Las amenazas por correo electrónico se presentan de muchas formas, pero normalmente son mensajes maliciosos destinados a engañarte para que envíes dinero, compartas datos financieros o reveles información sobre una empresa. Van desde molestias molestas como el spam, el malware y los virus hasta ataques dirigidos con enormes repercusiones económicas, como el spear phishing, el whaling y el business email compromise.
Algunos son tan obvios que dan risa: no se ha hecho ningún esfuerzo por disfrazar la estafa.
Pero no pienses que todas son así. Las estafas por correo electrónico no hacen más que volverse más retorcidas y creativas. Estas son del tipo que incluso la persona más experta en ordenadores de la generación Z, que creció durmiendo sobre un iPad, miraría dos veces antes de darse cuenta. Si no fueran tan diabólicas, hasta podrías dar un paso atrás y admirar el enfoque. Vamos a mostrarte cómo reconocer el phishing y otras estafas comunes por correo electrónico, y cómo protegerte de ellas.
¿Qué son las amenazas por correo electrónico?
En lugar de intentar atravesar duros cortafuegos digitales, las amenazas por correo electrónico apuntan a personas reales. El objetivo es engañarte para que hagas clic en un enlace malicioso o reveles tu contraseña. Una vez lo haces, los atacantes están en una posición ideal para robar dinero, instalar virus en tu ordenador o robar tu identidad y pasar a un objetivo mayor.
¿Por qué existen las amenazas por correo electrónico?
Las amenazas por correo electrónico existen porque, a pesar de que el correo electrónico es uno de los métodos de comunicación más populares del mundo, en realidad no es tan seguro. Casi todas las empresas del mundo se comunican por correo electrónico y, para contactar con cualquier empleado, solo necesitas conseguir su dirección de correo. A partir de ahí, a un atacante hábil le resulta fácil manipular la situación para colarse dentro. Eso se debe a que:
Todo el mundo tiene una dirección de correo electrónico: Los correos electrónicos funcionan como un buzón público. Cualquiera con conexión a Internet puede enviar un mensaje directamente a tu teléfono u ordenador.
El correo electrónico es antiguo: La tecnología básica detrás del correo electrónico se creó hace décadas con confianza incorporada. No comprueba automáticamente si el remitente es quien dice ser.
Es fácil engañar a las personas: Los atacantes pueden fingir ser un gerente que exige un favor urgente. Además, las herramientas de IA también pueden ayudar a los estafadores a redactar mensajes creíbles y sin errores.
Barato y rentable: Enviar millones de correos electrónicos no cuesta nada. Solo hace falta que una persona caiga en el engaño para que el estafador robe miles de dólares.
Diferentes tipos de amenazas por correo electrónico
Phishing – El tipo más común de amenaza por correo electrónico. Los atacantes envían correos masivos disfrazados de marcas populares como Netflix, Google o tu banco, para intentar engañarte y que hagas clic en un enlace que abre un sitio web falso donde introduces tu contraseña.
Business email compromise (BEC) – Los estafadores fingen ser un CEO, un gerente o un socio comercial de confianza e intentan convencer a alguien del departamento financiero para que transfiera dinero directamente a la cuenta bancaria de un estafador.
Malware y ransomware – En este ataque, el correo lleva un virus oculto. Si abres el archivo, descarga software que roba tus archivos o bloquea todo tu ordenador hasta que pagues un rescate.
Suplantación e impersonación – Los atacantes cambian la línea "De" de un correo electrónico para que parezca que proviene de alguien en quien confías. Pueden sustituir letras por números o registrar dominios que parecen casi idénticos a nombres de empresas reales.
Phishing con código QR ("Quishing") – Los atacantes envían correos electrónicos que contienen un código QR dentro de un archivo adjunto PDF.Attackers. Una vez escaneas el código con la cámara de tu smartphone, te aleja de las herramientas de seguridad del ordenador y te lleva a un sitio falso de inicio de sesión donde los filtros de correo no pueden salvarte.
