El verdadero costo de los ataques de phishing

El phishing sigue siendo uno de los métodos de ciberataque más peligrosos, eficaces y extendidos en la actualidad. Según el Informe de Perspectivas de Ciberseguridad de Kaseya para 2026, más de la mitad (56%) de las empresas se han visto afectadas por incidentes relacionados con el phishing al menos una vez, y casi la mitad (49 %) fueron objeto de ataques solo en el último año. Al incitar a los usuarios a hacer clic en enlaces maliciosos, revelar sus credenciales o abrir sin saberlo vías de acceso a la red, los atacantes de phishing pueden causar daños graves y costosos a empresas de todos los tamaños.

Aunque muchos ataques de phishing están diseñados para robar datos, los ciberdelincuentes los modifican o destruyen cada vez con más frecuencia. Los ataques de ransomware —que a menudo se inicián a través de correos electrónicos de phishing— cifran datos críticos y los retienen hasta que se paga un rescate por la clave de descifrado. Una vez dentro de la red, los atacantes también pueden dañar los sistemas y controles principales, lo que genera un impacto operativo y financiero duradero.

En este artículo analizamos en detalle cómo ha evolucionado el phishing en los últimos años y cuál es su coste real para las organizaciones.

Cómo ha evolucionado el phishing desde la última década

Los ataques de phishing se han vuelto más sofisticados, refinados y convincentes en los últimos años. Lo que solían ser torpes correos electrónicos del tipo «Estimado señor, ha ganado un premio», de príncipes nigerianos o de supuestos funcionarios gubernamentales que prometían una gran suma de dinero a cambio de una pequeña tasa por adelantado, ha evolucionado hacia algo mucho más tortuoso y difícil de detectar.

Hace una década, el phishing consistía principalmente en correo basura masivo en el que se enviaba el mismo mensaje a millones de personas. Estos correos estaban plagados de faltas de ortografía y señales de alerta evidentes. Hoy en día, los ataques de phishing están muy orientados a objetivos específicos y adaptados a personas o puestos concretos, como los departamentos de finanzas, recursos humanos o TI.

Los atacantes modernos realizan una investigación exhaustiva antes de actuar. Utilizan información disponible públicamente, sitios web corporativos y plataformas sociales para que sus comunicaciones parezcan legítimas. La suplantación de identidad de marcas es otro método de phishing muy convincente mediante el cual los ciberdelincuentes imitan con gran precisión las marcas en las que confías. Utilizan logotipos, correos electrónicos, facturas y sitios web falsos, además de un lenguaje engañoso, para robar información crítica o instalar software malicioso.

Los ataques de phishing ya no se limitan al correo electrónico. Ahora se propagan a través del smishing (SMS), el vishing (llamadas telefónicas), los códigos de respuesta rápida (QR), herramientas de colaboración como Teams y Slack, y mensajes directos en redes sociales.

Los modelos de ciberdelincuencia basados en suscripción, como el phishing como servicio (PhaaS), proporcionan herramientas de pirateo listas para usar que permiten incluso a personas con conocimientos técnicos limitados ejecutar ataques sofisticados.

En los últimos años, los atacantes han aprovechado la automatización y la inteligencia artificial para escalar la personalización y redactar correos de phishing sumamente convincentes y profesionales. El informe de investigación de violaciones de datos de 2025 reveló que el uso de texto generado por IA en correos maliciosos se ha duplicado en los últimos dos años. Estos correos no contienen las señales de advertencia tradicionales, como una mala gramática o errores ortográficos. Tienen un aspecto totalmente legítimo, lo que dificulta enormemente su identificación.

El phishing en cifras: el panorama actual de amenazas

El correo electrónico es el vector de ataque más utilizado en el ámbito de la ciberseguridad. De hecho, más del 75% de los ciberataques comienzan con un correo electrónico de phishing.

Como se ha mencionado al principio del artículo, el 49% de las empresas se vio afectado por incidentes relacionados con el phishing en 2025. La mayoría de los encuestados en el estudio de Kaseya de 2026 prevé que la avalancha de ataques continúe. Casi el 70 % de las empresas encuestadas cree que será víctima de un ataque de phishing que tendrá éxito en los próximos 12 meses.

