El phishing sigue siendo uno de los métodos de ciberataque más peligrosos, eficaces y extendidos en la actualidad. Según el Informe de Perspectivas de Ciberseguridad de Kaseya para 2026, más de la mitad (56%) de las empresas se han visto afectadas por incidentes relacionados con el phishing al menos una vez, y casi la mitad (49 %) fueron objeto de ataques solo en el último año. Al incitar a los usuarios a hacer clic en enlaces maliciosos, revelar sus credenciales o abrir sin saberlo vías de acceso a la red, los atacantes de phishing pueden causar daños graves y costosos a empresas de todos los tamaños.
Aunque muchos ataques de phishing están diseñados para robar datos, los ciberdelincuentes cada vez recurren más a modificarlos o destruirlos. Los ataques de ransomware —que a menudo se inician a través de correos electrónicos de phishing— cifran datos críticos y los retienen como rehenes hasta que se paga un rescate a cambio de la clave de descifrado. Una vez dentro de una red, los atacantes también pueden dañar los sistemas y controles fundamentales, lo que provoca repercusiones operativas y financieras a largo plazo.
En este artículo, analizamos en profundidad cómo ha evolucionado el phishing en los últimos años y examinamos el verdadero coste que suponen los ataques de phishing para las organizaciones.
Cómo ha evolucionado el phishing desde la última década
En los últimos años, los ataques de phishing se han vuelto más sofisticados, refinados y convincentes. Lo que antes eran correos torpes del tipo «Estimado señor, ha ganado un premio» o mensajes de príncipes nigerianos o funcionarios del Gobierno que prometían una gran suma de dinero a cambio de un pequeño anticipo, se ha convertido en algo mucho más tortuoso y difícil de detectar.
Hace una década, el phishing consistía principalmente en el envío masivo de correos electrónicos no deseados. Se enviaba el mismo mensaje a millones de personas. Estos correos estaban plagados de errores ortográficos y señales de alerta evidentes. Hoy en día, los ataques de phishing son muy específicos, con mensajes adaptados a personas concretas o a departamentos concretos, como el de finanzas, recursos humanos o informática.
Los atacantes actuales llevan a cabo una investigación exhaustiva antes de actuar. Utilizan información de dominio público, sitios web de empresas y redes sociales para que sus comunicaciones parezcan legítimas. La suplantación de marcas es otro método de phishing muy convincente en el que los ciberdelincuentes imitan con gran precisión las marcas en las que confías. Utilizan logotipos, correos electrónicos, facturas y sitios web falsos, así como un lenguaje engañoso, para robar información crítica o instalar software malicioso.
Los ataques de phishing han evolucionado más allá del correo electrónico. Ahora se extienden a través del smishing (SMS), el vishing (llamadas telefónicas), los códigos QR, herramientas de colaboración como Teams y Slack, y los mensajes directos (DM) en las redes sociales.
Los modelos de ciberdelincuencia basados en suscripción, como el «phishing como servicio» (PhaaS), proporcionan herramientas de piratería informática ya preparadas, lo que permite incluso a quienes tienen conocimientos técnicos limitados llevar a cabo ataques sofisticados.
En los últimos años, los atacantes han aprovechado la automatización y la inteligencia artificial para ampliar la personalización y crear correos electrónicos de phishing muy convincentes y profesionales. El Informe sobre investigaciones de filtraciones de datos de 2025 reveló que el uso de texto generado por inteligencia artificial en correos electrónicos maliciosos se ha duplicado en los últimos dos años. Estos correos electrónicos no contienen las señales de alerta habituales, como una gramática deficiente o errores ortográficos. Parecen totalmente legítimos, lo que hace que sean extremadamente difíciles de identificar.
El phishing en cifras: el panorama actual de amenazas
El correo electrónico es el vector de ataque más utilizado en el ámbito de la ciberseguridad. De hecho, más del 75% de los ciberataques comienzan con un correo electrónico de phishing.
Como se ha mencionado al principio del artículo, el 49% de las empresas se vio afectado por incidentes relacionados con el phishing en 2025. La mayoría de los encuestados en el estudio de Kaseya de 2026 prevé que la avalancha de ataques continúe. Casi el 70 % de las empresas encuestadas cree que será víctima de un ataque de phishing que tendrá éxito en los próximos 12 meses.