Un rápido viaje al pasado
Muchos recordamos los primeros días de las estafas por correo electrónico: tiempos dorados en los que éramos más ingenuos, pero también desconfiábamos más de los correos. Cuando recibíamos una estafa, la leíamos con interés y confusión, intentando averiguar por qué el remitente pensaba que éramos la persona adecuada a la que pedir ayuda.
¿Quién recuerda The Spanish Prisoner? Un alma desafortunada de gran riqueza que necesitaba desesperadamente que le ayudáramos a pagar su rescate para poder salir de prisión. Curiosamente, esta estafa es anterior al correo electrónico, ya que se originó a principios del siglo XIX. Evidentemente, algún surfero rebelde de Internet decidió digitalizarla.
Hoy en día, las estafas por correo electrónico aprovechan mucho más los puntos fuertes de su formato digital. A diferencia de algunas de las estafas OG, utilizan ventajas que Internet ha llegado a ofrecer con los años — como la capacidad de procesar pagos online fácilmente, una mayor dependencia del correo electrónico para nuestras comunicaciones más importantes y la evolución de las redes sociales, por nombrar solo algunas.
Señales comunes de un correo electrónico de phishing
Antes de analizar más de cerca los distintos tipos de estafas por correo electrónico, vamos a compartir algunas reglas generales que puedes aplicar para ayudarte a identificar una estafa/spam por correo electrónico, porque todas comparten elementos comunes: un remitente, una línea de asunto, texto en el cuerpo y, quizá lo más importante, la necesidad de ser leído y creído.
Nombre de la empresa/remitente
Presta atención a:
Errores tipográficos o estilo incorrecto — Paypal frente a PayPal.
Algo que parezca excesivamente descriptivo o poco probable — AA Car Emergency frente a AA.
Empresas con las que no compras ni tratas — Una nota de Barclays cuando operas con Lloyds.
Cualquier cosa que parezca extraña — Desde símbolos y empresas con nombres extraños hasta espaciados raros; a veces hay algo en el remitente que simplemente no encaja.
Dirección de correo del remitente
Presta atención a:
Una dirección de correo incongruente — Algo que no encaja con el nombre de la empresa.
Imitaciones — Una dirección diseñada para parecerse a la empresa real. Puede ser el dominio (@paypalcare.com) o el TLD (@paypal.club).
Errores— Errores tipográficos u otras irregularidades en la dirección.
Líneas de asunto
Presta atención a:
Frases diseñadas para provocar urgencia — ‘Advertencia: aviso final de pago’.
Lenguaje que promete demasiado — ‘Gana 1000 £ en cinco minutos’.
Lenguaje que provoca una fuerte reacción emocional — ‘¡Estás contratado! ¡Empiezas mañana!’
Errores tipográficos — Los estafadores no son precisamente conocidos por su buena gramática.
Uso excesivo de puntuación o emojis — Pocas empresas reales los usan.
La presencia de ‘Re’ — Puede usarse para sugerir que ya has respondido antes cuando no es así.
Botones y archivos adjuntos— Evita siempre hacer clic en botones o descargar archivos adjuntos en correos sospechosos.
Texto del cuerpo
Presta atención a:
Promesas increíbles— Similar a la versión de la línea de asunto, pero en el cuerpo del texto hay espacio para ampliar, lo que da la oportunidad de hacer las mentiras más convincentes.
Llamadas a la acción que buscan información personal — Especialmente dirección o datos de la tarjeta.
Referencias a cosas que no recuerdas— Desde eventos hasta servicios que nunca recibiste
Suplantación— Alguien que afirma ser un amigo o familiar, pero no suena como él mismo.
Ahora que ya tienes algo de contexto sobre cómo los estafadores pueden manipular distintas partes de un correo electrónico, examinemos ejemplos concretos.
