Qué es el Phishing: Tipos de Ataques, Nuevas Variantes y Cómo Protegerte
El phishing sigue siendo, año tras año, la puerta de entrada más usada por los ciberdelincuentes para robar credenciales, instalar malware o secuestrar información. Y en 2026, con la inteligencia artificial generando mensajes casi indistinguibles de una comunicación real, identificarlo se ha vuelto más difícil que nunca.
En este artículo revisamos qué son los ataques de phishing, sus variantes más recientes —incluyendo el phishing con IA, el smishing, el quishing y el phishing por WhatsApp— y qué puede hacer una empresa para reducir el riesgo.
Qué son los ataques de phishing
Los ataques de phishing son intentos de engañar a una persona para que entregue información sensible —contraseñas, datos bancarios, accesos corporativos— haciéndose pasar por una entidad confiable: un banco, un proveedor, una jefatura o incluso una plataforma interna de la empresa.
El mecanismo de fondo casi siempre es el mismo:
1. Se genera un mensaje que imita una comunicación legítima.
2. Se agrega un sentido de urgencia (“tu cuenta será bloqueada”, “factura pendiente de pago”).
3. Se dirige a la víctima hacia un enlace, archivo o número de contacto falso.
4. Se captura la información entregada o se ejecuta el malware descargado.
Lo que ha cambiado no es la lógica del engaño, sino los canales y la sofisticación con que se ejecuta. Por eso hoy hablamos de tipos de phishing en plural, y no de una sola amenaza genérica.
Tipos de phishing que toda empresa debería conocer
No todo el phishing llega por correo electrónico. Estas son las variantes más frecuentes hoy:
- Email phishing: La modalidad más común. Consiste en el envío de correos electrónicos fraudulentos que buscan engañar a la víctima para robar credenciales, obtener información confidencial o instalar malware.
- Spear phishing: Ataques altamente dirigidos a una persona u organización específica. Los ciberdelincuentes utilizan información real, como el nombre de un ejecutivo, un proyecto en curso o un proveedor conocido, para hacer que el mensaje parezca legítimo.
- Whaling: Una variante del spear phishing orientada a altos ejecutivos y personas con poder de decisión, como gerentes generales, directores o responsables financieros, debido al mayor valor de la información y los privilegios a los que tienen acceso.
- Vishing: Ataques de phishing realizados mediante llamadas telefónicas. Los delincuentes suelen hacerse pasar por ejecutivos bancarios, personal de soporte técnico o representantes de instituciones reconocidas para obtener datos confidenciales o inducir a realizar transferencias.
- Smishing, quishing y phishing por WhatsApp: Variantes que utilizan mensajes SMS, códigos QR yWhatsApp para engañar a las víctimas. Estas modalidades han experimentado un crecimiento significativo en Chile durante el último año y las analizaremos en detalle a continuación.
La tendencia es clara: los atacantes diversifican el canal porque el phishing por correo ya es el más conocido. Aparece en noticias, capacitaciones internas y campañas de prevención, así que los usuarios están más alertas ahí. El resto de las puertas —SMS, WhatsApp, códigos QR— todavía suele estar menos vigilada.
Phishing con inteligencia artificial: el salto de calidad que cambió las reglas
Hasta hace pocos años, el phishing se podía reconocer por errores de redacción, traducciones torpes o diseños poco convincentes. La inteligencia artificial generativa eliminó buena parte de esas señales.
Hoy es posible:
- Redactar correos con ortografía y tono perfectos, en el estilo real de una empresa o persona.
- Clonar la voz de un ejecutivo para una llamada de vishing (lo que se conoce como deepfake de voz).
- Generar sitios web falsos casi idénticos al original en minutos.
- Automatizar campañas de spear phishing personalizadas a gran escala, algo que antes requería investigación manual.
Esto significa que la recomendación tradicional de “fíjate si está mal escrito” ya no es suficiente. La detección debe apoyarse cada vez más en verificar el origen real del mensaje y en la tecnología de filtrado, más que en la intuición del usuario.
Smishing: cuando el phishing llega por SMS
El smishing es phishing a través de mensajes de texto. Suele simular notificaciones de envíos (Correos de Chile, Chilexpress, Starken), alertas bancarias o supuestos premios.
Su efectividad se explica por dos factores: los SMS generan más confianza inmediata que un correo, y en el teléfono es más difícil verificar visualmente un enlace antes de tocarlo. Un empleado que recibe un SMS “urgente” en su celular personal, fuera del horario laboral, tiene menos filtros de seguridad activos que frente a su computador de trabajo.
Quishing: el phishing oculto en códigos QR
El quishing aprovecha algo que la mayoría de las personas ya no cuestiona: escanear un código QR. Se ha detectado en menús de restaurantes reemplazados, paraderos, y hasta en correos corporativos que piden “escanear para verificar tu cuenta” en lugar de hacer clic en un enlace.
