Phishing.

Por qué el phishing sigue siendo el principal punto de entrada

El phishing perdura porque ataca a la persona, no al perímetro. Todos los demás controles pueden estar perfectamente configurados y el atacante sigue necesitando solo a un empleado que haga clic en un enlace, abra un archivo o escriba una contraseña en una falsificación convincente. El mensaje llega por un canal de confianza, normalmente el correo electrónico pero cada vez más el SMS y la voz, y toma la apariencia y el tono de una marca, un colega o un sistema interno del que la víctima ya espera recibir noticias.

Como la carga útil suele residir tras un dominio recién registrado o una página de inicio de sesión en la nube de aspecto legítimo, los filtros basados en firmas y las listas de reputación llegan con frecuencia demasiado tarde. La economía también favorece al atacante: una sola plantilla puede difundirse a miles de destinatarios a un coste casi nulo, y un solo éxito puede entregar credenciales que desbloquean todo lo demás.

Lo que vigilan los profesionales es el cambio del volumen a la precisión. El phishing masivo es una red amplia, pero los incidentes costosos suelen empezar con un mensaje a medida que claramente ha hecho los deberes sobre el objetivo, el organigrama y el momento.

Las variantes que importan en la práctica

El phishing es una familia, no una sola técnica. La lógica de la ingeniería social se mantiene constante mientras el canal y el objetivo cambian.

• Spear phishing: un mensaje dirigido elaborado para una persona o equipo concretos, que utiliza nombres, proyectos y contexto reales para reducir la sospecha.
• Whaling: spear phishing dirigido a directivos y otros aprobadores de alto valor, donde una sola cuenta comprometida conlleva una autoridad desproporcionada.
• Smishing: phishing distribuido por SMS, a menudo un aviso falso de entrega, banco o restablecimiento de MFA que explota la pantalla más pequeña y el hábito de confiar en los mensajes de texto.
• Vishing: phishing por llamada de voz, donde un atacante presiona a la víctima en tiempo real, cada vez más ayudado por números suplantados y audio sintético.
• Business email compromise: un subtipo de pretexting que apunta directamente a los procesos de pago y de datos, normalmente sin ningún enlace ni archivo adjunto malicioso.

Lo que realmente reduce el riesgo

La formación en concienciación es necesaria pero no suficiente. Las personas siempre harán clic en una cierta proporción de los casos, por lo que el objetivo es eliminar el valor de un clic en lugar de exigir la perfección a los usuarios. El control técnico decisivo es la autenticación multifactor resistente al phishing, es decir, factores vinculados al dominio legítimo, como las llaves de seguridad FIDO2 o las passkeys, que una página de inicio de sesión falsa no puede reproducir. Detrás de eso se sitúan, en capas, los controles que atrapan lo que se escapa.

• MFA resistente al phishing en cada cuenta que importa, de modo que una contraseña robada por sí sola no baste para iniciar sesión.
• Autenticación del correo electrónico con SPF, DKIM y DMARC para aumentar el coste de la suplantación de dominio, junto con una pasarela de correo segura y la reescritura de enlaces o el sandboxing.
• Formación en concienciación continua y basada en escenarios, más phishing simulado, medida para mejorar con el tiempo en lugar de para castigar a las personas.
• Un botón de notificación sin fricciones y un proceso de respuesta rápido, porque las personas que notifican son el sistema de alerta temprana para las que hicieron clic.

El lugar del phishing en las normas y la regulación

El phishing se sitúa de lleno dentro del alcance de un sistema de gestión de seguridad de la información. Bajo un SGSI ISO/IEC 27001, el tratamiento pertinente combina formación en concienciación, control de acceso y los controles técnicos de correo y autenticación, todos seleccionados mediante la evaluación de riesgos en lugar de añadidos por reflejo.

Las orientaciones europeas de ENISA y de autoridades nacionales como ANSSI clasifican sistemáticamente el phishing entre las principales técnicas de acceso inicial y publican contramedidas prácticas. Cuando un phishing exitoso expone datos personales, por ejemplo a través de un buzón comprometido, también puede activar obligaciones de violación de datos personales en virtud del GDPR, lo que significa que el área legal y la función de protección de datos deben formar parte del plan de respuesta, junto a TI y seguridad.

Para los profesionales, la lección es que la defensa contra el phishing es por capas y compartida. Ninguna herramienta ni campaña de concienciación la cierra por sí sola. La postura duradera combina personas, procesos y diseño de la autenticación de modo que un clic, que tarde o temprano ocurrirá, no se convierta en una brecha.