Tipos de amenazas por correo electrónico
Malware
Para muchos, los ataques de malware son probablemente el primer tipo de correo electrónico malicioso que realmente temimos. Por aquel entonces, probablemente nos referíamos a ellos simplemente como virus por correo electrónico. Lo abres, tu pantalla se queda en negro. Fin de la partida. Ese tipo de cosas.
En realidad, el malware abarca una gran variedad de ataques maliciosos y, francamente, algunos de ellos dan bastante más miedo que una rápida muerte del ordenador.
¿Monitorizar pulsaciones de teclado? ¿Consumir tu CPU sin que lo sepas? ¿Espiarte? ¿Forzar la aparición de anuncios sospechosos cada cinco minutos? Sí, el malware abarca una gran variedad de pequeños programas que se incrustan en tu ordenador sin que lo sepas, y sus funciones van desde cosas asociadas a bromistas malintencionados hasta delincuentes en toda regla. Son evasivos y a menudo difíciles de eliminar, si es que sabes que están ahí.
Cómo detectar malware
Si estás experimentando alguno de los síntomas mencionados arriba, hay muchas probabilidades de que sea malware. Puede que haya llegado a través de un correo electrónico, pero no necesariamente. También hay otras formas en que estos programas pueden incrustarse en tu ordenador: descargas, sitios web sospechosos e incluso dispositivos de hardware maliciosos. Si alguna vez encuentras una memoria USB en la calle, no mires qué hay en ella.
Protégete del malware
A riesgo de decir lo obvio, prueba un software de detección de malware. Pero elige algo de confianza.
Si buscas en Google cómo prevenir el malware en primer lugar, el principal consejo es instalar software antivirus. Personalmente, no conozco a nadie que haya hecho esto desde finales de la década de 2010, pero ¿quién soy yo para contradecir la totalidad del conocimiento humano y la experiencia masiva homogeneizada en una respuesta de una sola línea de Gemini, servida en una fracción defracción de segundo?
Dicho esto, la protección contra amenazas que ofrecen los sistemas operativos suele ser mejor que en los primeros tiempos; Windows, en especial, se actualiza para proteger frente a amenazas, pero, lo que es más importante, gran parte del software de correo electrónico está haciendo el trabajo por nosotros, filtrando los correos sospechosos antes de que nos lleguen.
Es buena idea encontrar un proveedor de correo electrónico que promueva una buena protección contra el malware y analice tus correos antes de que te lleguen. Esto es especialmente útil cuando se trata de evitar ataques psicológicos (y hablaremos de ellos en un momento).
Si hablamos de protección, en lugar de prevención, es buena idea mantener copias de seguridad periódicas, por si te ves afectado por uno de estos ataques. Personalmente recomiendo algo como Mega Sync, que se actualiza cada vez que guardas un archivo.
Phishing
Hoy en día, lo más probable es que te encuentres con una estafa de phishing por correo electrónico. ¿Por qué? Porque, como una melodía pegadiza o el olor de la primavera, todos somos susceptibles a sus encantos. Pero ¿cómo puedes identificar el phishing?
Los ataques de phishing son eficaces por su versatilidad. A veces no es difícil detectar el phishing. Pueden ser cualquier cosa: literalmente cualquier cosa que consiga que alguien introduzca sus datos personales. Piensa en cualquier motivo por el que podrías sentirte obligado a compartir tus datos personales o enviar dinero a alguien, y tiene potencial para convertirse en un correo electrónico de phishing.
Aquí tienes solo algunos ejemplos y ten en cuenta que la clave del phishing es que todos estos correos parecen reales, pero son falsos:
Notificación de restablecimiento de contraseña.
Rellena los datos bancarios que faltan.
Completa tu dirección postal para habilitar la entrega.
Renueva tu suscripción.
¡Has ganado un concurso!
Un amigo necesitado pidiendo ayuda.
Notificación de devolución de impuestos.
Solicitud de donaciones benéficas.
