Lección 3 de 16 · Nivel 1: Básico
Phishing e ingeniería social: cómo reconocerlos
- ⏱ 13 min de lectura
- ❓ 4 preguntas de repaso
- ✍️ Ejercicio con solución
En esta lección
- Entender qué es la ingeniería social y qué emociones explota.
- Distinguir phishing, spear phishing, smishing, vishing, fraude del CEO y otras variantes.
- Leer un enlace y saber cuál es el dominio real antes de hacer clic.
- Aplicar un procedimiento de verificación antes de cualquier pago o cambio de datos.
- Saber qué hacer en los primeros minutos si ya hiciste clic o entregaste datos.
La ingeniería social es el arte de manipular a una persona para que haga algo que la perjudica: entregar una contraseña, abrir un archivo o transferir dinero. El phishing es su forma más común: un mensaje que se hace pasar por alguien de confianza (tu banco, un proveedor, tu jefe) para engañarte. Funciona porque no ataca a la tecnología, sino a la prisa, al miedo y a la buena fe. La buena noticia es que se puede aprender a reconocerlo, y eso es lo que harás en esta lección.
- Cómo te manipulan
- Tipos de ataque
- Señales de alerta
- Verificar antes de actuar
- Si ya hiciste clic
Los cinco botones que intenta apretar el atacante
Detrás de cada mensaje fraudulento hay una emoción que busca que actúes sin pensar. Si aprendes a notar esa presión, ya tienes la mitad del trabajo hecho:
Urgencia
"Tu cuenta se bloqueará en 2 horas." "El pago debe salir hoy antes de las 5."
Tu respuesta: la prisa es la señal. Nada legítimo se arruina por tomarte 5 minutos para verificar.Autoridad
Se hace pasar por el gerente, la entidad tributaria, la policía o el banco.
Tu respuesta: la autoridad real nunca te pedirá saltarte los procedimientos.Miedo
Multas, demandas, compras que no hiciste o "detectamos un acceso sospechoso".
Tu respuesta: entra tú mismo a la app o la web oficial, nunca desde el enlace del mensaje.Codicia y curiosidad
Premios, reembolsos, ofertas imposibles, "mira estas fotos tuyas".
Tu respuesta: si no participaste en nada, no ganaste nada.La quinta es la confianza: el mensaje llega desde la cuenta real de un amigo o proveedor que ya fue comprometida. Por eso "lo conozco" no basta; lo que cuenta es si el pedido es normal.
Tipos de ataque de ingeniería social
| Tipo | Canal | Ejemplo típico |
|---|---|---|
| Phishing masivo | Correo | "Actualiza tus datos para evitar el bloqueo de tu cuenta" |
| Spear phishing | Correo personalizado | Usa tu nombre, tu cargo y un proyecto real que vio en LinkedIn |
| Whaling | Correo a directivos | Una supuesta demanda dirigida al gerente general |
| Smishing | SMS o WhatsApp | "Tu paquete está retenido, paga el envío aquí" |
| Vishing | Llamada telefónica | Falso ejecutivo del banco que pide "confirmar" el código que te llegó |
| Quishing | Código QR | QR pegado encima del original en un estacionamiento o restaurante |
| Fraude del CEO o del proveedor (BEC) | Correo o mensaje | "Somos el proveedor, cambiamos de banco, paga a esta nueva cuenta" |
| Pretexto y acceso físico | En persona | Falso técnico que pide entrar al cuarto de servidores, o alguien que entra detrás de ti sin tarjeta |
1. Recibes un WhatsApp de un número desconocido: "Hola, soy tu jefe, cambié de número. Necesito que hagas una transferencia urgente a este proveedor, luego te explico." ¿Qué técnicas combina?
Se hace pasar por una autoridad (tu jefe) y mete prisa ("urgente", "luego te explico") para que no verifiques. La respuesta correcta es llamar a tu jefe al número que ya tenías guardado.
