Spear phishing: qué es, cómo funciona y cómo prevenirlo

El spear phishing es una modalidad de phishing dirigida contra una persona, un equipo o una organización concreta. En lugar de enviar un mensaje genérico a miles de destinatarios, quien intenta engañar adapta el contexto: puede conocer el nombre, el puesto, un proveedor, un proyecto o una herramienta que la víctima utiliza de verdad.

Esa personalización no convierte el mensaje en sofisticado técnicamente, pero sí puede hacerlo más convincente. La defensa sigue siendo humana y organizativa: comprobar lo que cambia, usar un canal independiente y no permitir que la urgencia sustituya a la verificación.

Cómo se diferencia del phishing genérico

Un correo masivo suele tener señales evidentes: saludos impersonales, idiomas extraños o un contexto poco creíble. En el spear phishing puede aparecer el nombre de un compañero, un asunto relacionado con una factura real o una petición aparentemente enviada por alguien con autoridad.

Por eso no basta con preguntar “¿parece profesional?”. La pregunta correcta es: ¿puedo verificar esta petición sin usar el enlace, el teléfono o la respuesta que proporciona el propio mensaje?

Situaciones habituales que debes comprobar

• Cambios de cuenta bancaria. Un supuesto proveedor pide que el próximo pago se envíe a una cuenta diferente.
• Petición urgente desde dirección. Alguien con apariencia de responsable solicita comprar tarjetas, compartir información o saltarse el procedimiento.
• Documentos compartidos. Un correo avisa de una carpeta o factura y te lleva a una página que pide volver a iniciar sesión.
• Restablecimiento de contraseñas. Un mensaje intenta que entregues un código MFA o que apruebes un inicio de sesión que no has iniciado.
• Reclutamiento, entrega o invitación a evento. El contexto puede ser realista, pero el archivo, enlace o remitente no lo es.

Señales que conviene revisar

La dirección completa, no solo el nombre visible

Un nombre de remitente puede imitar a una persona conocida. Abre los detalles y revisa el dominio. Observa letras sustituidas, dominios adicionales y respuestas dirigidas a otra dirección. No hace falta conocer cada dominio de memoria: basta con detectar aquello que no encaja y confirmarlo por otra vía.

La petición, no solo el diseño

Un mensaje perfectamente redactado puede ser fraudulento. Presta atención a acciones poco normales: transferir dinero, compartir datos personales, abrir una sesión, descargar un archivo, cambiar permisos o ignorar un control interno.

La urgencia y el aislamiento

“No llames”, “estoy en una reunión”, “necesito que lo hagas ya” o “es confidencial” son frases que buscan reducir la posibilidad de contraste. Un proceso sano permite pausar una acción sensible para comprobarla.

El método de verificación que funciona

Cuando una solicitud puede tener impacto económico, acceso a información o cambios administrativos, verifica por un canal que ya conocieras antes del mensaje: llama al número registrado del proveedor, escribe a la persona desde el directorio corporativo o abre tú mismo la aplicación oficial. No respondas al mismo hilo ni uses el teléfono incluido si ese dato procede del correo dudoso.

La verificación debe ser proporcional. No hace falta llamar por cada mensaje rutinario, pero sí antes de realizar pagos, revelar datos confidenciales, aprobar accesos o modificar cuentas. Convertir ese paso en parte del proceso elimina mucha presión individual.

Controles que reducen el impacto

• MFA resistente y bien entendido. La autenticación multifactor ayuda, pero no hay que aprobar avisos inesperados ni compartir códigos de un solo uso.
• Principio de doble validación. Pagos, cambios de proveedor y permisos elevados deberían necesitar una comprobación adicional.
• Permisos mínimos. Una cuenta comprometida hará menos daño si no puede acceder a todo por defecto.
• Formación con casos realistas. El objetivo no es culpar a quien se equivoca, sino facilitar que pida ayuda antes de actuar.
• Canal de reporte sencillo. Un botón o buzón para reportar mensajes sospechosos permite actuar antes de que afecten a más personas.

Qué hacer si has interactuado con el mensaje

Si compartiste una contraseña o aprobaste un acceso que no reconoces, cambia la clave desde el servicio oficial, cierra sesiones activas y avisa a quien gestione la seguridad. Si la petición afectaba a un pago o a datos de clientes, informa de inmediato al área responsable siguiendo el procedimiento interno. Conservar el mensaje ayuda a analizarlo, pero no lo reenvíes a más personas con enlaces activos si tu organización tiene un canal de reporte.

INCIBE define el spear phishing como phishing dirigido a un objetivo específico y reúne materiales de concienciación en su recurso sobre spear phishing. La idea esencial es aplicable a cualquier entorno: una historia personalizada no es una prueba de autenticidad.

Pon a prueba tu criterio con el curso gratuito de Phishing e ingeniería social.