Si no has visto una estafa de phishing, ¿eres siquiera un pez? Son tan ubicuas que cuesta imaginar el correo electrónico sin ellas. Pero hay más de una forma de pescar…
Spear phishing y whaling
El spear phishing y el whaling se dirigen a personas concretas, a menudo con tácticas más agresivas.
El spear phishing utiliza conocimientos personales, normalmente obtenidos de varias fuentes, para crear correos electrónicos más convincentes. Como está redactado usando información personal, podría hacer referencia a amigos reales, situaciones reales o incluso suplantar a un banco (etc.) de forma más convincente. Si crees que esto es poco probable que te ocurra, ten en cuenta que la mayoría de la gente tiene más información accesible públicamente en Internet de la que cree.
Si alguien se hiciera pasar por tu amigo y mencionara un acontecimiento muy concreto al que ambos asististeis hace una década, ¿por qué no ibas a creerlo? Puede que tardes un rato en recordar que publicaste sobre ello con detalle en Facebook y que la publicación es visible públicamente. Cuando te pida dinero prestado, quizá le eches una mano.
Todos somos susceptibles al spear phishing, lo que lo hace más peligroso que las estafas más obvias. Una salvedad afortunada es que el nivel de investigación necesario para llevar a cabo con éxito una estafa de spear phishing resulta desalentador para la mayoría de los estafadores. Les resulta más fácil apostar por un correo masivo al que responderá menos gente. Pero ¿será ahí donde entre la IA en el futuro? Tenemos que mantenernos alerta.
Whaling
Entonces, ¿qué es el whaling? Bueno, en muchos sentidos, un ataque de whaling es prácticamente lo mismo que el spear phishing, pero se centra específicamente en personas adineradas, como los CEOs.
La triste realidad es que su estatus hace que merezca más la pena invertir tiempo en ellos como objetivos y que otros factores (como su riqueza, responsabilidad, falta de tiempo y amplia red de contactos) impliquen varias debilidades potenciales que explotar. Por ejemplo, quizá solo necesiten convencer a un asistente personal o a una secretaria de que cuentan con el visto bueno del CEO. Así que parece que el whaling comercial siempre es algo malo.
Cómo protegerte frente al spear phishing y el whaling
Más allá de lo que figura en nuestra guía general anterior, también deberías configurar un filtrado de spam sólido. El factor humano es realmente donde brillan los correos de phishing. Si el malware es un truco sencillo, entonces, en cierto modo, el phishing requiere nuestra complicidad. Al fin y al cabo, somos nosotros quienes debemos entregar nuestra información. Como hemos comentado, lo consigue apelando a nuestra respuesta emocional.
Así que asegurarnos de no entrar nunca en contacto con ello en primer lugar es la forma más sólida de combatirlo. Los filtros de spam buscan múltiples elementos al evaluar un correo electrónico que nosotros, como humanos, no podemos detectar. Cruzan listas negras, patrones de comportamiento conocidos e incluso un método conocido como filtrado bayesiano. Este compara el contenido de un correo con correos de spam conocidos frente a correos legítimos para calcular la probabilidad de que sea spam. Además, los buenos filtros de spam tendrán en cuenta lo que otros usuarios marcan como spam, creando lo que se conoce como un bucle de retroalimentación de usuarios.
Correo electrónico empresarial comprometido
Ligeramente distinto de todo lo que hemos visto hasta ahora, esto parte del ángulo opuesto: la idea de que una cuenta de correo electrónico legítima ha sido comprometida. No tiene por qué ser una cuenta empresarial, pero, a efectos de esta entrada, hay algunos factores más interesantes de los que hablar si imaginamos que lo es.
Si un estafador puede obtener acceso ilegalmente a una cuenta de correo electrónico empresarial, puede hacerse pasar por empleados para solicitar fondos o incluso acceder a otros sistemas internos que pueden incluir datos sensibles.
