Por qué el phishing sigue siendo una amenaza vigente para las pymes

En el mundo de la ciberseguridad solemos pensar que los ataques más peligrosos son aquellos que usan tecnología avanzada, malware sofisticado o vulnerabilidades difíciles de detectar. Sin embargo, uno de los ataques más efectivos sigue siendo también uno de los más “simples” en apariencia: el phishing.

El phishing continúa siendo utilizado porque no depende únicamente de fallas técnicas, sino de algo mucho más complejo: el comportamiento humano. Los atacantes no siempre necesitan romper sistemas, descifrar contraseñas o vulnerar servidores. Muchas veces solo necesitan convencer a una persona de hacer clic en un enlace, descargar un archivo, entregar una contraseña o autorizar una operación.

Y ahí está el verdadero riesgo: el phishing no ataca primero a la tecnología, ataca la confianza.

El phishing no se basa solo en tecnología, sino en persuasión

La efectividad del phishing está en la manipulación. Los ciberdelincuentes diseñan mensajes que parecen legítimos, urgentes o importantes. Pueden hacerse pasar por un banco, un proveedor, una plataforma de correo, una empresa de paquetería, un cliente o incluso por un directivo de la misma organización.

El objetivo es generar una reacción rápida en la víctima. Para lograrlo, suelen usar emociones como:

• Urgencia: “Su cuenta será bloqueada en 24 horas”.
• Miedo: “Se detectó una actividad sospechosa”.
• Confianza: “Adjunto la factura pendiente”.
• Curiosidad: “Revisa este documento importante”.
• Presión laboral: “Necesito que hagas esta transferencia hoy”.

A diferencia de un ataque técnico que puede ser bloqueado por un firewall, un antivirus o un sistema de detección, el phishing intenta pasar por encima de esas barreras utilizando al usuario como puerta de entrada.

El problema no es que las personas sean descuidadas. El problema es que los ataques están diseñados para parecer reales en momentos donde el usuario está ocupado, distraído o presionado.

¿Por qué las pymes son un objetivo atractivo?

Muchas pequeñas y medianas empresas creen que los ciberdelincuentes solo atacan a grandes corporaciones. Esa percepción es peligrosa. En realidad, las pymes son objetivos muy atractivos por varias razones.

Primero, suelen manejar información valiosa: datos de clientes, facturas, accesos bancarios, información fiscal, credenciales de plataformas, nóminas y contratos. Segundo, en muchos casos no cuentan con equipos especializados de ciberseguridad. Tercero, sus procesos internos pueden depender mucho del correo electrónico, WhatsApp, hojas de cálculo o sistemas compartidos sin controles fuertes.

Para un atacante, una pyme puede representar una oportunidad con menos barreras de seguridad.

Una empresa pequeña puede no tener el presupuesto de una gran corporación, pero sí puede tener cuentas bancarias, acceso a proveedores, datos personales y relaciones comerciales que pueden ser explotadas.

Escenario de riesgo: cómo un phishing puede afectar a una pyme

Imaginemos una situación común.

Una pyme recibe un correo aparentemente enviado por uno de sus proveedores habituales. El mensaje indica que hubo un cambio en los datos bancarios para el pago de la próxima factura. El correo incluye el logo del proveedor, un tono formal y un archivo adjunto con una supuesta carta de actualización.

El área administrativa, con varias tareas pendientes y presión por cumplir fechas de pago, revisa rápidamente el mensaje. Como el proveedor es conocido y el monto coincide con operaciones anteriores, se procesa la transferencia.

Días después, el proveedor real informa que nunca recibió el pago. La empresa descubre que el correo era falso o que la cuenta del proveedor fue comprometida. El dinero fue enviado a una cuenta controlada por delincuentes.

Este tipo de fraude no requiere un virus sofisticado. Requiere conocer el contexto, imitar un mensaje legítimo y presionar a la víctima para actuar.

Otro escenario frecuente es el robo de credenciales. Un empleado recibe un correo que parece provenir de Microsoft 365, Google Workspace, Dropbox o algún sistema interno. El mensaje dice que debe validar su cuenta para evitar la suspensión del servicio. El usuario entra al enlace, coloca su contraseña y, sin darse cuenta, entrega sus accesos.

Con esas credenciales, el atacante puede ingresar al correo corporativo, revisar conversaciones, buscar facturas, interceptar comunicaciones y lanzar nuevos ataques desde una cuenta real de la empresa. Esto hace que el engaño sea todavía más creíble.

Consecuencias del phishing en una pyme

Un ataque de phishing puede tener impactos mucho más graves de lo que parece. No se trata solo de “un correo falso”. Las consecuencias pueden afectar directamente la operación y la reputación del negocio.

Entre los principales riesgos están:

1. Pérdidas económicas

El phishing puede derivar en transferencias fraudulentas, pagos a cuentas falsas, compras no autorizadas o robo de información financiera. Para una pyme, una pérdida económica significativa puede afectar su liquidez y operación diaria.

