Seguridad del correo electrónico e ingeniería social: lo que los empleados deben saber

¿Qué es la ingeniería social y por qué el correo sigue siendo el vector principal?

La ingeniería social es el término genérico para las técnicas que atacan al ser humano, no a la tecnología. Un atacante manipula la confianza, aprovecha la urgencia, se hace pasar por una autoridad o juega con la curiosidad. La seguridad del correo no es por tanto un asunto solo de filtros: una vez que un mensaje pasa la pasarela, el comportamiento del destinatario es la última línea de defensa.

El correo sigue siendo en 2026 el canal más utilizado para la ingeniería social, por tres razones. La primera es el volumen: casi cualquier empleado recibe decenas de correos al día y carece de tiempo para una inspección profunda. La segunda es que la identidad es falsificable: nombres de remitente, logos y firmas se imitan sin esfuerzo. La tercera es el coste: un atacante puede dirigirse a miles de organizaciones en una sola campaña.

La ingeniería social moderna, sin embargo, raramente se queda solo en el correo. Los ataques recorren varios canales en paralelo: un correo que lleva a una llamada, un SMS que lleva a un código QR en una página falsa, un mensaje de LinkedIn que termina en una llamada de Teams. La pregunta para una organización no es entonces "¿cómo mantengo el phishing fuera?" sino "¿cómo aseguro que los empleados tengan el reflejo correcto cuando algo se cuela?".

Phishing 2.0: la IA ha inclinado el campo de juego

Hasta 2023 el phishing solía reconocerse por frases torpes, errores de idioma y saludos extraños. Esa época terminó. La IA generativa produce en segundos un correo impecable en cualquier idioma, perfectamente alineado con el tono de su organización. La vieja regla según la cual los errores significaban un fraude y el lenguaje fluido un mensaje real ya no funciona, y en algunas formaciones se ha vuelto activamente dañina porque adormece a los empleados.

Lo que sí sigue funcionando es la anomalía de contexto. Una petición que no encaja con la relación ("¿por qué este proveedor me pregunta por la factura?"), una hora inusual (viernes por la tarde antes de un fin de semana largo), un canal distinto al habitual (un compañero que normalmente usa Teams envía de pronto un correo personal). Y, sobre todo, una petición que se aparta del proceso habitual: un pago fuera de la ruta estándar de aprobación, un cambio urgente de datos bancarios, un código MFA que se pide compartir por WhatsApp.

Entrene por tanto a los empleados en la desviación de proceso, no en los errores ortográficos. La pregunta "¿esto encaja con cómo lo hacemos normalmente?" es un filtro más fiable que cualquier corrector. Las buenas simulaciones practican precisamente este principio, no enviando correos extraños, sino correos creíbles que contienen pequeñas desviaciones de proceso.

Las cuatro formas modernas que todo empleado debe reconocer

El phishing hace tiempo que dejó de limitarse al correo. Cuatro formas merecen un lugar explícito en toda formación de seguridad de correo e ingeniería social:

• Smishing (phishing por SMS): un texto corto con urgencia ("su paquete no pudo entregarse, pulse aquí") con un enlace a una página falsa. Funciona porque la gente es menos crítica en el móvil que en el portátil.
• Vishing (phishing por voz): un atacante llama haciéndose pasar por helpdesk, banco o proveedor. Con el clonado de voz por IA puede sonar como la directora o una colega conocida. Truco clásico: "estoy mirando su cuenta para limitar el daño, ¿puede confirmarme los seis dígitos que aparecen en su pantalla?". El atacante acaba de disparar un restablecimiento de contraseña y usa al empleado como llave.
• Quishing (phishing por QR): un código QR en un correo o en un cartel que lleva a una página falsa. Los filtros de seguridad de correo no leen códigos QR, y los empleados suelen escanear con su móvil personal fuera del perímetro corporativo. Ejemplo típico: un correo de "re-registro MFA" cuyo QR lleva a una página que captura contraseña y código MFA de una sola vez.
• Business Email Compromise (BEC): la bandeja legítima de un compañero o proveedor ha sido tomada. Desde ahí llega un correo real con una petición real: un pago, un cambio de datos bancarios. Indistinguible de un mensaje normal porque viene realmente de la dirección real. El BEC es la forma de ciberdelito financieramente más costosa a nivel mundial.