La razón por la que funciona tan bien es simple: un código QR no muestra la URL de destino antes de abrirla, a diferencia de un enlace de texto donde uno puede pasar el mouse por encima para revisar el dominio. Eso lo convierte en un vector casi invisible para los filtros tradicionales de seguridad de correo.
Phishing por WhatsApp: la puerta que muchos no cierran
En Chile, donde WhatsApp es el canal de comunicación cotidiano tanto personal como laboral, el phishing por WhatsApp ha crecido de forma sostenida. Las variantes más comunes incluyen:
- Mensajes de un supuesto “número nuevo” de un familiar, jefe o colega pidiendo una transferencia urgente.
- Enlaces a supuestos catálogos, promociones o “verificaciones de cuenta” de WhatsApp Business.
- Suplantación de proveedores reales con los que la empresa ya tiene relación comercial.
A diferencia del correo corporativo, WhatsApp rara vez pasa por un filtro de seguridad empresarial, lo que lo convierte en un canal atractivo para los atacantes y en un punto ciego frecuente dentro de las políticas de seguridad.
Cómo identificar un phishing
Aunque cada canal tiene sus particularidades, hay señales que se repiten:
- Urgencia artificial: “Tu cuenta será suspendida en 24 horas”, “pago pendiente vence hoy”.
- Remitente casi correcto, pero no exacto: Un dominio con una letra cambiada, un número de WhatsApp que no coincide con el guardado en la agenda.
- Solicitud de información que la entidad real nunca pediría por ese canal (claves, códigos de verificación, datos de tarjeta).
- Enlaces que no coinciden con el texto visible del mensaje.
- Contexto inesperado: Un mensaje sobre un tema que no tiene relación con ninguna gestión en curso.
La capacidad de un equipo para detectar estas señales suele marcar la diferencia entre un intento fallido y un incidente real. De hecho, en nuestro artículo sobre si tus usuarios saben reconocer un email falso o un link peligroso profundizamos en cómo evaluar el nivel de preparación real de un equipo frente a este tipo de amenazas.
Cómo evitar el phishing
No existe una única medida que elimine el riesgo, pero sí un conjunto de prácticas que lo reducen de forma significativa:
- Verificar por un canal alternativo antes de actuar sobre cualquier solicitud inusual (llamar directamente a la persona o entidad, no responder por el mismo canal sospechoso).
- Activar la autenticación multifactor (MFA) en todos los accesos críticos, para que una contraseña filtrada no sea suficiente para comprometer una cuenta.
- Mantener el software y los filtros de correo actualizados, ya que buena parte del phishing más simple se detiene antes de llegar a la bandeja de entrada gracias a tecnología de filtrado inteligente.
- Establecer protocolos claros para transferencias y pagos, que no dependan de un solo mensaje, sin importar cuán urgente parezca.
- Reportar internamente los intentos sospechosos, incluso cuando no se cae en ellos, para que el equipo de TI pueda alertar al resto de la organización.
La tecnología ayuda, pero el eslabón más importante sigue siendo el criterio humano entrenado.
Ingeniería social: la raíz detrás de todo phishing
El phishing es, en el fondo, una técnica de ingeniería social: la manipulación psicológica para que una persona actúe en contra de su propio criterio de seguridad. Se apoya en emociones concretas —miedo, urgencia, confianza, curiosidad— más que en vulnerabilidades técnicas.
Esto explica por qué ninguna herramienta, por sofisticada que sea, elimina el riesgo por completo: el objetivo del ataque no es el sistema, es la persona. Por eso la capacitación continua en ciberhigiene es una pieza tan relevante como cualquier filtro tecnológico. Si quieres profundizar en cómo estructurar esa formación dentro de tu empresa, en capacitación y ciberhigiene como requisito clave frente a la Ley Marco de Ciberseguridad revisamos qué debe incluir un programa de entrenamiento efectivo.
Ciberseguridad para empresas: por qué esto no es solo un problema de TI
Cuando un ataque de phishing tiene éxito dentro de una organización, rara vez el daño se limita a una sola persona. Puede derivar en el robo de credenciales de acceso a sistemas críticos, la instalación de malware o ransomware, o el punto de entrada para un ataque mucho mayor.
Por eso, incorporar el phishing dentro de una estrategia integral de ciberseguridad para empresas —y no tratarlo como un problema aislado de “cuidado con los correos”— es cada vez más una condición para operar con tranquilidad, especialmente en un contexto donde la regulación chilena en materia de ciberseguridad y protección de datos avanza con fuerza.
El phishing seguirá cambiando de forma —hoy es un QR, mañana será otro canal que aún no existe—, pero la base de la protección no cambia: personas informadas y procesos claros de verificación. En Netsus, acompañamos a empresas chilenas en fortalecer justamente ese equilibrio entre tecnología y criterio humano.
Si quieres conversar sobre cómo está la preparación de tu empresa frente a este tipo de amenazas, hablemos.
