos de devoluci\u00f3n de impuestos que suplantan al SAT. Llegan por correo, SMS o apps de mensajer\u00eda y usan frases como &#8220;\u00faltimo aviso&#8221;, &#8220;devoluciones pendientes&#8221; o &#8220;acci\u00f3n inmediata requerida&#8221;. El enlace lleva a una copia del portal del SAT que pide datos personales y bancarios. El propio <a href=\"https:\/\/www.gob.mx\/sat\/prensa\/pide-sat-usar-solo-medios-de-contacto-oficiales-para-evitar-fraudes-27-2026?idiom=es\">SAT recuerda que no solicita claves, contrase\u00f1as ni informaci\u00f3n personal<\/a> por esas v\u00edas.<\/p>\n<p>En una empresa, el objetivo m\u00e1s valioso suele ser el correo. Con la contrase\u00f1a de una cuenta de correo, el atacante puede leer conversaciones con clientes, pedir cambios de cuenta bancaria a nombre de tu empresa o restablecer las contrase\u00f1as de otros servicios.<\/p>\n<h2>Tipos de phishing que llegan a una pyme<\/h2>\n<p>El canal cambia, pero el truco es el mismo. Estos son los que m\u00e1s vale la pena reconocer:<\/p>\n<table>\n<thead>\n<tr>\n<th>Tipo<\/th>\n<th>Canal<\/th>\n<th>C\u00f3mo se ve<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Phishing masivo<\/td>\n<td>Correo<\/td>\n<td>Aviso gen\u00e9rico de banco, paqueter\u00eda o plataforma de streaming con un enlace para &#8220;verificar tu cuenta&#8221;<\/td>\n<\/tr>\n<tr>\n<td>Spear phishing (dirigido)<\/td>\n<td>Correo<\/td>\n<td>Mensaje con tu nombre, tu puesto y un proveedor real, preparado para ti<\/td>\n<\/tr>\n<tr>\n<td>Fraude del CEO o BEC<\/td>\n<td>Correo o WhatsApp<\/td>\n<td>&#8220;Soy el director, necesito una transferencia urgente y confidencial&#8221; o &#8220;cambiamos de cuenta bancaria, p\u00e1gale aqu\u00ed a partir de hoy&#8221;<\/td>\n<\/tr>\n<tr>\n<td>Smishing<\/td>\n<td>SMS<\/td>\n<td>&#8220;Tu paquete est\u00e1 retenido, paga el env\u00edo en este enlace&#8221;<\/td>\n<\/tr>\n<tr>\n<td>Vishing<\/td>\n<td>Llamada<\/td>\n<td>Supuesto ejecutivo del banco que pide el c\u00f3digo que te acaba de llegar<\/td>\n<\/tr>\n<tr>\n<td>Quishing<\/td>\n<td>C\u00f3digo QR<\/td>\n<td>QR pegado en un volante, una factura o un estacionamiento que lleva a un sitio falso<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>BEC son las siglas en ingl\u00e9s de compromiso del correo empresarial. Los canales m\u00f3viles merecen atenci\u00f3n especial: seg\u00fan el <a href=\"https:\/\/www.verizon.com\/business\/resources\/executivebriefs\/dbir-2026-executive-summary.pdf\">mismo informe de Verizon<\/a>, en simulaciones de phishing la tasa mediana de clics por voz y mensajes de texto es 40% m\u00e1s alta que por correo. El celular se revisa con prisa y en una pantalla chica que oculta la direcci\u00f3n real de los enlaces.<\/p>\n<h2>Se\u00f1ales para detectar un mensaje falso<\/h2>\n<p>Ninguna se\u00f1al es definitiva, pero dos o tres juntas bastan para detenerte:<\/p>\n<ul>\n<li>Urgencia o amenaza: &#8220;tu cuenta ser\u00e1 suspendida hoy&#8221;, &#8220;\u00faltimo aviso&#8221;.<\/li>\n<li>Te pide contrase\u00f1as, c\u00f3digos de verificaci\u00f3n, datos de tarjeta o una transferencia.<\/li>\n<li>El remitente no coincide: el nombre dice &#8220;Banco&#8221; pero la direcci\u00f3n es de Gmail o tiene letras cambiadas.