¿Qué es el Spear Phishing? Cómo funciona y cómo prevenirlo

Recibes un correo electrónico que parece ser de tu director ejecutivo. Su nombre te suena. La redacción te resulta familiar. Hace referencia a un proyecto en el que ambos trabajan y te pide que apruebes una transferencia bancaria urgente antes de que acabe el día. No te parece extraño. El tono suena bien. Así que haces clic en "aprobar".

Ese mismo escenario se repite a diario en las organizaciones. Y es por eso que el phishing selectivo sigue siendo una de las ciberamenazas más perjudiciales para las finanzas que enfrentan las empresas. Estos ataques funcionan precisamente porque no parecen ataques. Según El costo de una filtración de datos en 2025 para IBM Según el informe, el phishing fue el punto de entrada más frecuente para los ataques, representando el 16% de los incidentes.

A diferencia de los correos electrónicos de phishing genéricos que se envían a millones de buzones de correo aleatorios, el phishing selectivo es selectivo e intencional. Los atacantes se toman el tiempo de investigar a sus víctimas antes de enviarles nada. Usan nombres reales, cargos, conversaciones recientes y datos de la organización para crear correos electrónicos que superan todas las pruebas de confianza instintivas que los destinatarios aplican.

Comprender qué es el phishing selectivo y cómo se organizan estos ataques es el primer paso para protegerse y proteger a su organización de una amenaza que habitualmente elude los filtros de spam y engaña incluso a los profesionales experimentados.

¿Qué es el phishing selectivo?

El phishing selectivo es un ataque de correo electrónico dirigido y altamente personalizado, dirigido a una persona, equipo u organización específica, no a una lista aleatoria de bandejas de entrada. En lugar de lanzar una red extensa, los atacantes dedican tiempo a investigar a quién se dirigen y luego crean mensajes basados ​​en relaciones reales, contexto interno y datos personales para que el correo electrónico parezca confiable.

Los objetivos generalmente incluyen el robo de credenciales, fraude financiero a través de pagos no autorizados, instalación de malware u obtención de acceso a sistemas y datos confidenciales.

El phishing genérico envía mensajes idénticos a miles o millones de destinatarios, con la esperanza de que un porcentaje caiga en la trampa. El éxito depende del volumen, no de la precisión. El phishing selectivo invierte esa lógica: los atacantes envían menos mensajes, pero invierten mucho más esfuerzo en que cada uno sea convincente.

Investigaciones Descubrieron que las campañas de phishing selectivo personalizadas que explotaban el contexto organizacional eran más efectivas que el phishing genérico. Esto explica por qué los atacantes dedican horas o días a preparar un solo mensaje de phishing selectivo dirigido a un empleado específico.

Aspectos clave del phishing selectivo

Tres características definen el phishing selectivo y lo separan de otras amenazas basadas en correo electrónico.

Personalización

Los mensajes hacen referencia a información real sobre el destinatario, como su nombre, puesto, actividades recientes, compañeros, proyectos o noticias de la empresa. La personalización hace que los destinatarios sientan que el remitente los conoce de verdad, a diferencia de un correo electrónico masivo enviado a desconocidos.

Enfoque dirigido

El phishing selectivo selecciona objetivos estratégicamente. Los atacantes se dirigen a empleados con autoridad financiera, acceso al sistema o datos confidenciales. Ejecutivos, equipos financieros, gerentes de recursos humanos y administradores de TI son objetivos comunes, ya que comprometer a una persona puede generar un acceso significativo o una ganancia financiera.

Ingeniería social

El phishing selectivo explota desencadenantes psicológicos, como la autoridad (mensaje del director ejecutivo), la urgencia (aprobar esto inmediatamente), el miedo (su cuenta será suspendida) y la confianza (mensaje de un colega conocido), para anular el pensamiento crítico y provocar una acción inmediata.

Mantener un lista de correo electrónico limpia Reduce la exposición organizacional al garantizar que las bases de datos de contactos no incluyan direcciones que puedan recopilarse y explotarse para fines de reconocimiento dirigidos a sus propios destinatarios u organizaciones asociadas.

Cómo funciona un ataque de phishing

Los ataques de phishing siguen una metodología estructurada que transforma la información disponible públicamente en mensajes convincentes y peligrosos.

Reconocimiento e investigación

Antes de escribir una sola palabra, los atacantes recopilan información detallada sobre su objetivo. La fase de investigación suele ser más larga que la elaboración del mensaje de ataque.

Fuentes de información que utilizan los atacantes:

• Perfiles de LinkedIn: Títulos de trabajo, responsabilidades, colegas, historial profesional, anuncios recientes
• Sitios web de la empresa: Estructura organizativa, nombres de ejecutivos, comunicados de prensa, ubicaciones de oficinas
• Medio social: Intereses personales, viajes recientes, eventos laborales, relaciones con colegas.
• Bases de datos públicas: Presentaciones de empresas, registros de dominios, registros públicos
• Violaciones de datos anteriores: Direcciones de correo electrónico, contraseñas y datos personales de bases de datos comprometidas

Los atacantes recopilan esta información para identificar relaciones (“quién reporta a quién”), comprender flujos de trabajo (“quién aprueba los pagos”) y encontrar pretextos creíbles (“el CEO acaba de anunciar una nueva adquisición; momento perfecto para una factura falsa”).

