Así funciona el spearphishing: el nuevo método de estafa que usan los ciberdelincuentes
Descubrí cómo los ciberdelincuentes utilizanel spearphishing: información personal para diseñar ataques altamente sofisticados y difíciles de detectar.
Spearphishing: estafa personalizada que usa datos públicos para engañar con mensajes creíbles y dirigidos.
ShutterstockEl ciberdelito sigue evolucionando y una de las estafas más sofisticadas y personalizadas que enfrentan los usuarios hoy en día es el spearphishing. A diferencia del phishing tradicional, que se basa en mensajes masivos y genéricos, el spearphishing utiliza información específica de sus víctimas obtenida de redes sociales y otras plataformas públicas. Esta técnica ha sido perfeccionada por ciberdelincuentes que invierten tiempo en investigar a sus objetivos para crear ataques más precisos y difíciles de detectar.
El ataque personalizado: ¿cómo funciona el Spearphishing?
El spearphishing tiene como base la ingeniería social, un proceso que consiste en manipular a la víctima para que revele información confidencial o realice acciones que comprometan su seguridad. A diferencia de los correos masivos típicos del phishing, que se envían a miles de personas de forma aleatoria, el spearphishing apunta a individuos o empresas concretas. Los ciberdelincuentes acceden a datos disponibles públicamente en redes sociales como LinkedIn, Instagram, X y GitHub, donde los profesionales suelen compartir detalles sobre proyectos, logros o incluso información personal que, aunque inofensiva, es aprovechada para construir un ataque convincente.
-
Te puede interesar
Los tres mejores teléfonos Samsung de gama media para 2026
En este tipo de estafa, los atacantes analizan minuciosamente los perfiles de las víctimas, observando detalles como cargos, proyectos en los que participan, ubicaciones y hasta rutinas laborales. Usando esta información, elaboran mensajes muy específicos que simulan provenir de colegas, proveedores o incluso clientes, lo que aumenta la probabilidad de que la víctima baje la guardia. Los correos suelen incluir solicitudes urgentes, enlaces a sitios fraudulentos o archivos adjuntos maliciosos que, al ser abiertos, permiten al atacante acceder a información confidencial o introducir malware en el sistema de la víctima.
Redes sociales: el terreno fértil para los ciberdelincuentes
Plataformas como LinkedIn y X son las más utilizadas para llevar a cabo estos ataques, ya que permiten a los atacantes obtener información detallada sobre la vida profesional de las personas. Por ejemplo, los directivos y empleados clave de una empresa pueden convertirse en blancos prioritarios si comparten detalles sobre sus funciones o proyectos. Lo mismo ocurre con los desarrolladores en GitHub, donde pueden divulgar sin darse cuenta información técnica sensible, como direcciones de correo corporativo o herramientas internas utilizadas por su empresa.
Pero el spearphishing no se limita solo al ámbito laboral. Las publicaciones personales también son aprovechadas. Un ciberdelincuente podría identificar el momento adecuado para lanzar su ataque observando publicaciones sobre un viaje de negocios o una conferencia a la que asista un alto directivo. De esta manera, los atacantes intentan explotar momentos en que los empleados clave están fuera de la oficina, lo que aumenta la probabilidad de que no se detecte el ataque de inmediato.
Cómo identificar y protegerse del Spearphishing
Los ataques de spearphishing son mucho más difíciles de identificar que los del phishing tradicional debido a su personalización. Los mensajes, a menudo, se diseñan para parecer legítimos y urgentes, lo que puede engañar incluso a los usuarios más experimentados. Las consecuencias de un ataque exitoso pueden ser graves: desde el robo de credenciales y datos personales hasta el fraude económico o el espionaje corporativo.
Para protegerse, el Instituto Nacional de Ciberseguridad de España (Incibe) recomienda algunas medidas preventivas clave:
- Desconfía de los correos o mensajes sospechosos, especialmente aquellos que incluyen enlaces o archivos adjuntos. Evita hacer clic sin verificar la fuente.
- Mantén tus dispositivos y software siempre actualizados para reducir vulnerabilidades.
- Usa contraseñas seguras y únicas para cada servicio en línea, evitando las que puedan ser adivinadas fácilmente.
- Limita la información personal y profesional que publicas en línea. Cuanto menos compartas, más difícil será para los atacantes personalizar sus mensajes.
- Verifica siempre la autenticidad de las solicitudes, especialmente si se requiere información confidencial o acciones urgentes.
Adoptar estas prácticas puede ayudar a minimizar el riesgo de caer en un ataque de spearphishing. Las empresas, por su parte, deben fomentar la concienciación y educar a sus empleados sobre los riesgos de compartir información en plataformas públicas. Al implementar estas medidas de ciberseguridad, los usuarios y las organizaciones pueden protegerse de estas sofisticadas estafas que continúan evolucionando a medida que aumentan las amenazas en línea.