La ingeniería social continúa siendo una de las principales vías utilizadas por los ciberdelincuentes para conseguir acceso a organizaciones. El problema es que las campañas actuales ya no se limitan a mensajes evidentes con errores ortográficos o enlaces sospechosos. Los atacantes investigan a sus objetivos, utilizan información pública, aprovechan servicios legítimos y, cada vez más, emplean inteligencia artificial para crear comunicaciones convincentes.
Microsoft informó que durante el primer trimestre de 2026 detectó aproximadamente 8.300 millones de amenazas de phishing basadas en correo electrónico. En el mismo periodo, el phishing mediante códigos QR se convirtió en uno de los vectores de crecimiento más rápido.
Para los dueños de empresas, gerentes de TI y responsables de seguridad de la información, conocer estas técnicas es fundamental para diseñar una estrategia de protección contra phishing y ataques de ingeniería social que combine personas, procesos y tecnología.
¿Por qué el spear phishing es tan difícil de detectar?
A diferencia del phishing masivo, el spear phishing está dirigido a una persona, departamento o empresa concreta. El atacante puede estudiar el cargo de la víctima, sus relaciones profesionales, proveedores, proyectos, comunicaciones públicas y otros datos disponibles para construir un mensaje personalizado.
Esto hace que una amenaza pueda parecer legítima incluso para un empleado con experiencia.
Además, Microsoft ha observado que la inteligencia artificial está ayudando a los atacantes a crear mensajes más personalizados y eficientes. En su análisis de 2025, Microsoft reportó tasas de interacción significativamente superiores en campañas de phishing automatizadas mediante IA frente a intentos tradicionales.
1. Suplantación de ejecutivos y fraude corporativo
Una técnica especialmente peligrosa es la suplantación de directivos, también conocida como Business Email Compromise (BEC).
El atacante intenta hacerse pasar por el CEO, gerente financiero, jefe de TI o un proveedor para solicitar una transferencia, modificar datos bancarios o compartir información confidencial.
Lo peligroso es que el mensaje puede no contener malware ni enlaces maliciosos. Puede consistir simplemente en una petición aparentemente normal:
“Necesito que realices este pago antes del cierre de hoy”.
La urgencia y la autoridad del supuesto remitente buscan evitar que el empleado compruebe la solicitud.
2. Compromiso de cuentas legítimas
Otra técnica difícil de identificar ocurre cuando los delincuentes consiguen controlar una cuenta real de correo electrónico.
En lugar de enviar un mensaje desde un dominio falso, pueden utilizar una cuenta empresarial comprometida para comunicarse con clientes, proveedores o colaboradores. El correo procede entonces de una dirección conocida y puede incluso utilizar conversaciones anteriores para mantener el contexto.
Para el usuario final, distinguir entre el propietario legítimo y un atacante que controla la cuenta puede ser extremadamente difícil.
Por ello, la protección no debe depender únicamente de revisar el dominio del remitente. Es necesario incorporar monitoreo de identidad, autenticación robusta y análisis de comportamiento.
3. Phishing con códigos QR: “Quishing”
El quishing, término utilizado para describir el phishing mediante códigos QR, está ganando relevancia.
El atacante puede enviar un correo que aparentemente contiene una notificación corporativa y colocar dentro una imagen QR. Al escanearla desde un teléfono móvil, el usuario es redirigido a una página falsa de autenticación.
Microsoft observó que el volumen de phishing mediante QR aumentó un 146 % durante el primer trimestre de 2026, convirtiéndose en uno de los vectores de crecimiento más rápido.
Este método puede ser especialmente efectivo porque el usuario abandona el entorno donde recibió el correo y continúa la interacción desde otro dispositivo.
4. Ataques Adversary-in-the-Middle (AiTM)
Algunas campañas modernas no buscan solamente obtener la contraseña. Intentan interceptar el proceso de autenticación para capturar sesiones o tokens.
Los ataques Adversary-in-the-Middle (AiTM) pueden situar al usuario frente a una página que actúa como intermediaria entre la víctima y el servicio legítimo.
Microsoft ha documentado campañas en las que este tipo de phishing podía superar formas de autenticación multifactor que no son resistentes al phishing.