Comprometer una cuenta empresarial también aprovecha otra peculiaridad social inherente a muchas empresas, especialmente las grandes: es poco probable que todos los miembros del personal se conozcan entre sí. Esto, combinado con el hecho de que se espera que la gente sea educada en un entorno laboral, significa que estos correos tienen ventajas adicionales en comparación con las cuentas privadas.
Cómo protegerte frente a esto
Asegurarse de que todos los empleados utilicen autenticación de dos factores (email 2FA) y elijan contraseñas seguras reduce enormemente el riesgo de cuentas robadas o hackeadas. La 2FA garantiza que el titular de la cuenta siempre sabrá si alguien intenta entrar, y una contraseña segura dificulta los ataques de fuerza bruta.
También puedes reducir la probabilidad de problemas futuros desactivando de inmediato las cuentas de los empleados que dejan la empresa. Un cementerio de cuentas en desuso acumulando polvo es un accidente a punto de ocurrir.
Facturas falsas
Uno de los temas que quizá estés notando es la explotación de distintos extremos emocionales. Hasta ahora hemos considerado el miedo o la despreocupación de un director ejecutivo y la supuesta apatía de un empleado hacia otro. Ahora probemos con la ira.
Alguien afirma que le debes dinero y exige un reembolso inmediato. Está enfadado, dice cosas que te hacen dudar de tus propios recuerdos o crea una situación de la que no puedes estar seguro de que no sea real. La hostilidad y la ira continúan hasta que casi parece más fácil pagarle.
Puede que esto no parezca tan probable para muchos de nosotros, pero quizá eso sea lo peor: lo más probable es que “nosotros” no seamos sus objetivos. Su éxito estará en las personas vulnerables. Aquellas que quizá realmente no puedan recordar o que confíen más en los desconocidos.
Prevención
Si asumimos que nosotros no pagaremos facturas aleatorias que recibimos por correo electrónico, quizá valga la pena aprovechar esta oportunidad para sugerir hablar con las personas de tu entorno que tienen menos experiencia en internet. Pregúntales si necesitan ayuda para identificar estafas y explícales que el hecho de que alguien exija dinero no hace que su reclamación sea legítima. Al fin y al cabo, debemos cuidarnos unos a otros, y nadie quiere ver a alguien caer de lleno en una estafa evidente.
Hay recursos a los que puedes dirigir a la gente que pueden guiarlos por el proceso de una forma fácil de usar.
Amenaza | Objetivo | Objetivo típico |
|---|---|---|
Spam | Publicidad/estafas | Todo el mundo |
Phishing | Credenciales | Todo el mundo |
Malware | Infección del dispositivo | Todo el mundo |
Spear phishing | Víctima específica | Personas |
Whaling | Ejecutivos | CEOs, CFOs |
Business Email Compromise | Fraude financiero | Empresas |
Spam vs phishing vs malware
El spam es el menos peligroso de los tres. Los profesionales del marketing y los anunciantes envían montones de mensajes automatizados promocionando ofertas y productos con descuento. Aunque es molesto tener que limpiarlo de tu bandeja de entrada, no intenta activamente robarte dinero ni dañar tu ordenador.
El phishing, en cambio, es mucho más peligroso. Estos correos te engañan para que hagas clic en un enlace malicioso que te lleva a una página de inicio de sesión falsa diseñada para robar información sensible, como tus nombres de usuario y contraseñas.
El malware suele llegar disfrazado de archivo adjunto inocente en un correo electrónico que recibes. Una vez abierto, puede instalar programas peligrosos en tu dispositivo que registran tus pulsaciones de teclado, roban tus archivos privados o te bloquean el acceso a todo tu sistema.
La diferencia clave:
El spam intenta venderte algo.
El phishing intenta engañarte para que entregues tus datos.
El malware intenta infectar directamente tu ordenador.