Todos los días se envían a nivel mundial un estimado de [3.400 millones de correos electrónicos de phishing](https://app.stationx.net/articles/phishing-statistics#:~:text=An estimated 3.4 billion emails a day are,Around 36% of all data breaches involve phishing.). Si tan solo el 1 % de estos ataques de phishing tienen éxito, equivaldría a 34 millones. Incluso una tasa de clics baja se vuelve peligrosa a gran escala. Cuando decenas de miles de correos de phishing llegan a las bandejas de entrada de su organización a diario, basta con una sola interacción exitosa para causar daños graves.

El informe «El coste de una filtración de datos 2025» reveló que el coste medio mundial de una filtración de datos se redujo un 9%, hasta situarse en $4.44 millones de dólares, frente a los $4.88 millones de dólares registrados en 2024. Este descenso se atribuyó a que las empresas detectaban y contenían las filtraciones con mayor rapidez. El informe también reveló que el phishing fue el método de ataque más habitual, representando el 16% de los incidentes y con un coste medio de $4.8 millones de dólares.

El coste real de un ataque de phishing para una empresa

El verdadero coste del phishing va mucho más allá de una única cuenta comprometida o de la pérdida financiera inicial. Dependiendo de la gravedad del ataque, el impacto en tu negocio puede ser significativo y duradero.

Pérdidas financieras directas

En lo que respecta al phishing, ninguna organización es inmune. Los ataques de phishing exitosos pueden causar graves pérdidas financieras que oscilan entre decenas de miles y millones de dólares por incidente.

Costes de respuesta a incidentes y recuperación

Tras un ciberincidente, tu organización debe investigar la brecha, contar con expertos forenses, restaurar los sistemas y datos críticos, y tomar las medidas necesarias para reforzar la seguridad. Estas actividades exigen tiempo, esfuerzo y dinero. Aparte de esto, tu empresa también debe tener en cuenta los honorarios legales, los informes regulatorios y las posibles multas.

Interrupción de las operaciones

Los ataques de phishing pueden perturbar las operaciones diarias, causar interrupciones en el servicio y retrasar procesos empresariales críticos. Los procesos de remediación —como la respuesta a incidentes, la recuperación de sistemas y las investigaciones forenses— pueden llevar semanas o incluso meses.

Pérdida de productividad de los empleados

Cuando se produce un ciberincidente, los equipos de TI y seguridad deben destinar tiempo y recursos a contener el ataque en lugar de emplearlos en proyectos estratégicos. Es posible que tus empleados también sufran bloqueos de sistemas, restablecimientos de contraseñas e interrupciones en sus flujos de trabajo, lo que puede afectar a la productividad.

Daño a la reputación

Un ataque de phishing o un incidente de filtración de datos puede dañar gravemente la reputación de su empresa. Sus clientes podrían reconsiderar hacer negocios con su organización y la credibilidad de su marca sufrirá daños a largo plazo.

Aumento en las primas de seguros

Una brecha exitosa puede traducirse en mayores costos de ciberseguros y un mayor escrutinio de cumplimiento, especialmente en industrias con normativas estrictas.

Por qué la seguridad de correo electrónico tradicional se queda corta

Los atacantes modernos están cambiando la forma en que ejecutan sus campañas. En lugar de depender principalmente de malware, las campañas de phishing actuales suplantan a marcas de confianza, imitan procesos comerciales cotidianos y explotan el juicio humano para sortear las defensas técnicas.

Al mismo tiempo, utilizan cada vez más contenido generado o asistido por IA. La automatización y la IA generativa les permiten crear rápidamente marcas convincentes, un lenguaje natural y mensajes altamente personalizados a gran escala. Estos correos están diseñados para parecer comunicaciones comerciales rutinarias, lo que dificulta su detección tanto para los empleados como para los sistemas de seguridad tradicionales.

Las soluciones tradicionales de seguridad de correo electrónico se diseñaron para bloquear amenazas conocidas, como spam, virus y archivos adjuntos maliciosos. Sin embargo, las campañas de phishing modernas evolucionan constantemente. Los ciberdelincuentes generan nuevos dominios, redactan contenidos de correo altamente convincentes y rotan la infraestructura rápidamente, lo que dificulta que los controles heredados sigan el ritmo.