Anatomía de un correo falso
Este es un ejemplo inventado, como los que se usan en capacitaciones, con un banco ficticio. Fíjate en cada elemento y en la señal de alerta que contiene:
| Elemento | Lo que aparece | Señal de alerta |
|---|---|---|
| Remitente visible | "Banco Andino – Seguridad" | El nombre se puede escribir libremente: revisa la dirección completa |
| Dirección real | alertas@bancoandino-verificacion.net | No es el dominio oficial del banco |
| Asunto | "URGENTE: su cuenta será suspendida hoy" | Urgencia y miedo |
| Saludo | "Estimado cliente" | Tu banco sabe tu nombre |
| Pedido | "Ingrese su clave y el código que recibirá por SMS" | Ningún banco pide claves ni códigos por correo |
| Enlace | El texto dice bancoandino.com.pe, pero al pasar el mouse muestra otra dirección | El texto visible y el destino real no coinciden |
| Adjunto | "Estado_de_cuenta.zip" | Archivos comprimidos o con macros que no esperabas |
Cómo leer un enlace en 10 segundos
El dominio real es lo que está justo antes de la primera barra / que aparece después de ://. Léelo de derecha a izquierda desde esa barra. Supón que el sitio oficial del banco ficticio es bancoandino.com.pe:
| Enlace | Dominio real | ¿Legítimo? |
|---|---|---|
| https://bancoandino.com.pe/acceso | bancoandino.com.pe | Sí |
| https://bancoandino.com.pe.verifica-cuenta.net/acceso | verifica-cuenta.net | No: el nombre del banco es solo un subdominio de otro sitio |
| https://bancoandlno.com.pe/acceso | bancoandlno.com.pe | No: una "l" en lugar de la "i" |
| https://seguridad-bancoandino.com/acceso | seguridad-bancoandino.com | No: es otro dominio, aunque contenga el nombre |
El candado o el "https" solo indica que la conexión con ese sitio está cifrada. Un sitio falso también puede tener candado. Lo que importa es a quién te estás conectando: revisa el dominio.
2. El sitio oficial de una tienda es tiendaluna.co. ¿Cuál de estos enlaces lleva realmente a esa tienda?
En el enlace de "ayuda", lo que está justo antes de la primera barra es "ayuda.tiendaluna.co": un subdominio de la tienda real. En el enlace de "ofertas-hoy", el dominio real es ofertas-hoy.com; y "tiendaluna-co.com" es otro dominio distinto, aunque se parezca.
Verificar antes de actuar: el procedimiento que evita pérdidas
La defensa más eficaz contra el fraude de pagos no es tecnológica: es un procedimiento que todos cumplen siempre, incluso cuando el pedido parece venir del dueño. Por ejemplo, para cualquier pago nuevo, cambio de cuenta bancaria o pedido urgente fuera de lo normal:
Un truco muy común en WhatsApp es: "Te envié un código por error, ¿me lo reenvías?". Ese código sirve para registrar tu cuenta en otro teléfono. Nunca lo compartas y activa la verificación en dos pasos de WhatsApp con un PIN propio. Si quieres profundizar en estafas financieras, revisa la lección sobre cómo evitar estafas del curso de finanzas personales.
Si ya hiciste clic o entregaste datos
Le pasa a cualquiera, incluso a especialistas. Lo que marca la diferencia es reaccionar rápido y avisar sin vergüenza:
- De inmediatoCambia la contraseñaDesde la app o web oficial, y en cualquier otro servicio donde usaras la misma clave. Cierra las sesiones abiertas.
- Si diste datos bancariosLlama a tu bancoPor el número oficial de la tarjeta o la app, para bloquear tarjetas y operaciones.
- En el trabajoReportaAvisa a TI aunque creas que "no pasó nada". Un reporte temprano protege a tus compañeros que recibieron el mismo correo.
- Si abriste un adjuntoDesconecta el equipoQuita la red y deja que soporte lo revise antes de seguir usándolo.
Caso: una distribuidora de Arequipa entrena a su equipo
Jorge envió una simulación de phishing (un correo de práctica, sin riesgo real) y midió tres cosas: cuántos hicieron clic, cuántos llegaron a escribir su contraseña en la página de práctica y cuántos lo reportaron. Luego dio tres talleres cortos de 30 minutos, creó un botón de "Reportar correo sospechoso" y repitió la prueba a los tres meses.