Spam | Phishing | Malware |
|---|---|---|
Mensajes no deseados | Robo de credenciales | Infección del dispositivo |
Protegerte a ti y a los demás
Hablando en serio, ya sea spam o estafa, realmente no tiene ninguna gracia. La gente de verdad sale perjudicada, pierde dinero o después se siente estúpida.
Hemos sugerido varias formas de protegerte, pero en realidad todo se reduce a tres cosas:
Activa toda la seguridad que puedas
Sea lo que sea que ofrezca tu proveedor, ya sea 2FA, contraseñas generadas automáticamente o incluso cifrado — lo que sea. Configúralo. Simplemente hace que tu cuenta sea un poco más difícil de secuestrar.
Elige un proveedor centrado en la seguridad
Un proveedor con software sólido de gestión de spam y actualizaciones de seguridad frecuentes es probablemente tu mejor forma de protección continua como empresa. La mayoría de las estafas que hemos descrito empiezan y terminan con la gestión del spam. Si nunca las vemos, nunca son un problema.
Mantente al día
Las estafas de phishing no dejan de evolucionar. Te apuntan a ti, no a tu bandeja de entrada, así que tú eres tu mejor defensa.
¿Hay alguna práctica que uses para evitar caer en el spam y las estafas? ¡Nos encantaría conocerla! Deja cualquier idea o pregunta en la sección de comentarios de abajo
Preguntas frecuentes
El phishing es un ataque por correo electrónico en el que los estafadores suplantan a empresas o personas de confianza para engañarte y hacer que actúes. Estas acciones suelen implicar revelar contraseñas, compartir datos financieros o enviar dinero directamente al atacante.
El spam consiste en mensajes masivos automatizados y no deseados enviados principalmente para anunciar productos o servicios. Aunque el spam es sobre todo una molestia irritante, el phishing es una amenaza de seguridad maliciosa diseñada específicamente para robar información confidencial o dinero.
Busca direcciones de correo electrónico del remitente incongruentes, mala gramática o errores tipográficos, lenguaje urgente o amenazante y enlaces que apunten a dominios web falsos. Ten muchísimo cuidado con los archivos adjuntos inesperados o las solicitudes de información personal.
El malware en el correo electrónico se refiere al software malicioso distribuido mediante archivos adjuntos o enlaces fraudulentos. Una vez abierto o descargado, puede instalar virus, ransomware o spyware en tu dispositivo para registrar tus pulsaciones de teclado, robar archivos o bloquear el acceso al sistema.
El spear phishing es una forma de phishing muy dirigida que utiliza información personalizada sobre una persona concreta para crear un correo electrónico creíble y adaptado. Los atacantes investigan a su objetivo de antemano para que su solicitud parezca auténtica.
El whaling es un tipo especializado de spear phishing dirigido a personas de alto perfil, como directores generales, directores financieros o propietarios de empresas. Los estafadores apuntan a estos ejecutivos de alto patrimonio porque la ganancia económica potencial es mucho mayor.
El compromiso del correo electrónico empresarial se produce cuando un atacante hackea o suplanta una cuenta de correo electrónico legítima de una empresa. Después, el estafador se hace pasar por un directivo o un socio de confianza para convencer a los empleados de que transfieran fondos corporativos o compartan datos internos.
Usar un proveedor de correo electrónico centrado en la seguridad con un filtro de spam potente detendrá la mayoría de los mensajes maliciosos antes de que lleguen a tu bandeja de entrada principal. Combinar un buen filtrado de spam con autenticación de dos factores y un sano escepticismo en Internet es la mejor forma de protegerte frente a las amenazas.
Si introdujiste datos financieros, ponte en contacto de inmediato con tu banco para bloquear las tarjetas o cuentas afectadas. Después, cambia las contraseñas de todas las cuentas comprometidas y ejecuta un análisis de seguridad completo en tu dispositivo para comprobar si hay malware.
Artículos sugeridos
Comentarios (2)
Lily Simon
9 ago 2025
Olha Nesen. Product and Marketing Coordinator
13 ago 2025