Por qué el MFA ya no basta, y qué significa eso para la concienciación

La autenticación multifactor (MFA) fue durante años la respuesta al robo de contraseñas. Un atacante con su contraseña no podía entrar sin el segundo factor. En 2026 esa certeza ha desaparecido: los ciberdelincuentes esquivan el MFA de forma rutinaria mediante tres técnicas.

MFA fatigue (push bombing). El atacante tiene su contraseña y envía continuamente notificaciones push: diez, veinte, cincuenta veces, a menudo de noche. Objetivo: que por frustración o somnolencia pulse "aprobar" una vez. Mensaje de concienciación: un flujo inesperado de avisos MFA es un ataque. No aprobar, avisar a TI y cambiar la contraseña de inmediato.

Adversary-in-the-Middle (AitM). El atacante monta una página falsa que imita exactamente la de inicio de sesión real. Cuando introduce contraseña y código MFA, la página falsa los reenvía a la real y roba la cookie de sesión. Con esa cookie el atacante asume su sesión sin tener que pasar de nuevo el MFA. Usted no nota nada: ve su correo o documento como esperaba. Mensaje de concienciación: compruebe siempre que está en la página real e inicie sesión preferiblemente desde un marcador, no desde un enlace en un mensaje.

SIM swap. El atacante convence a su operador para trasladar su número a la SIM de él. A partir de ese momento recibe sus códigos MFA por SMS. Mensaje de concienciación: para el MFA prefiera una aplicación authenticator o una llave de hardware al SMS. Y si su teléfono indica "sin red" en un momento extraño, contacte de inmediato con su operador.

El futuro es sin contraseña. Las passkeys y las llaves de hardware (FIDO2) resisten todas estas técnicas. Para su programa de concienciación es un mensaje importante: explique por qué su organización pasa a estos métodos, para que los empleados los perciban como protección y no como obstáculo.

Verificar no es desconfiar: cinco reglas para los empleados

Lo que todas las técnicas modernas de ingeniería social tienen en común es que explotan la confianza. Confianza en su bandeja, en una voz familiar, en una notificación MFA, en un proveedor. El hilo conductor de la concienciación es por tanto simple: verificar no es desconfiar, es profesionalidad. La pregunta "¿esto cuadra?" siempre es legítima, también dirigida al jefe.

• Urgencia o presión es una bandera roja. Los mensajes reales dejan tiempo. "Hágalo ya, si no…" es casi siempre una manipulación.
• Verificar peticiones inusuales por un segundo canal. Llamar a un número conocido (de la intranet, no del mensaje), pasar en persona, abrir una llamada de Teams que usted inicia. Verificar por el mismo canal que el mensaje sospechoso no es verificación.
• Compruebe el destino antes de hacer clic. En escritorio: pase el ratón sobre el enlace para ver el destino real. En móvil: mantenga el dedo pulsado. En caso de duda: vaya manualmente al sitio desde un marcador.
• Ante la duda: avisar. Mejor diez avisos falsos que un ataque real perdido. Una cultura de aviso sin culpas es un resultado de concienciación más importante que una tasa de clic baja.
• Nadie le pide jamás su código MFA, contraseña o código de un solo uso. Ni TI, ni su banco, ni un proveedor. Un empleado que conoce y aplica esta regla queda protegido frente a prácticamente todos los ataques de vishing y suplantación de helpdesk.