De 30 clics a 9, de 12 contraseñas entregadas a 2, y de 6 reportes a 48.
El dato más valioso no es la caída de clics, sino el aumento de reportes: si 48 personas avisan en minutos, TI puede bloquear un correo real antes de que lo abran los demás. Por eso nunca se castiga a quien cae en una simulación; se le enseña.
3. En la segunda simulación, 9 de los 120 empleados hicieron clic. ¿Qué porcentaje representa?
9 ÷ 120 = 0,075, es decir, 7,5%. En la primera prueba fueron 30 de 120: 30 ÷ 120 = 25%.
Errores comunes
Confiar en un mensaje porque viene de la cuenta real de un conocido.
Las cuentas se roban. Si el pedido es raro, confirma por otro canal.
Llamar al número que aparece en el correo para "verificar".
Llama al número oficial que ya tenías o al del reverso de tu tarjeta.
Callar por vergüenza después de hacer clic.
Reporta de inmediato: cada minuto cuenta y nadie debería ser castigado por avisar.
Pensar que el phishing solo llega por correo.
También llega por SMS, WhatsApp, llamadas, redes sociales y códigos QR.
4. Un "proveedor" escribe desde su correo de siempre pidiendo que, a partir de hoy, le pagues a una nueva cuenta bancaria. ¿Qué haces?
Si la cuenta de correo del proveedor fue comprometida, el atacante también responderá tu correo. Solo un canal independiente, como una llamada al número conocido, confirma el cambio.
Ejercicio práctico
Analiza estos cuatro mensajes. Para cada uno, identifica la técnica de manipulación y decide qué harías:
- SMS: "Su envío no pudo entregarse por dirección incompleta. Actualice y pague S/ 3,50 aquí: entregas-pe.info/pago".
- Correo del área de Recursos Humanos con el asunto "Aumentos 2026 – confidencial" y un archivo "Aumentos.xlsm" que pide habilitar macros.
- Llamada: "Le hablamos del área de fraudes de su banco. Detectamos una compra; para anularla, díganos el código que le acaba de llegar".
- Correo de tu jefa, desde su dirección habitual, pidiendo 5 tarjetas de regalo de $500 MXN "para un cliente" y que le envíes los códigos por correo.
Ver solución
- Smishing con urgencia y un monto pequeño para que no lo pienses. El dominio no es de ningún courier oficial. No hagas clic: si esperas un paquete, consúltalo en la web oficial de la empresa de envíos escribiendo tú la dirección.
- Curiosidad. Un archivo con macros que no esperabas es una vía clásica de malware. No lo abras y repórtalo a TI; si dudas, consulta directamente a Recursos Humanos.
- Vishing con miedo y autoridad. El banco nunca pide códigos. Cuelga y llama tú al número oficial del reverso de tu tarjeta.
- Autoridad y confianza, típico del fraude del CEO. Las tarjetas de regalo son difíciles de rastrear. Confirma en persona o llamando a tu jefa a su número conocido antes de comprar nada.
Resumen
- La ingeniería social manipula emociones (urgencia, autoridad, miedo, codicia y confianza) para que actúes sin pensar.
- El phishing llega por correo, SMS, WhatsApp, llamadas y códigos QR, y puede ser masivo o muy personalizado.
- El dominio real de un enlace está justo antes de la primera barra: léelo de derecha a izquierda.
- Cualquier pago nuevo o cambio de cuenta se verifica por un segundo canal conocido, sin excepciones.
- Si caíste, cambia contraseñas, llama a tu banco y reporta de inmediato: avisar rápido protege a todos.
En la próxima lección: Contraseñas, gestores de contraseñas y doble factor (2FA). Calcularás qué tan fuerte es una contraseña y aprenderás a usar un gestor y el doble factor para que una clave robada no baste.
Crea tu cuenta en 30 segundos, marca tus lecciones y descarga el certificado al terminar.