<\/li>\n<li>El enlace no lleva a donde dice. En computadora, pasa el cursor encima sin dar clic; en celular, mant\u00e9n presionado para ver la direcci\u00f3n.<\/li>\n<li>Adjuntos inesperados, sobre todo comprimidos o archivos que piden &#8220;habilitar contenido&#8221;.<\/li>\n<li>Un cambio de cuenta bancaria de un proveedor que llega solo por correo.<\/li>\n<\/ul>\n<p>Ya no te f\u00edes de la ortograf\u00eda. Con herramientas de inteligencia artificial, un mensaje falso puede estar perfectamente escrito e incluso imitar el estilo de alguien que conoces.<\/p>\n<h2>La regla del segundo canal<\/h2>\n<p>La defensa m\u00e1s \u00fatil para un equipo no t\u00e9cnico cabe en una regla que en CloudStudio llamamos la regla del segundo canal: toda solicitud que involucre dinero, contrase\u00f1as o datos se confirma por un medio distinto al que us\u00f3 el mensaje, elegido por ti. En la pr\u00e1ctica:<\/p>\n<ol>\n<li>Detente. La urgencia es la herramienta del atacante, y cinco minutos de verificaci\u00f3n casi nunca cuestan una venta.<\/li>\n<li>No uses los datos del mensaje. Ni el tel\u00e9fono de la firma ni el enlace del correo: busca el contacto en tu directorio, en una factura anterior o escribe t\u00fa la direcci\u00f3n del sitio en el navegador.<\/li>\n<li>Confirma con la persona o empresa por ese otro canal: si el correo es del director, ll\u00e1male; si el WhatsApp es del proveedor, escr\u00edbele a su correo de siempre.<\/li>\n<li>Para cambios de cuenta bancaria, exige confirmaci\u00f3n por llamada con alguien que ya conoces antes del primer pago a la cuenta nueva.<\/li>\n<li>Reporta el mensaje al responsable de sistemas aunque no hayas ca\u00eddo, para avisar al resto del equipo.<\/li>\n<\/ol>\n<p>Imagina una distribuidora en Monterrey que recibe un correo de su proveedor habitual con una factura y una nueva CLABE (la clave bancaria estandarizada que se usa para transferencias en M\u00e9xico). Con la regla, la persona de pagos llama al n\u00famero de siempre del proveedor y descubre que nadie cambi\u00f3 de banco. Sin ella, el pago se va a la cuenta del atacante y es muy dif\u00edcil recuperarlo.<\/p>\n<h2>Defensas t\u00e9cnicas que s\u00ed funcionan<\/h2>\n<p>La capacitaci\u00f3n reduce los clics, pero alguien va a caer tarde o temprano. Por eso conviene que un clic no sea suficiente para que el atacante entre:<\/p>\n<ul>\n<li>Verificaci\u00f3n en dos pasos (MFA, autenticaci\u00f3n multifactor) en correo, banca, hosting (el servicio donde vive tu sitio web) y redes sociales. La CISA, la agencia de ciberseguridad de Estados Unidos, recomienda en sus <a href=\"https:\/\/www.cisa.gov\/audiences\/small-and-medium-businesses\/secure-your-business\/smb-resources\">recursos para peque\u00f1as empresas<\/a> pasar a formas de MFA resistentes al phishing, como las passkeys (credenciales guardadas en tu tel\u00e9fono o computadora) o las llaves f\u00edsicas, que no se pueden dictar por tel\u00e9fono ni capturar en un sitio falso.<\/li>\n<li>Gestor de contrase\u00f1as, la app que crea y guarda tus contrase\u00f1as: solo autocompleta en el sitio leg\u00edtimo, as\u00ed que si no rellena la contrase\u00f1a, algo raro pasa.<\/li>\n<li>Filtros de correo bien configurados y actualizaciones autom\u00e1ticas en equipos y navegadores.