La mala gestión de las listas de correo electrónico crea una superficie de ataque adicional. Las organizaciones con listas de correo electrónico expuestas y no validadas ayudan inadvertidamente a los atacantes a confirmar qué direcciones están activas y disponibles. Validar y mantener los datos de contacto mediante validación de lista de correo electrónico reduce esta exposición al garantizar que los datos de correo electrónico de la organización no se conviertan en material de reconocimiento.

Elaborando el mensaje engañoso

Una vez finalizada la investigación, los atacantes construyen mensajes diseñados para pasar todas las comprobaciones de confianza que aplica el destinatario.

Las técnicas de suplantación de identidad incluyen:

• Falsificación de nombre para mostrar: Aparece “Sarah Chen (CEO)” en el campo De mientras se usa una dirección de envío completamente diferente
• Suplantación de dominio: Enviando desde sales@costex.com or sales@costex.com en lugar de sales@costex.com
• Compromiso de cuenta: Utilizar una cuenta de correo electrónico legítimamente comprometida para que el mensaje provenga de la dirección real

Los atacantes adaptan el tono de escritura de los remitentes suplantados (formal o informal, breve o detallado) basándose en ejemplos recopilados durante el reconocimiento. Las referencias a proyectos reales, miembros del equipo o eventos recientes de la empresa hacen que los mensajes parezcan auténticos.

El llamado a la acción y la explotación

Una vez que el destinatario confía en el mensaje, los atacantes lo dirigen hacia acciones que le proporcionen credenciales, dinero o acceso al sistema.

Solicitudes comunes de atacantes:

• Verificación de inicio de sesión: “Su cuenta requiere una nueva autenticación inmediata” con un enlace a una página de inicio de sesión falsa
• Aprobación de pago: “Por favor, procese esta factura antes del final del día” con datos bancarios fraudulentos
• Descargas de archivos: “Revisar el contrato adjunto” que entrega malware oculto en archivos de documentos
• Presentación de credenciales: “Actualice sus credenciales para mantener el acceso” capturando nombres de usuario y contraseñas

Las páginas de inicio de sesión falsas suelen replicar servicios legítimos píxel por píxel. Los destinatarios introducen sus credenciales creyendo que acceden a un sistema real, mientras que los atacantes capturan todo lo escrito.

Tipos comunes de ataques de phishing selectivo

El phishing selectivo se manifiesta en varios patrones de ataque distintos, cada uno de los cuales apunta a diferentes vulnerabilidades y roles organizacionales.

Ballenero

El whaling se dirige a altos ejecutivos y altos directivos (CEO, CFO y COO), cuya autoridad y acceso los convierten en objetivos de alto valor. Los ataques whaling exitosos pueden autorizar grandes transferencias financieras, exponer estrategias confidenciales o comprometer sistemas con amplio acceso.

Los atacantes investigan a los ejecutivos exhaustivamente, a menudo con meses de anticipación, para comprender su estilo de comunicación, sus cronogramas de viaje y sus prioridades comerciales actuales antes de atacar.

Compromiso de correo electrónico comercial (BEC)

Los ataques BEC se hacen pasar por proveedores, socios o directivos internos para redirigir pagos legítimos a cuentas controladas por el atacante. Un ataque BEC típico se hace pasar por un proveedor conocido que solicita un cambio de cuenta para las próximas facturas.

Según el Centro de Quejas de Delitos en Internet del FBI (IC3)La vulneración del correo electrónico empresarial sigue siendo una de las principales amenazas cibernéticas a nivel mundial y causa miles de millones de dólares en pérdidas cada año.

Extensiones de vishing y smishing

El phishing selectivo no suele limitarse al correo electrónico. Los atacantes combinan el contacto inicial por correo electrónico con llamadas telefónicas de seguimiento (vishing) o mensajes SMS (smishing) para aumentar su credibilidad. Un correo electrónico de phishing selectivo podría confirmarse con una llamada de seguimiento de alguien que dice ser del soporte técnico, el asistente del ejecutivo o un contacto comercial conocido.

Este enfoque multicanal es particularmente eficaz porque imita cómo ocurren realmente las comunicaciones urgentes legítimas en las organizaciones.

Cómo identificar un ataque dirigido

Los ataques de phishing están diseñados para evitar ser detectados, pero ciertas señales de advertencia revelan su verdadera naturaleza tras una inspección cuidadosa.