2. Robo de credenciales

Cuando un atacante obtiene usuarios y contraseñas, puede acceder a correos, sistemas administrativos, plataformas de facturación, almacenamiento en la nube o cuentas bancarias.

3. Suplantación de identidad

Una cuenta de correo comprometida puede ser usada para engañar a clientes, proveedores o colaboradores. Esto amplifica el daño y puede afectar la confianza en la empresa.

4. Fuga de información

Contratos, bases de datos, documentos fiscales, información de clientes o datos personales pueden ser extraídos y utilizados para extorsión, fraude o venta ilegal.

5. Interrupción operativa

Si el phishing deriva en malware o ransomware, la empresa puede perder acceso a sus archivos o sistemas, deteniendo parcial o totalmente sus operaciones.

6. Daño reputacional

Los clientes y proveedores pueden perder confianza si se enteran de que la empresa fue utilizada como canal para fraudes o que no protegió adecuadamente su información.

¿Por qué las herramientas no son suficientes?

Contar con antivirus, filtros antispam y soluciones de seguridad es necesario, pero no suficiente. Muchas campañas de phishing logran evadir controles porque están bien redactadas, usan dominios parecidos a los reales o provienen de cuentas legítimas previamente comprometidas.

Además, los atacantes adaptan sus técnicas constantemente. Ya no todos los correos fraudulentos tienen errores evidentes, mala ortografía o diseños sospechosos. Algunos mensajes están muy bien elaborados, personalizados y alineados con procesos reales de la empresa.

Por eso, el enfoque debe ser integral. La tecnología ayuda a reducir el riesgo, pero la capacitación y los procesos internos son igual de importantes.

En otras palabras: no basta con proteger los sistemas, también hay que preparar a las personas.

Acciones recomendadas para reducir el riesgo de phishing en pymes

Las pymes pueden fortalecer su seguridad sin necesidad de implementar soluciones extremadamente costosas. Lo más importante es establecer hábitos, controles y procedimientos claros.

1. Capacitar al personal de forma continua

La capacitación es una de las defensas más efectivas. Los colaboradores deben aprender a identificar señales de alerta, como:

• Correos con sentido de urgencia.
• Solicitudes inesperadas de contraseñas.
• Archivos adjuntos no solicitados.
• Enlaces que no coinciden con el sitio oficial.
• Cambios repentinos de cuentas bancarias.
• Mensajes de directivos pidiendo acciones fuera del proceso normal.
• Remitentes con dominios parecidos, pero no iguales.

La capacitación no debe ser una actividad única al año. Debe repetirse periódicamente, con ejemplos reales y adaptados al contexto de la empresa.

2. Implementar autenticación multifactor

La autenticación multifactor, también conocida como MFA o doble factor de autenticación, agrega una capa adicional de seguridad. Aunque un atacante robe una contraseña, necesitará un segundo factor para acceder a la cuenta.

Es especialmente recomendable activarla en:

• Correo corporativo.
• Plataformas bancarias.
• Sistemas administrativos.
• Servicios en la nube.
• Herramientas de facturación.
• Accesos remotos.

Esta medida reduce de manera significativa el impacto del robo de credenciales.

3. Verificar cambios de cuentas bancarias por otro canal

Uno de los fraudes más comunes contra empresas es el cambio falso de datos bancarios. Por eso, cualquier modificación en cuentas de proveedores o clientes debe verificarse por un canal alterno.

Por ejemplo, si llega un correo solicitando cambiar la cuenta de pago, no se debe responder directamente a ese correo. Lo correcto es llamar al contacto conocido, usar un número previamente registrado o confirmar a través de un canal oficial.

Este procedimiento sencillo puede evitar pérdidas económicas importantes.

4. Establecer procesos de aprobación para pagos

Las transferencias o pagos relevantes no deberían depender de una sola persona ni de una instrucción recibida por correo. Es recomendable establecer controles como:

• Doble autorización para pagos.
• Validación de facturas contra órdenes de compra.
• Confirmación de proveedores nuevos.
• Revisión de cambios en datos bancarios.
• Límites de monto por usuario.
• Registro de aprobaciones.

El phishing se aprovecha de la rapidez y la falta de verificación. Un buen proceso reduce esa posibilidad.

5. Usar filtros de correo y protección antiphishing

Aunque la tecnología no lo resuelve todo, sí ayuda mucho. Las pymes deberían contar con soluciones que permitan:

• Filtrar correos sospechosos.
• Detectar enlaces maliciosos.
• Bloquear archivos peligrosos.
• Identificar dominios falsificados.
• Marcar correos externos a la organización.
• Analizar adjuntos antes de que lleguen al usuario.

También es recomendable configurar adecuadamente mecanismos como SPF, DKIM y DMARC, que ayudan a reducir la suplantación de correos corporativos.