<\/li>\n<li>Autenticaci\u00f3n de tu dominio de correo con SPF, DKIM y DMARC.<\/li>\n<\/ul>\n<p>SPF, DKIM y DMARC son registros del DNS (la configuraci\u00f3n p\u00fablica de tu dominio) que permiten a otros servidores comprobar que un correo con tu dominio de verdad sali\u00f3 de ti. Adem\u00e1s de proteger a tus clientes de correos falsos con tu marca, mejoran tu entrega: desde el 1 de febrero de 2024, Google <a href=\"https:\/\/support.google.com\/a\/answer\/81126?hl=es\">exige SPF o DKIM a todos los remitentes que escriben a cuentas de Gmail, y DMARC a quienes env\u00edan m\u00e1s de 5,000 mensajes al d\u00eda<\/a> (consultado el 2 de noviembre de 2026). Si tu correo, tu dominio y tu sitio est\u00e1n repartidos entre varios proveedores, una buena <a href=\"https:\/\/cloudstudio.mx\/servicios\/infraestructura\">configuraci\u00f3n de correo, DNS y servidores en la nube<\/a> evita que esos registros queden a medias.<\/p>\n<h2>C\u00f3mo entrenar a tu equipo sin aburrirlo<\/h2>\n<p>Una pl\u00e1tica anual no cambia h\u00e1bitos. Funciona mejor la pr\u00e1ctica corta y frecuente:<\/p>\n<ul>\n<li>Sesiones de 15 minutos al mes con ejemplos reales que le llegaron a tu propia empresa.<\/li>\n<li>Simulaciones de phishing internas, avisando al equipo que se har\u00e1n, para medir y practicar.<\/li>\n<li>Un canal claro para reportar, como un correo o un chat de sistemas, con respuesta r\u00e1pida.<\/li>\n<li>Reconocer a quien reporta, incluso si dio clic. Si caer se castiga, la gente lo esconde y pierdes horas valiosas.<\/li>\n<\/ul>\n<p>En las simulaciones, mide dos cosas: cu\u00e1ntas personas dan clic y cu\u00e1ntas reportan el mensaje. La segunda cifra importa m\u00e1s de lo que parece, porque un reporte r\u00e1pido le da tiempo a quien administra el correo de borrar el mensaje de las dem\u00e1s bandejas antes de que alguien m\u00e1s caiga.<\/p>\n<h2>Qu\u00e9 hacer si alguien ya cay\u00f3<\/h2>\n<p>Lo primero es avisar de inmediato. Despu\u00e9s, seg\u00fan lo que haya pasado:<\/p>\n<ol>\n<li>Si escribi\u00f3 su contrase\u00f1a en un sitio falso: c\u00e1mbiala desde otro equipo, cierra las sesiones abiertas y activa la verificaci\u00f3n en dos pasos.<\/li>\n<li>Si dio datos bancarios o hizo un pago: llamen al banco en ese momento para intentar detener la operaci\u00f3n.<\/li>\n<li>Si abri\u00f3 un adjunto: desconecta el equipo de la red y que lo revise alguien t\u00e9cnico antes de volver a usarlo.<\/li>\n<li>Si las credenciales eran del sitio web o del hosting: sigue los pasos para una <a href=\"https:\/\/cloudstudio.mx\/blog\/ciberseguridad\/pagina-web-hackeada\/\">p\u00e1gina web hackeada<\/a>, aunque todav\u00eda no veas da\u00f1os.<\/li>\n<li>Guarda evidencia (capturas, correo original, n\u00fameros) y rep\u00f3rtalo al <a href=\"https:\/\/www.gob.mx\/guardianacional\/prensa\/guardia-nacional-realiza-campana-nacional-de-ciberseguridad-2026-internet-seguro-para-todas-y-todos\">088 de la Guardia Nacional<\/a>. Si el mensaje suplantaba al SAT, puedes reportarlo en denuncias@sat.gob.mx.