Señales de advertencia a tener en cuenta:

• Ligeros cambios en la dirección del remitente: sales@costex.com vs sales@costex.com or sales@costex.com
• Urgencia inesperada: “Debe hacerse hoy”, “Antes de salir de la oficina”, “Se requiere acción inmediata”
• Solicitudes financieras inusuales: Transferencias bancarias a nuevas cuentas, cambios de método de pago, compras con tarjetas de regalo
• Solicitudes que evaden el proceso normal: “No recurras a los canales habituales para esto”
• URL no coincidentes: Pase el cursor sobre los enlaces antes de hacer clic; el texto mostrado dice un dominio, la URL real dice otro
• Inconsistencias gramaticales: Errores sutiles en mensajes que de otro modo serían profesionales, o un tono que no coincide del todo con el supuesto remitente.

Revisando el reputación de dominio La cantidad de dominios de remitentes ayuda a identificar dominios similares registrados recientemente sin un historial establecido (un indicador común de la infraestructura de phishing selectivo).

Cómo prevenir los ataques de Spear Phishing

La prevención del phishing selectivo funciona mejor cuando las medidas de seguridad técnicas, los procedimientos internos y la concienciación diaria se refuerzan entre sí en lugar de operar de forma aislada.

Soluciones técnicas

Los controles técnicos sólidos forman la primera línea de defensa al limitar lo que los atacantes pueden hacer, incluso si un mensaje llega a una bandeja de entrada.

• Autenticación de múltiples factores (MFA): Según Microsoft, MFA bloquea mayor a 99% de ataques de vulneración de cuentas. Incluso cuando los atacantes obtienen credenciales mediante phishing selectivo, la MFA les impide usar contraseñas robadas para acceder a las cuentas.
• Protocolos de autenticación de correo electrónico: Poner en marcha Registros SPF, DKIM y DMARC Evita que los atacantes envíen mensajes que parecen provenir de su dominio, protegiendo tanto a sus empleados como a sus contactos de ataques de suplantación de identidad.
• Escaneo de URL y archivos adjuntos: Las plataformas de seguridad que analizan los enlaces y archivos adjuntos antes de su entrega detectan contenido malicioso antes de que los destinatarios interactúen con él.

Capacitación y simulación de empleados

Los ejercicios regulares de simulación de phishing, en los que el departamento de TI envía correos electrónicos de phishing falsos y controlados para probar las respuestas de los empleados, desarrollan habilidades de reconocimiento de manera más efectiva que la capacitación anual de concientización por sí sola.

El Verizon 2025 Informe de investigaciones de violación de datos Se observó que alrededor del 60 % de las brechas de seguridad involucraban un factor humano, como la ingeniería social. La capacitación que simula técnicas de ataque reales, incluyendo tácticas de personalización de phishing selectivo, ayuda a los empleados a reconocer y reportar mensajes sospechosos antes de actuar en consecuencia.

Controles de procesos organizacionales

Los procedimientos internos claros reducen el riesgo cuando los correos electrónicos intentan activar acciones urgentes o sensibles. Los pasos de verificación para solicitudes de pago, cambios de credenciales o acceso a datos confidenciales deben requerir confirmación a través de un canal independiente, como una llamada telefónica o una verificación en persona, independientemente de la legitimidad del mensaje.

Higiene de la lista de correo electrónico con DeBounce

Mantener una relación fuerte reputación del remitente de correo electrónico Esto dificulta que los atacantes suplanten su dominio de forma convincente. Las organizaciones con listas de correo electrónico limpias y validadas, autenticación adecuada y bajas tasas de rebote establecen patrones de envío claros que facilitan la detección de mensajes falsificados por parte de las herramientas de seguridad y los destinatarios.

Monitoreo de listas de correo electrónico Mantiene las listas de contactos validadas continuamente, eliminando direcciones no válidas y riesgosas que podrían exponer datos de la organización o debilitar los patrones de envío legítimos que los sistemas de autenticación utilizan para marcar anomalías.

Proteja los datos más confidenciales de su organización

El éxito del phishing selectivo no se basa en la sofisticación técnica, sino en una investigación minuciosa y precisión psicológica. Los atacantes invierten tiempo en comprender a sus objetivos para que los mensajes parezcan comunicaciones internas legítimas y no amenazas externas.

Para defenderse de estos ataques es necesario combinar esa precisión con una protección de niveles igualmente altos: controles técnicos (MFA, autenticación de correo electrónico, escaneo de URL), defensas humanas (empleados capacitados que verifican antes de actuar) y una infraestructura de correo electrónico limpia que refuerce la credibilidad del remitente y reduzca las oportunidades de reconocimiento de los atacantes.

Evalúe su configuración actual de autenticación de correo electrónico. Si no ha implementado DMARC en la política de cumplimiento, comience por ahí (es el paso técnico más directo para prevenir la suplantación de dominio). Luego, revise el nivel de conocimiento de los empleados: ¿cuándo practicó su equipo por última vez la identificación de intentos de phishing dirigidos?

Mantenga su infraestructura de correo electrónico como parte de su estrategia de seguridad. Utilice Debounce Para validar las listas de contactos, mantener una reputación de remitente sólida y garantizar que los datos de correo electrónico de su organización no se conviertan en material de reconocimiento para los atacantes que planean su próxima campaña de phishing selectivo. Las listas limpias y verificadas garantizan la entregabilidad y la seguridad de todo lo que envía.