6. Mantener actualizado el software

Muchos ataques comienzan con phishing, pero terminan explotando sistemas desactualizados. Por eso es importante mantener actualizados:

• Sistemas operativos.
• Navegadores.
• Antivirus.
• Aplicaciones de oficina.
• Servidores.
• Plugins y extensiones.
• Sistemas de gestión empresarial.

Las actualizaciones corrigen fallas que pueden ser aprovechadas por los atacantes.

7. Crear una cultura de reporte

Los empleados deben sentirse cómodos reportando correos sospechosos o posibles errores. Si alguien hizo clic en un enlace o descargó un archivo, lo peor que puede pasar es que lo oculte por miedo a una sanción.

Una detección temprana puede marcar la diferencia entre un incidente menor y una crisis grave.

La empresa debe fomentar mensajes como:

• “Si tienes dudas, repórtalo”.
• “Es mejor preguntar antes de hacer clic”.
• “Reportar a tiempo ayuda a proteger a todos”.

La seguridad debe verse como una responsabilidad compartida, no como una culpa individual.

8. Realizar simulaciones de phishing

Las simulaciones controladas ayudan a medir qué tan preparada está la organización. Estas pruebas permiten identificar áreas de riesgo, reforzar capacitación y mejorar procedimientos.

No se trata de exhibir o castigar a los empleados, sino de entrenar en un ambiente seguro. Igual que un simulacro de incendio, una simulación de phishing prepara a la empresa para responder mejor ante un ataque real.

9. Proteger las cuentas de correo corporativo

El correo electrónico es uno de los principales puntos de entrada. Por eso, es importante aplicar buenas prácticas como:

• Usar contraseñas fuertes y únicas.
• Activar MFA.
• Revisar reglas de reenvío sospechosas.
• Bloquear accesos desde ubicaciones inusuales.
• Deshabilitar cuentas de exempleados.
• Monitorear inicios de sesión anómalos.
• Evitar compartir cuentas entre varias personas.

Una cuenta de correo comprometida puede convertirse en una herramienta muy poderosa para el atacante.

10. Tener un plan de respuesta ante incidentes

Toda pyme debería tener un plan básico para saber qué hacer si ocurre un incidente. Este plan debe responder preguntas como:

• ¿A quién se debe avisar?
• ¿Cómo se bloquea una cuenta comprometida?
• ¿Cómo se recuperan accesos?
• ¿Qué información pudo haber sido expuesta?
• ¿A qué clientes o proveedores se debe notificar?
• ¿Qué respaldo existe?
• ¿Quién toma decisiones en caso de emergencia?

No tener un plan provoca pérdida de tiempo, confusión y decisiones improvisadas. En ciberseguridad, la rapidez de respuesta es clave.

Señales de alerta que todo empleado debe conocer

Un correo puede ser sospechoso si presenta alguna de estas características:

• Solicita información confidencial.
• Pide actuar de inmediato.
• Incluye enlaces acortados o extraños.
• Tiene archivos adjuntos inesperados.
• Proviene de una dirección parecida a la real.
• Usa amenazas o consecuencias urgentes.
• Ofrece premios, beneficios o solicitudes poco comunes.
• Tiene cambios en el tono habitual del remitente.
• Pide saltarse procesos internos.

La regla principal es simple: si algo parece extraño, es mejor verificar antes de actuar.

Conclusión

El phishing sigue siendo efectivo porque no depende únicamente de vulnerar sistemas, sino de influir en las decisiones de las personas. Los atacantes entienden cómo generar confianza, urgencia y presión. Por eso, incluso con herramientas de seguridad, una empresa puede ser víctima si sus usuarios no están preparados.

Para las pymes, el riesgo es especialmente importante. Un solo clic puede derivar en pérdidas económicas, robo de información, interrupción operativa o daño reputacional. Sin embargo, también es un riesgo que puede reducirse con medidas claras: capacitación, autenticación multifactor, procesos de verificación, controles de pago, protección del correo y una cultura de reporte.

La ciberseguridad no es solo una cuestión tecnológica. También es una cuestión de hábitos, criterio y prevención. En el caso del phishing, la mejor defensa combina herramientas adecuadas con usuarios informados y procesos bien definidos.

PROGRAMA PYME CIBERSEGURA

¿Conoces el grado de madurez y postura que tiene tu PyME en ciberseguridad? En AMECI hemos desarrollado desde 2025 un programa de reconocimiento del estado actual de tu organización en ciberprotección, además de la disponibilidad de la plataforma basada en nuestro modelo MCP (Marco de ciberseguridad para PyMEs) para gestionar y posicionarte en un par de meses en un grado de madurez mayor al que actualmente cuenta tu empresa.

Conoce la iniciativa en: https://ameci.org/servicios-seguridad/pyme-cibersegura