<\/li>\n<\/ol>\n<p>En CloudStudio recomendamos que cada empresa tenga escrito, en una sola p\u00e1gina, a qui\u00e9n avisar y qu\u00e9 hacer en cada uno de estos casos. El phishing es una pieza de un plan m\u00e1s amplio que explicamos en la <a href=\"https:\/\/cloudstudio.mx\/blog\/ciberseguridad\/ciberseguridad-y-privacidad-en-la-vida-digital-guia-practica-para-usuarios-y-empresas\/\">gu\u00eda de ciberseguridad y privacidad para empresas<\/a>.<\/p>\n<h2>Preguntas frecuentes<\/h2>\n<h3>\u00bfQu\u00e9 pasa si solo abr\u00ed el correo pero no di clic?<\/h3>\n<p>En la mayor\u00eda de los casos no pasa nada: el riesgo est\u00e1 en dar clic, abrir adjuntos o responder. Aun as\u00ed, no respondas, rep\u00f3rtalo y b\u00f3rralo. Si tu correo carga im\u00e1genes autom\u00e1ticamente, el atacante puede saber que lo abriste y volver a intentarlo.<\/p>\n<h3>\u00bfCu\u00e1l es la diferencia entre phishing y spam?<\/h3>\n<p>El spam es publicidad no solicitada: molesta, pero no busca robarte. El phishing es un enga\u00f1o dise\u00f1ado para quitarte credenciales, datos o dinero. Un correo puede ser las dos cosas, por eso conviene tratar con cuidado cualquier mensaje no esperado.<\/p>\n<h3>\u00bfC\u00f3mo denuncio un intento de phishing en M\u00e9xico?<\/h3>\n<p>Llama al 088, donde la Guardia Nacional orienta y canaliza denuncias. En la CDMX tambi\u00e9n atiende la Polic\u00eda Cibern\u00e9tica de la SSC. Si suplantan al SAT, rep\u00f3rtalo en denuncias@sat.gob.mx, y si suplantan a tu banco, av\u00edsale por sus canales oficiales.<\/p>\n<h3>\u00bfCu\u00e1nto tiempo toma capacitar a un equipo contra el phishing?<\/h3>\n<p>Menos de lo que parece. Un ejemplo hipot\u00e9tico: con sesiones de 15 minutos al mes, un equipo de 20 personas invierte 5 horas de trabajo al mes en total, que equivalen a 3 horas por persona al a\u00f1o. Lo que cuesta m\u00e1s es la constancia: el aprendizaje se pierde si pasan meses sin pr\u00e1ctica.<\/p>\n<p>Si quieres revisar qu\u00e9 tan expuesto est\u00e1 tu equipo, <a href=\"https:\/\/cloudstudio.mx\/agendar\">agenda una llamada con nosotros<\/a> y revisamos juntos tu correo, tu dominio y los accesos que un clic equivocado podr\u00eda poner en riesgo.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Qu\u00e9 es phishing, c\u00f3mo reconocer correos, SMS y WhatsApp falsos, y la regla del segundo canal para que tu equipo no caiga en fraudes como el del SAT.<\/p>\n","protected":false},"author":1,"featured_media":100,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[33],"tags":[],"class_list":["post-99","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ciberseguridad"],"_links":{"self":[{"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/posts\/99","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/comments?post=99"}],"version-history":[{"count":1,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/posts\/99\/revisions"}],"predecessor-version":[{"id":154,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/posts\/99\/revisions\/154"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/media\/100"}],"wp:attachment":[{"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/media?parent=99"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/categories?post=99"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/tags?post=99"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}