Se calcula que cada día se envían 3.400 millones de correos electrónicos de phishing en todo el mundo. Si tan solo el 1% de estos ataques de phishing tuviera éxito, eso supondría 34 millones. Incluso una tasa de clics baja se convierte en un peligro a gran escala. Cuando decenas de miles de correos electrónicos de phishing llegan a diario a los buzones de correo de tu organización, basta con una sola interacción exitosa para causar daños graves.
El informe «El coste de una filtración de datos 2025» reveló que el coste medio mundial de una filtración de datos se redujo un 9%, hasta situarse en $4.44 millones de dólares, frente a los $4.88 millones de dólares registrados en 2024. Este descenso se atribuyó a que las empresas detectaban y contenían las filtraciones con mayor rapidez. El informe también reveló que el phishing fue el método de ataque más habitual, representando el 16% de los incidentes y con un coste medio de $4.8 millones de dólares.
Cuánto le cuesta realmente a una empresa un ataque de phishing
El verdadero coste del phishing va mucho más allá de una sola cuenta comprometida o de la pérdida económica inicial. Dependiendo de la gravedad del ataque, el impacto en su empresa puede ser considerable y duradero.
Pérdidas económicas directas
En lo que respecta al phishing, ninguna organización es inmune. Los ataques de phishing que tienen éxito pueden provocar graves pérdidas económicas que oscilan entre decenas de miles y millones de dólares por incidente.
Costes de respuesta ante incidentes y recuperación
Tras un incidente cibernético, su organización debe investigar la violación de seguridad, recurrir a expertos forenses, restaurar los sistemas y datos críticos, y adoptar las medidas necesarias para reforzar la seguridad. Estas actividades requieren tiempo, esfuerzo y dinero. Además, su empresa también debe tener en cuenta los gastos legales, la presentación de informes reglamentarios y las posibles multas.
Perturbaciones operativas
Los ataques de phishing pueden perturbar las operaciones diarias, provocar interrupciones en el servicio y retrasar procesos empresariales críticos. Los procesos de corrección, como la respuesta a incidentes, la recuperación de sistemas y las investigaciones forenses, pueden llevar semanas o incluso meses.
Pérdida de productividad de los empleados
Cuando se produce un incidente cibernético, los equipos de TI y de seguridad deben dedicar tiempo y recursos a contener el ataque, en lugar de emplearlos en proyectos estratégicos. Además, sus empleados pueden verse afectados por bloqueos del sistema, restablecimientos de contraseñas e interrupciones en los flujos de trabajo, lo que puede afectar a la productividad.
Daños a la reputación
Un ataque de phishing o una filtración de datos pueden dañar gravemente la reputación de su empresa. Sus clientes podrían replantearse seguir trabajando con su organización, y la credibilidad de la marca podría verse afectada a largo plazo.
Aumento de las primas de seguro
Una violación de seguridad que tenga éxito puede provocar un aumento de los costes del seguro cibernético y un mayor escrutinio en materia de cumplimiento normativo, especialmente en sectores con requisitos de cumplimiento estrictos.
Por qué la seguridad tradicional del correo electrónico se queda corta
Los atacantes actuales están cambiando la forma en que llevan a cabo sus campañas. En lugar de depender principalmente del malware, las campañas de phishing actuales se hacen pasar por marcas de confianza, imitan los procesos empresariales cotidianos y se aprovechan de los errores humanos para eludir las defensas técnicas.
Al mismo tiempo, recurren cada vez más a contenidos generados o asistidos por IA. La automatización y la IA generativa les permiten crear rápidamente, a gran escala, una imagen de marca convincente, un lenguaje que suena natural y mensajes altamente personalizados. Estos correos electrónicos están diseñados para parecer comunicaciones comerciales rutinarias, lo que dificulta su detección tanto por parte de los empleados como de los sistemas de seguridad tradicionales.
Las soluciones tradicionales de seguridad del correo electrónico se diseñaron para bloquear amenazas conocidas, como el spam, los virus y los archivos adjuntos maliciosos. Sin embargo, las campañas modernas de phishing están en constante evolución. Los autores de las amenazas crean nuevos dominios, redactan contenidos de correo electrónico muy convincentes y cambian rápidamente de infraestructura, lo que dificulta que los controles tradicionales puedan seguirles el ritmo.
Además, si los atacantes consiguen acceder a una cuenta de correo electrónico legítima dentro de su organización, es posible que las soluciones de seguridad del correo electrónico consideren que los mensajes procedentes de esa cuenta provienen de un remitente interno de confianza. Los filtros tradicionales pueden tener dificultades para detectar estos correos electrónicos «de confianza», incluso si contienen enlaces maliciosos o solicitudes fraudulentas.