Cómo anclar esto en un programa de concienciación en seguridad

Una formación larga que lo cubre todo en un día no funciona. Demasiada información de golpe y el contenido queda obsoleto en meses. Lo que sí funciona es un ritmo de módulos cortos y recurrentes en los que cada tema se practica por separado.

Combine el e-learning con simulaciones de phishing que incluyan también las formas modernas: no solo correos de phishing clásicos, sino escenarios de smishing, carteles de quishing y páginas AitM. Haga explícitos los protocolos de verificación antes de necesitarlos: un número de rellamada para cambios de proveedor, principio de cuatro ojos por encima de un importe umbral, una frase clave secreta entre dirección y finanzas para transferencias urgentes.

Mantenga una cultura de notificación. Los empleados deben poder avisar de mensajes sospechosos sin vergüenza, también cuando ellos mismos han hecho clic. Un atacante se beneficia del silencio; la concienciación vive del aviso rápido para que TI detenga el ataque antes de que se propague.

Por último, actualice el contenido al menos cada seis meses. El panorama de amenazas cambia más rápido. Las herramientas de IA, los precios del deepfake y las técnicas de evasión de MFA evolucionan en meses, no en años. Un programa de concienciación que estaba al día en 2023 es, en 2026, un manual para atacantes.

Artículos relacionados

• ¿Qué es el phishing?
• Reconocer el phishing: señales importantes
• Reconocer ataques de fatiga MFA
• Detectar y prevenir el fraude del CEO

Fuentes

• CISA: evitar ingeniería social y phishing
• NCSC NL: phishing (visión general)
• ENISA: Threat Landscape

FAQ

¿Cuál es la diferencia entre phishing e ingeniería social?

La ingeniería social es la técnica general con la que los atacantes explotan la confianza humana. El phishing es una forma específica: ingeniería social por correo electrónico. Otras formas son vishing (teléfono), smishing (SMS), quishing (QR) y pretexting (pretexto inventado).

¿Sigue siendo útil el MFA frente al phishing moderno?

El MFA mediante aplicación authenticator o llave de hardware sigue siendo una capa importante, pero se evade de forma rutinaria mediante MFA fatigue, adversary-in-the-middle y SIM swap. La defensa más sólida combina MFA resistente al phishing (FIDO2 o passkeys), buen comportamiento y aviso rápido de invitaciones de inicio de sesión inusuales.

¿Con qué frecuencia formar a los empleados en seguridad del correo?

Módulos cortos de cinco a diez minutos cada mes funcionan demostradamente mejor que una formación anual de dos horas. Complete con dos a cuatro simulaciones de phishing al año para practicar el reconocimiento en condiciones realistas.

¿Qué es el quishing y por qué es tan peligroso?

El quishing es phishing mediante códigos QR. Es peligroso porque los filtros de seguridad de correo no leen códigos QR: el enlace malicioso es invisible para ellos. Además, los empleados suelen escanear los QR con su móvil personal, fuera del perímetro de seguridad de la empresa.

¿Los empleados deben borrar los correos sospechosos o notificarlos?

Notificarlos, no borrarlos. Un aviso permite al equipo de TI investigar el ataque, advertir a otros compañeros y contener posibles comprometimientos. Borrar regala al atacante el silencio para seguir en otra parte.

¿Qué verificación funciona contra una llamada con voz deepfake?

Para peticiones financieras inusuales, verifique siempre por un canal independiente: rellamada a un número conocido, reunión presencial, o frase clave secreta entre dirección y finanzas, conocida solo de viva voz. La detección visual de deepfakes no es fiable; la verificación basada en proceso, sí.

¿Cómo mido si mi concienciación sobre seguridad del correo funciona?

Combine tres métricas: tasa de clic en simulaciones (más baja es mejor), tasa de notificación (más alta es mejor, buena señal de que los empleados se sienten seguros para avisar) y tiempo hasta el primer aviso (más rápido es mejor). A largo plazo la tasa de notificación pesa más que la tasa de clic.