¿Qué es el phishing y cómo evitarlo?

Qué es el phishing

El phishing (del inglés fishing, «pescar») es una técnica de fraude que usa la suplantación de identidad para que una persona entregue información o haga algo que beneficia al atacante: escribir su clave en un sitio falso, descargar un archivo infectado o pagar una factura inexistente.

No necesita una falla técnica: se aprovecha de la confianza y la prisa. Por eso es la puerta de entrada más común del robo de cuentas de correo, del fraude bancario y de muchos ataques de ransomware.

Tipos de phishing

Ejemplos comunes en Chile

• Falsa deuda o devolución de impuestos a nombre del SII o de la Tesorería, con un enlace para «regularizar».
• Bloqueo de la cuenta bancaria: un SMS o correo pide «validar» los datos en un sitio idéntico al del banco.
• Paquete retenido en una empresa de despacho que pide pagar un pequeño cargo con tarjeta.
• Factura o nota de crédito adjunta de un supuesto proveedor, en un archivo comprimido o un enlace a una carpeta compartida.
• Correo de Microsoft 365 o Google avisando que la casilla está llena o que la clave expira.
• Cambio de cuenta bancaria de un proveedor: el correo parece real porque viene de una cuenta comprometida.

Señales para reconocer un phishing

1. Urgencia o amenaza: «hoy se bloquea tu cuenta», «último aviso».
2. Remitente o dominio que no calza: letras cambiadas, dominios largos o terminaciones raras.
3. Enlace que no va donde dice: al pasar el mouse, la dirección es otra.
4. Pide claves, códigos o datos de tarjeta, algo que un banco o el SII no piden por correo.
5. Adjuntos inesperados: .zip, .html, .iso o documentos que piden «habilitar contenido».
6. Cambios de cuenta para pagar sin una confirmación por otro canal.

Qué hacer si ya hiciste clic o entregaste datos

1. Cambia la clave de inmediato desde el sitio oficial y en cualquier otro servicio donde la repitas.
2. Si entregaste datos bancarios, llama a tu banco para bloquear la tarjeta o la cuenta.
3. Activa el doble factor y cierra las sesiones abiertas.
4. En una empresa, avisa al área de TI: puede revisar si el sitio se abrió desde otros equipos y bloquearlo para todos.
5. Si descargaste un archivo, desconecta el equipo de la red y pide una revisión con el antivirus o EDR.

Cómo proteger una empresa del phishing

Ninguna medida sola alcanza. Lo que funciona es sumar capas:

• Capacitación y simulaciones para que las personas reconozcan el engaño.
• Doble factor en correo, banco y sistemas críticos.
• Filtro del correo para que lleguen menos mensajes falsos.
• Filtro DNS: si alguien hace clic, el sitio falso no abre. WebProtección usa 35 listas de amenazas que se actualizan solas y bloquea phishing y fraude de fábrica, en la oficina y en notebooks que trabajan fuera.
• Procedimiento de pagos: todo cambio de cuenta de un proveedor se confirma por teléfono.

La guía Cómo proteger tu empresa del phishing y el ransomware tiene una lista de pasos para aplicar esta semana.

Preguntas frecuentes

Otras guías