Cada día, miles de colaboradores en México reciben correos electrónicos, mensajes de WhatsApp o SMS que aparentan ser enviados por bancos, proveedores, empresas de paquetería o incluso por sus propios directivos. A simple vista parecen legítimos, pero detrás de ellos se esconde una de las amenazas más comunes y peligrosas: el phishing.
Aunque muchas organizaciones han fortalecido su infraestructura tecnológica, los ciberdelincuentes han encontrado en las personas el punto más vulnerable. Hoy, capacitar a los colaboradores para identificar este tipo de fraudes es tan importante como contar con un antivirus o un firewall.
El phishing: un ataque que sigue evolucionando.
El phishing es una técnica de ingeniería social cuyo objetivo es engañar a las personas para que compartan información confidencial, como contraseñas, datos bancarios o credenciales de acceso a sistemas corporativos.
Los ataques ya no llegan únicamente por correo electrónico. Actualmente también utilizan:
- Mensajes de WhatsApp.
- SMS (smishing).
- Redes sociales.
- Llamadas telefónicas (vishing).
- Códigos QR falsos (quishing).
- Plataformas de colaboración como Microsoft Teams o Slack.
Además, el uso de Inteligencia Artificial ha permitido a los delincuentes crear mensajes con excelente ortografía, personalizados y prácticamente indistinguibles de una comunicación legítima.
México enfrenta un panorama cada vez más complejo.
En Latinoamérica, el phishing continúa siendo una de las amenazas más frecuentes para las empresas. Estudios recientes indican que 4 de cada 10 PyMES fueron víctimas de este tipo de ataques durante 2024, principalmente debido a la falta de capacitación en ciberseguridad.
Sin embargo, la situación en México resulta especialmente preocupante.
Durante 2024 se bloquearon más de 119 millones de intentos de phishing, lo que equivale a aproximadamente 313 ataques por minuto, ubicando al país como el segundo más atacado de América Latina.
El problema no termina ahí. Un análisis sobre phishing en México reveló que:
- Más de 13 millones de mexicanos han sido víctimas de fraudes relacionados con phishing.
- El 34% de los internautas ha recibido mensajes sospechosos solicitando información personal.
- Las pérdidas económicas pueden superar los 8,700 pesos por víctima cuando se comprometen datos bancarios.
Estas cifras demuestran que el phishing ya no afecta únicamente a grandes corporativos; también representa un riesgo importante para pequeñas y medianas empresas.
¿Por qué el phishing sigue funcionando?
Muchas personas creen que los ataques de phishing son fáciles de detectar porque contienen errores ortográficos o enlaces extraños. La realidad es muy distinta.
Hoy los delincuentes investigan previamente a sus víctimas mediante redes sociales, sitios web corporativos e incluso información pública disponible en internet.
Con esos datos elaboran mensajes personalizados que pueden incluir:
- El nombre del colaborador.
- El logotipo de la empresa.
- Información real de proveedores.
- Facturas auténticas.
- Solicitudes aparentemente urgentes del director general.
Esta modalidad, conocida como spear phishing, incrementa considerablemente la probabilidad de éxito porque genera confianza en la víctima.
El factor humano sigue siendo la principal vulnerabilidad.
Durante años, las empresas han invertido millones de pesos en soluciones tecnológicas para proteger su información.
Sin embargo, un solo clic sobre un enlace malicioso puede ser suficiente para comprometer toda la red corporativa.
Por ello, cada vez más especialistas coinciden en que la ciberseguridad debe combinar tecnología con capacitación constante.
No basta con instalar herramientas de protección si los colaboradores desconocen cómo identificar una amenaza.
La capacitación reduce significativamente el riesgo.
Diversos estudios muestran que las empresas que capacitan regularmente a sus colaboradores logran reducir considerablemente los incidentes provocados por phishing.
En México, una encuesta realizada entre trabajadores reveló que 99% de quienes recibieron capacitación considera que ésta les ayudó a reconocer mejor los intentos de fraude, mientras que la mayoría de quienes no habían recibido entrenamiento manifestó interés en contar con este tipo de programas.
La capacitación debe ir más allá de una presentación anual.
Las organizaciones que obtienen mejores resultados implementan:
- Simulaciones periódicas de phishing.
- Microcapacitaciones mensuales.
- Ejercicios prácticos.
- Campañas internas de concientización.
- Reporte sencillo de correos sospechosos.
- Retroalimentación inmediata después de cada simulación.
El objetivo es convertir la seguridad en un hábito cotidiano y no únicamente en un requisito de cumplimiento.
¿Qué sectores son los más vulnerables?
Aunque cualquier organización puede ser víctima, algunos sectores concentran una mayor cantidad de ataques debido al valor de la información que manejan.
Entre ellos destacan:
- Instituciones financieras.
- Gobierno.
- Sector salud.
- Manufactura.
- Educación.
- Comercio electrónico.
- Empresas de logística y transporte.
En México, las PyMES representan un objetivo especialmente atractivo porque muchas aún carecen de políticas formales de ciberseguridad, personal especializado o programas permanentes de capacitación.
Señales que todo colaborador debería conocer.
La mejor defensa comienza identificando comportamientos sospechosos.
Algunas señales comunes son:
- Correos que generan urgencia («tu cuenta será bloqueada»).
- Solicitudes inesperadas de pagos o transferencias.
- Archivos adjuntos no solicitados.
- Enlaces con direcciones diferentes al sitio oficial.
- Mensajes con premios, reembolsos o promociones demasiado atractivas.
- Cambios inesperados en cuentas bancarias de proveedores.
Ante cualquier duda, lo recomendable es confirmar la información mediante otro canal antes de realizar cualquier acción.
La cultura de ciberseguridad es una ventaja competitiva.
Cada vez más clientes, inversionistas y socios comerciales evalúan las prácticas de seguridad antes de hacer negocios.
Una empresa que demuestra procesos sólidos de capacitación genera mayor confianza, protege mejor la información de sus clientes y reduce el riesgo de interrupciones operativas ocasionadas por un incidente de seguridad.
La ciberseguridad ya no debe verse únicamente como una responsabilidad del área de TI; es un compromiso de toda la organización.
Conclusión.
El phishing continúa evolucionando y aprovechando el elemento más difícil de proteger: las personas.
En México, donde millones de intentos de fraude digital ocurren cada año y las PyMES son uno de los principales objetivos, fortalecer la cultura de ciberseguridad se ha convertido en una prioridad estratégica.
La tecnología seguirá siendo una pieza fundamental, pero ninguna solución es suficiente si los colaboradores no saben identificar una amenaza. Invertir en capacitación continua, simulaciones de phishing y programas de concientización permite reducir riesgos, proteger la información y fortalecer la resiliencia de cualquier organización frente a un panorama de amenazas cada vez más sofisticado.
Fuentes:
- WeLiveSecurity. El phishing sigue afectando a las empresas de Latinoamérica: la capacitación es clave para reducir el riesgo.
- Kaspersky Latinoamérica. El phishing afecta a 4 de cada 10 PyMES en América Latina.
- El Universal. México es el segundo país más atacado por phishing en América Latina.
- El Universal. Phishing en México: pérdidas económicas por robo de datos bancarios.
- Capterra México. Estudio sobre ataques de phishing a empresas en México.
- AMECI (Asociación Mexicana de Empresas de Ciberseguridad e Inteligencia). Cuatro de cada diez PyMES sufren ataques de phishing.