Lo que debe hacer hoy en día una defensa eficaz contra el phishing
A medida que los ataques de phishing se vuelven más sofisticados y difíciles de detectar, su organización necesita una protección sólida que vaya más allá del filtrado tradicional del correo electrónico. La defensa moderna contra el phishing debe ser inteligente, adaptativa y tener en cuenta las necesidades de los usuarios.
Tu solución de protección contra el phishing debería:
Detectar ataques desconocidos y de día cero
Los autores de amenazas cambian constantemente sus tácticas y buscan vulnerabilidades que puedan aprovechar. Las soluciones eficaces de defensa contra el phishing deben ser capaces de identificar amenazas nunca vistas mediante el análisis de comportamiento, el aprendizaje automático y la detección de anomalías.
Analiza los elementos visuales, la imagen de marca y el contexto, no solo el texto
Los correos electrónicos de phishing actuales incluyen logotipos realistas, un formato convincente y la suplantación de marcas, lo que hace que sean más difíciles de detectar. Los sistemas avanzados de defensa contra el phishing deben analizar las señales visuales, las marcas falsificadas y los factores contextuales (como solicitudes inusuales o patrones de comunicación) para identificar los correos electrónicos maliciosos.
Incluir advertencias claras y integradas que ayuden a los usuarios a tomar decisiones más seguras
Cuando llega un mensaje sospechoso a la bandeja de entrada, los usuarios necesitan orientación en tiempo real para tomar la decisión correcta. Las soluciones antiphishing modernas deben ofrecer alertas contextuales integradas que expliquen por qué un mensaje es sospechoso. Esta función ayuda a los empleados a detenerse un momento, verificar las solicitudes y tomar decisiones más seguras.
Cómo la protección avanzada contra el phishing basada en la inteligencia artificial cambia las reglas del juego
Su organización debe adoptar un enfoque proactivo para defenderse de las sofisticadas amenazas de phishing actuales. Para ello, es necesario replantearse la seguridad tradicional del correo electrónico y adoptar una solución más avanzada.
Necesitas una solución de seguridad para el correo electrónico basada en inteligencia artificial que detecte los intentos de phishing antes de que lleguen a tus usuarios finales. Debe desactivar automáticamente los enlaces maliciosos, poner en cuarentena los correos electrónicos dañinos y mostrar avisos claros y bien visibles que eduquen a los usuarios y les ayuden a reconocer futuras amenazas.
La solución de seguridad del correo electrónico de Kaseya, basada en GenAI, utiliza inteligencia artificial, aprendizaje automático y visión artificial para detener ataques de phishing sofisticados que otras herramientas no detectan.
La mayoría de las soluciones antiphishing se basan en gran medida en listas negras de autores de amenazas conocidos. Los ciberdelincuentes son conscientes de ello y cambian continuamente de dominios, URL, direcciones IP e identidades de correo electrónico para eludir la detección. En lugar de basarse únicamente en listas de amenazas, nuestra solución basada en inteligencia artificial analiza el propio correo electrónico. Identifica inconsistencias en los nombres de las empresas e incluso puede detectar alteraciones sutiles en los logotipos, hasta el nivel de píxeles. Esto le permite detectar falsificaciones muy realistas que parecen legítimas y que a menudo eluden los filtros tradicionales.
Cuando se detecta una actividad sospechosa, el sistema neutraliza la amenaza e inserta una advertencia destacada directamente en el cuerpo del correo electrónico. Estos avisos no solo protegen a los usuarios, sino que también refuerzan la concienciación sobre la seguridad en tiempo real.
Las protecciones integradas en Exchange, Microsoft 365 y Google Workspace ofrecen un nivel básico de seguridad, pero no son suficientes para hacer frente a las técnicas modernas de phishing. Estos sistemas se basan principalmente en listas negras y en el filtrado de contenidos basado en palabras clave, lo que puede hacer que pasen desapercibidos los ataques avanzados generados por IA.
Nuestra solución va más allá, ya que analiza y rastrea los enlaces antes de que se muestren. Evalúa el destino en tiempo real y pone en cuarentena los enlaces sospechosos hasta que se compruebe que son seguros.
Detenga las amenazas por correo electrónico antes de que causen daños. Descubra cómo la solución de seguridad de correo electrónico de Kaseya, basada en IA generativa, neutraliza los mensajes maliciosos antes de que puedan comprometer las cuentas o afectar al funcionamiento de su organización. Más información.
