El phishing es un engaño en el que alguien se hace pasar por un banco, una empresa o un organismo para robarte datos o meterte un virus. En 2025 fueron 4 de cada 10 incidentes que gestionó INCIBE. El cortafuegos frena las webs falsas, pero la última barrera es la persona.
Foto: https://kaboompics.com/, en Pexels
El phishing no ataca al cortafuegos ni al servidor: ataca a la persona que lee el correo. Por eso funciona tan bien. INCIBE gestionó en 2025 más de 122.000 incidentes de ciberseguridad, y su balance del año dice que 4 de cada 10 fueron phishing. Esta guía explica cómo es, cómo reconocerlo, qué hacer si se cae y qué parte del trabajo puede hacer un cortafuegos.
INCIBE lo define como una técnica de ingeniería social: el atacante envía un correo en el que se hace pasar por una entidad de confianza, como un banco, una red social, un organismo público o una tienda conocida, para conseguir datos personales y bancarios, sobre todo usuarios y contraseñas.
El mensaje busca que hagas una de dos cosas:
INCIBE pone un ejemplo real que se ve a menudo: un correo con el asunto «Aviso de notificación» que suplanta a la Agencia Tributaria y lleva a una web que pide el correo y la contraseña. Ya eso delata el engaño, porque la sede electrónica de la Agencia Tributaria se identifica con DNI electrónico, Cl@ve o certificado digital, no con un correo.
La palabra se ha ido quedando con todo el engaño, venga por donde venga. Estas son las variantes que describe INCIBE:
| Variante | Por dónde llega | Cómo suele ser |
|---|---|---|
| Phishing | Correo electrónico | Un mensaje que suplanta a una entidad y pide pulsar un enlace o abrir un adjunto. |
| Smishing | SMS | Un mensaje que imita al banco, una aplicación o una empresa de paquetería, con la excusa de verificar la identidad, cambiar la contraseña o seguir un envío. |
| Vishing | Llamada de teléfono | Alguien que dice ser del banco, de la compañía telefónica o, en una empresa, del departamento de informática, a veces con un número que aparece igual que el original. |
| Fraude BEC (correo corporativo comprometido) | Correo de la empresa o de un proveedor | Una factura de un proveedor de verdad, pero con el número de cuenta cambiado. |
La última va directa al dinero de la empresa. INCIBE describe cómo funciona el fraude del correo corporativo comprometido (BEC): el atacante entra en un buzón, crea reglas que reenvían en silencio las facturas a otra dirección y espera semanas al momento justo, como un pago grande o las vacaciones del responsable. Otras veces registra un dominio casi igual al del proveedor, con una letra cambiada, y manda desde ahí la factura con su cuenta.
Estas son las señales que da INCIBE para las empresas:
Esto es criterio de esta web: desconfía también de la prisa (una cuenta que se bloquea hoy, un cargo que no reconoces), que es lo que busca el mensaje para que no te pares a pensar. Y el candado y el «https» de la barra de direcciones solo dicen que la conexión va cifrada, no que la web sea de quien dice ser: una web falsa también puede tenerlos.
El phishing entra por el correo, pero casi siempre termina en una web: la página falsa donde se escriben las credenciales o el servidor del que se descarga el programa malicioso. Ahí es donde el cortafuegos puede actuar. En el FortiGate, por ejemplo, hay tres formas de hacerlo según su documentación:
Esto es criterio de esta web: casi todas estas webs van con HTTPS, así que, para ver el formulario que se envía, el cortafuegos tiene que descifrar el tráfico (la inspección profunda que se explica en la guía del filtrado web). Y todo ello depende de la suscripción del fabricante, que se paga cada año, como se cuenta en la guía del UTM.
El cortafuegos tampoco ve una llamada de vishing ni un SMS, y no puede saber si un número de cuenta en una factura es el bueno. INCIBE recomienda, además, vigilar el tráfico de la red con herramientas IDS e IPS o un UTM para detectar intrusiones, pero insiste en que la clave son las personas: formar a la plantilla y practicar con campañas de prueba.
Hay un phishing que no se para en la red propia: el que suplanta a tu empresa para engañar a tus clientes o proveedores. Contra eso, INCIBE recomienda activar tres protecciones del correo, que se configuran en el DNS del dominio:
INCIBE avisa de que configurarlas requiere conocimientos avanzados y de que, si el correo lo da un proveedor externo, hay que preguntarle si las aplica.
INCIBE recomienda usar la verificación en dos pasos siempre que se pueda: aunque el atacante se lleve la contraseña, no puede entrar solo con ella. La norma de autenticación del NIST, SP 800-63B, añade un matiz importante: los métodos en los que se teclea un código, como el de un SMS o el de una aplicación, no resisten el phishing, porque la web falsa puede pedir también ese código y usarlo al momento. Sí resisten los métodos en los que la respuesta criptográfica queda ligada al nombre de la web de verdad (el ejemplo de la norma es un certificado de cliente en la conexión TLS), de modo que una web falsa no puede reutilizarla. Esa norma exige ofrecer al menos una opción resistente al phishing en su nivel intermedio y la obliga en el más alto.
Es la misma idea del modelo de confianza cero: no fiarse de una contraseña sola, porque es justo lo que el phishing roba.
Estos son los pasos que da INCIBE:
En una empresa, si el atacante llegó a entrar en el correo, INCIBE recomienda además revisar las reglas del buzón que reenvían o esconden mensajes, los usuarios creados hace poco y los registros de acceso. Y recuerda que, si se han visto datos personales, es una brecha de seguridad que el responsable del tratamiento tiene que notificar a la AEPD antes de 72 horas.
Para cualquier duda está la Línea de Ayuda en Ciberseguridad de INCIBE: el 017, gratuito y confidencial, también por WhatsApp (900 116 117) y Telegram (@INCIBE017).
Es una técnica de ingeniería social: un mensaje, casi siempre un correo, que se hace pasar por una entidad de confianza, como un banco, una tienda o la Agencia Tributaria, para que entregues tus contraseñas o datos bancarios en una web falsa o abras un archivo con un programa malicioso.
El canal. El phishing llega por correo electrónico, el smishing por SMS y el vishing por una llamada de teléfono. En los tres el objetivo es el mismo: engañarte para que des tus datos o hagas algo que beneficia al atacante.
En parte. Un cortafuegos con filtrado web puede bloquear las webs que su fabricante tiene clasificadas como phishing o maliciosas, y algunos, como el FortiGate, pueden detectar que alguien envía la contraseña de la empresa a una web de fuera. No para una web falsa recién creada que aún no está clasificada ni una llamada telefónica, así que la formación sigue siendo necesaria.
INCIBE recomienda pasar un antivirus actualizado, borrar lo que se haya descargado, cambiar las contraseñas de las cuentas afectadas, activar la verificación en dos pasos, llamar al banco si hay pagos que no reconoces y guardar las pruebas para denunciarlo. La Línea de Ayuda en Ciberseguridad de INCIBE, el 017, es gratuita y confidencial.
Ayuda mucho, porque la contraseña robada ya no basta. Pero la norma de autenticación del NIST advierte que los códigos que se teclean, como los de un SMS o una aplicación, no resisten el phishing: una web falsa también puede pedirlos. Sí resisten los métodos en los que la respuesta criptográfica queda ligada a la web de verdad, de modo que una web falsa no puede reutilizarla.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
Foto: Brett Sayles, en Pexels Guías SD-WAN es una forma de usar varias líneas a la vez y decidir por cuál va cada aplicación, sin depender de una sola. Muchos cortafuegos ya lo traen. Aquí está qué es, en qué se dis…