Además, si los atacantes obtienen acceso a una cuenta de correo legítima dentro de su organización, las soluciones de seguridad pueden tratar los mensajes de esa cuenta como si provinieran de un remitente interno de confianza. Los filtros tradicionales pueden tener dificultades para detectar estos correos «de confianza», incluso si contienen enlaces maliciosos o solicitudes fraudulentas.

Lo que la defensa moderna contra el phishing debe hacer hoy en día

A medida que los ataques de phishing se vuelven más avanzados y difíciles de detectar, su organización necesita una protección sólida que vaya más allá del filtrado de correo tradicional. La defensa moderna contra el phishing debe ser inteligente, adaptable y tener en cuenta al usuario.

Su solución de protección contra el phishing debe:

Detectar ataques desconocidos y de día cero

Los ciberdelincuentes cambian constantemente sus tácticas y buscan vulnerabilidades que explotar. Las soluciones eficaces de defensa contra el phishing deben ser capaces de identificar amenazas nunca antes vistas mediante análisis de comportamiento, aprendizaje automático y detección de anomalías.

Analizar elementos visuales, marcas y contexto, no solo texto

Los correos de phishing actuales incluyen logotipos realistas, formato y suplantación de marcas, lo que dificulta su identificación. Las defensas avanzadas contra el phishing deben inspeccionar señales visuales, marcas suplantadas y factores contextuales (como solicitudes inusuales o patrones de comunicación) para identificar correos maliciosos.

Proporcionar advertencias claras e integradas que ayuden a los usuarios a tomar decisiones más seguras

Cuando un mensaje sospechoso llega a la bandeja de entrada, los usuarios necesitan orientación en tiempo real para tomar la decisión correcta. Las soluciones modernas contra el phishing deben proporcionar alertas contextuales integradas que expliquen por qué un mensaje es sospechoso. Esta capacidad ayuda a los empleados a detenerse, verificar las solicitudes y tomar decisiones más seguras.

Cómo la protección avanzada contra el phishing impulsada por IA cambia el panorama

Su organización debe adoptar un enfoque proactivo para defenderse de las astutas amenazas de phishing actuales. Eso empieza por replantearse la seguridad de correo electrónico tradicional y adoptar una solución más avanzada.

Necesita una seguridad de correo electrónico impulsada por IA que detecte los intentos de phishing antes de que lleguen a sus usuarios finales. Debe desactivar automáticamente los enlaces maliciosos, poner en cuarentena los correos dañinos y proporcionar advertencias claras y muy visibles que eduquen a los usuarios y les ayuden a reconocer futuras amenazas.

La solución de seguridad de correo electrónico con IA generativa de Kaseya utiliza inteligencia artificial, aprendizaje automático y visión artificial para detener ataques de phishing sofisticados que otras herramientas pasan por alto.

La mayoría de las soluciones antiphishing dependen en gran medida de listas negras de ciberdelincuentes conocidos. Los ciberdelincuentes lo saben y rotan continuamente dominios, URL, direcciones IP e identidades de correo para eludir la detección. En lugar de depender únicamente de listas de amenazas, nuestra solución impulsada por IA analiza el propio correo electrónico. Identifica incoherencias en los nombres de las empresas e incluso puede detectar sutiles alteraciones de logotipos a nivel de píxel. Esto le permite captar falsificaciones muy realistas que parecen legítimas y que a menudo eluden los filtros tradicionales.

Cuando se detecta actividad sospechosa, el sistema neutraliza la amenaza e inserta una advertencia clara e integrada directamente en el cuerpo del correo. Estas alertas no solo protegen a los usuarios, sino que también refuerzan la concienciación sobre seguridad en tiempo real.

Las protecciones integradas en Exchange, Microsoft 365 y Google Workspace proporcionan un nivel básico de seguridad, pero no son suficientes contra las técnicas de phishing modernas. Estos sistemas se basan principalmente en listas negras y filtrado de contenido basado en palabras clave, lo que puede pasar por alto ataques avanzados generados por IA.

Nuestra solución va más allá al analizar y rastrear los enlaces antes de que sean entregados. Evalúa el destino en tiempo real y pone en cuarentena los enlaces sospechosos hasta que se verifica que son seguros.

Detenga las amenazas por correo electrónico antes de que causen daños. Descubra cómo la solución de seguridad de correo electrónico impulsada por IA generativa de Kaseya neutraliza los mensajes maliciosos antes de que puedan comprometer cuentas o interrumpir su organización. Más información.