Por eso, habilitar MFA es importante, pero las organizaciones con información crítica deben considerar mecanismos phishing-resistant MFA, como las credenciales basadas en estándares modernos de autenticación.
NIST recomienda evaluar específicamente el uso de autenticación resistente al phishing para proteger cuentas empresariales.
5. Phishing mediante servicios legítimos
Otra característica de las campañas actuales es el abuso de plataformas y servicios legítimos.
Los atacantes pueden utilizar servicios de almacenamiento, formularios, plataformas de colaboración o herramientas de redireccionamiento para crear una cadena que parezca normal.
El problema es que bloquear todos estos servicios podría afectar la productividad empresarial. Por ello, la detección debe considerar también el contexto, el comportamiento y el destino final de la comunicación.
6. Ingeniería social con inteligencia artificial
La IA está cambiando la forma en que se diseñan los ataques.
Los delincuentes pueden utilizar herramientas automatizadas para generar comunicaciones con mejor gramática, adaptar el lenguaje al país de la víctima, personalizar mensajes según el puesto de trabajo y producir grandes cantidades de contenido.
Microsoft ha señalado que los actores de amenazas están utilizando IA para ampliar y mejorar campañas de phishing.
Además, la suplantación puede extenderse a otros canales: mensajes instantáneos, llamadas telefónicas y contenidos audiovisuales manipulados. El resultado es una amenaza mucho más difícil de identificar basándose únicamente en errores de redacción o señales visuales.
7. Ataques multicanal
Una de las tácticas más sofisticadas es combinar varios canales.
Por ejemplo, el atacante puede iniciar el contacto mediante correo electrónico, continuar por mensajería y posteriormente realizar una llamada telefónica para reforzar la historia.
Este enfoque aumenta la credibilidad porque la víctima interpreta cada comunicación como una confirmación independiente.
NIST recuerda que el phishing no se limita al correo electrónico y puede producirse también mediante mensajes de texto, llamadas, redes sociales y otros medios.
¿Cómo pueden protegerse las empresas?
La defensa eficaz necesita varias capas. La primera consiste en implementar seguridad de correo electrónico, análisis de URLs y archivos, protección de identidad y autenticación resistente al phishing.
Pero la tecnología debe complementarse con capacitación continua y simulaciones de phishing. Los empleados deben aprender a verificar solicitudes de pago, cambios de cuentas bancarias, solicitudes de credenciales y comunicaciones inusuales.
También es importante establecer procedimientos claros de verificación. Una transferencia solicitada por correo electrónico, por ejemplo, debería poder confirmarse mediante un canal independiente.
Finalmente, las organizaciones deben contar con monitoreo y capacidad de respuesta para detectar rápidamente cuentas comprometidas y limitar el alcance de un incidente.
¿Cómo puede ayudar Pawa Peru?
Las amenazas de ingeniería social evolucionan constantemente y requieren una estrategia que combine protección tecnológica, gestión de identidades, monitoreo y concientización de usuarios.
En Pawa Peru, ayudamos a las organizaciones a fortalecer su postura de ciberseguridad mediante soluciones orientadas a reducir el riesgo de phishing, robo de credenciales, compromiso de cuentas y ataques dirigidos.
Para un gerente de TI o responsable de seguridad, la pregunta no debería ser únicamente si los empleados saben qué es el phishing, sino si la organización cuenta con las capacidades necesarias para prevenir, detectar y responder cuando un atacante logra engañar a un usuario.
Conclusión
Las campañas de spear phishing e ingeniería social son cada vez más difíciles de detectar porque utilizan personalización, cuentas comprometidas, servicios legítimos, códigos QR, ataques AiTM, automatización mediante IA y estrategias multicanal.
La respuesta empresarial debe evolucionar al mismo ritmo. La capacitación continúa siendo importante, pero necesita complementarse con seguridad avanzada de correo electrónico, MFA resistente al phishing, monitoreo de identidad, protección de endpoints y mecanismos de detección y respuesta.
La organización más preparada no es aquella que espera que sus empleados nunca cometan un error, sino aquella que diseña sus controles de seguridad para que un error humano no se convierta fácilmente en una brecha empresarial.
