¿Cuál es la diferencia entre el phishing y la ingeniería social?
La ingeniería social es cualquier intento de manipular a una persona para que entregue información, dinero o acceso. Su forma más común es la suplantación de identidad, o phishing, mediante correos electrónicos o sitios web falsos. CISA también menciona la variante por voz, vishing, y la variante por mensajes de texto, smishing.
Imagine una firma de arquitectura ficticia de 30 personas, Calloway Partners. Un martes, Leah, la asistente de finanzas, recibe tres cosas. Un correo del 'director general', enviado a las 7.58am: 'Leah, estoy en reuniones todo el día, necesito que pague hoy al proveedor del adjunto, tiene nuevos datos bancarios, que esto quede entre nosotros'. Un mensaje de texto: 'Su paquete está retenido, pague aquí £1.45 por el reenvío'. Y una llamada de alguien que dice trabajar para el proveedor de informática de la firma y necesita que ella le lea un código de seis dígitos que acaba de enviarle 'para arreglar su buzón de correo'. Parecen distintos. Son el mismo engaño.
¿Qué tácticas de presión utilizan los mensajes de suplantación de identidad?
Los mensajes de suplantación de identidad utilizan cinco tácticas de presión habituales, que el NCSC clasifica como autoridad, urgencia, emoción, escasez y actualidad. Detectar la táctica es más fiable que detectar una errata.
Autoridad
El mensaje afirma proceder de un jefe, un banco, un organismo público o un proveedor, para que usted sienta que debe hacer lo que le piden.
Urgencia
Un plazo ajustado o la amenaza de una sanción, para que actúe antes de verificar.
Emoción
Miedo, pánico, curiosidad o esperanza, para que usted reaccione en lugar de pensar.
Escasez
Algo limitado, como el plazo para solicitar un reembolso o un número reducido de entradas.
Actualidad
Una referencia a una noticia, a plazos fiscales o a una interrupción de servicio conocida, para que el mensaje parezca esperado.
¿Cómo ha cambiado la IA la suplantación de identidad?
La IA ha hecho que los mensajes de suplantación de identidad estén mejor redactados, por lo que una buena ortografía y gramática ya no demuestran que un mensaje sea auténtico. Las directrices de CISA ahora lo dicen expresamente. Los atacantes también pueden escribir con el tono de un compañero, adaptar un mensaje a su puesto o imitar una voz conocida en una llamada. Esto hace que la antigua lista de comprobación de faltas de ortografía y saludos extraños resulte menos útil, y que verificar la solicitud en sí sea más importante. Una solicitud para transferir dinero, cambiar datos bancarios, compartir un código o saltarse un procedimiento habitual debe verificarse por convincente que parezca.
¿Cómo se verifica un mensaje sospechoso paso a paso?
Para verificar un mensaje sospechoso, recurra a un canal independiente: nunca use los enlaces, números de teléfono ni la dirección de respuesta que contiene. Contacte con la persona u organización mediante datos de contacto en los que ya confíe.
1. Haga una pausa e identifique la táctica
Pregúntese qué presión se está ejerciendo. Secreto más urgencia más dinero es el patrón clásico del fraude en los pagos.
2. Compruebe la solicitud, no solo el remitente
Los nombres que se muestran y la identificación de llamadas se pueden falsificar. Un cambio en los datos bancarios o una solicitud de un código son señales de alerta, independientemente de quién parezca ser el remitente.
3. Verifique por un canal independiente
Llame a la persona a un número que figure en sus propios registros o escriba usted mismo la dirección web de la organización. Tanto CISA como el NCSC dan este consejo.
4. Nunca comparta códigos ni contraseñas
Los equipos de informática y los bancos legítimos no le piden que lea en voz alta un código de un solo uso ni una contraseña.
5. Informe de lo ocurrido
Use el botón de su correo para denunciar mensajes y avise a su contacto de informática. En el Reino Unido puede reenviar los correos sospechosos a [email protected]; en Estados Unidos, CISA acepta denuncias a través de su servicio de notificación de incidentes cibernéticos.
¿Cómo se comparan una respuesta deficiente y una sólida?
Una respuesta deficiente se fía de las apariencias. Leah ve el nombre del director general, responde para preguntar si el pago es realmente urgente, recibe enseguida un 'sí, por favor, hágalo ahora' de la misma dirección falsa y paga. Ignora el mensaje de texto, pero, con la intención de ayudar, lee el código a quien llama, que lo utiliza para acceder a su buzón.
Una buena respuesta verifica la solicitud. Leah detecta una combinación de autoridad, urgencia y secretismo, y llama al móvil del director general que figura en el directorio del personal; él no ha enviado nada. Elimina el mensaje de texto sobre el paquete sin tocar el enlace. Le dice a quien llama que devolverá la llamada al proveedor de servicios informáticos, cuelga y llama al número del proveedor que figura en el contrato de la empresa; no habían llamado. Notifica los tres casos al equipo de informática y reenvía el correo a la dirección de notificación de incidentes. No se realizó ningún pago ni se compartió ningún código.
¿Qué debe hacer si ya hizo clic o respondió?
Si ya hizo clic, respondió o compartió algo, avise de inmediato a su contacto de informática, porque actuar rápido limita los daños y nadie debería recibir reproches por informar. Desde otro dispositivo, cambie la contraseña de cualquier cuenta cuyos datos haya introducido y active la autenticación multifactor. Si hubo dinero o datos bancarios de por medio, llame a su banco de inmediato al número que figura en su sitio web o en su tarjeta.
¿Cuáles son los errores habituales ante la suplantación de identidad?
El error más común es responder al mensaje sospechoso para comprobarlo, lo que solo equivale a pedir confirmación al atacante. Otros: confiar en el nombre que aparece en pantalla o en el identificador de llamadas, basarse en las faltas de ortografía, hacer clic en enlaces para cancelar suscripciones, leer en voz alta códigos de un solo uso y guardar silencio por vergüenza después de cometer un error.
¿Dónde se sitúa esta lección en Tosheo.ai?
Esta lección pertenece a la categoría de ciberseguridad y al curso de ciberseguridad. En Tosheo.ai, la tarea práctica le presenta un conjunto de mensajes ficticios y le pide que identifique la táctica de cada uno, escriba el paso de verificación y redacte un informe; la guía de evaluación le muestra qué señal de alerta pasó por alto. Es una formación de concienciación para empleados y responsables, no un curso técnico de seguridad del correo electrónico.
Fuentes y alcance
NCSC, denunciar un correo electrónico fraudulento (consultado el 19 October 2026) ↗
CISA, cómo reconocer y denunciar la suplantación de identidad (verificado el 19 October 2026) ↗