La primera vez que casi caigo en un phishing no era de un príncipe nigeriano y que iba a volverme millonario enviando información. Era un email de una conocida empresa de premios corporativos, donde ya anteriormente me habían enviando un legítimo bono para comprarme una cena en un local en mi ciudad. Por un momento dudé, pero ya era algo conocido en la empresa y el timing era quirúrgico, justo había pasado una festividad por lo que era "normal".
No caí en el momento. Pero estuve a un clic.
Hacer phishing hoy es ridículamente fácil No necesitas Kali Linux, ni comprar exploits, ni entrar a la dark web. Con un navegador, cinco minutos y cero conocimientos técnicos, cualquiera puede suplantar a tu banco, a tu jefe, o a tu proveedor de hosting. Y la mayoría de la gente no lo sabe.
Hacer phishing hoy es ridículamente fácil No necesitas Kali Linux, ni comprar exploits, ni entrar a la dark web. Con un navegador, cinco minutos y cero conocimientos técnicos, cualquiera puede suplantar a tu banco, a tu jefe, o a tu proveedor de hosting. Y la mayoría de la gente no lo sabe.
El taller del phisher: cómo se hace
Voy a mostrarte cómo se hace, sin glorificarlo. Porque la única forma de defenderte de algo es entender exactamente qué tan fácil es.
Existen herramientas como emkei.cz (gratuitas, online, sin registro) que permiten enviar un email con el remitente que tú quieras. El proceso es este:
- Abres emkei.cz en tu navegador.
- Escribes el destinatario. Tu compañero de trabajo, tu familiar, tú mismo.
- Escribes el remitente. soporte@tu-banco.com, admin@tu-empresa.cl, el que quieras.
- Escribes el asunto. "Urgente: verifica tu cuenta antes de 24 horas".
- Pegas el cuerpo del email. Copias y pegas un email real de ese banco o servicio. HTML, logos, colores. Todo.
- Adjuntas un enlace a una página de login falsa. Hay plantillas para Gmail, Office 365, banco, Mercado Pago. Se ven idénticas.
- Haces clic en Send.
Tu email llega. El remitente dice soporte@tu-banco.com. El diseño es perfecto. La URL, si no te fijas bien, parece correcta: tu-banco.com-verificacion.cl en vez de tu-banco.com/verificacion.
Eso es todo. Cinco minutos. Sin terminal. Sin código.
Es decir: cualquier persona con ganas de fastidiarte puede hacerlo durante su hora de almuerzo. No es ciencia. Es una herramienta web, como Canva.
¿Por qué seguimos cayendo?
Porque el phishing dejó de ser genérico hace diez años. Lo de hoy es spear phishing: ataques dirigidos con contexto personal.
Un atacante medianamente motivado hace esto antes de contactarte:
- Te busca en LinkedIn. Sabe dónde trabajas, tu cargo, hace cuánto.
- Cruza tu correo con filtraciones públicas (Have I Been Pwned, DeHashed). Encuentra servicios que usas.
- Revisa los posts de tu empresa. Sabe que están migrando infraestructura porque lo publicaron.
- Registra un dominio parecido al de tu empresa. Con una letra cambiada. O con un guión. Tú no notas la diferencia a simple vista.
- Luego te escribe: "Hola Alex, soy Felipe de Soporte Interno. Estamos migrando las cuentas del equipo al nuevo portal este fin de semana. Entra aquí para validar tus credenciales antes del lunes."
Nombre real. Compañero ficticio pero verosímil. Timing perfecto. URL casi idéntica.
Eso no es ingeniería social. Es OSINT aplicado. Los datos están regados en internet como piezas de un rompecabezas y el atacante solo las junta.
Las 3 defensas que sí funcionan
No te voy a decir "usa el sentido común" porque eso no es una defensa. El sentido común falla cuando estás cansado, apurado, o el email llega el domingo a las 11 PM.
Aquí van tres cosas concretas:
1. Verifica el remitente real, no el nombre mostrado
Tu cliente de correo te muestra un nombre bonito: "Banco Santander". Lo que importa es la dirección real detrás de ese nombre. En Gmail, haz clic en el nombre del remitente y lee el from completo.
Pero no te quedes ahí. Revisa los headers del email, en concreto las cabeceras de autenticación:
- SPF: PASS, el servidor que envió el email está autorizado por el dominio.
- DKIM: PASS, la firma digital del email no fue alterada en tránsito.
- DMARC: PASS, el dominio tiene una política clara y se está cumpliendo.
En Gmail: tres puntos > Mostrar original. Busca spf=pass, dkim=pass, dmarc=pass.
No es infalible, ojo, los atacantes también pueden pasar SPF desde dominios legítimos comprometidos, o usar subdominios que no heredan DMARC. Pero elimina el 90% del phishing genérico de un plumazo.
Y aunque pase autenticación, pregúntate: ¿el dominio es exactamente el que esperas? @banco-santander.com no es lo mismo que @santander.com.
2. Nunca hagas clic en links de emails
Si el email dice "entra aquí para verificar tu cuenta", no hagas clic. Abre tu navegador, escribe la URL del servicio a mano, inicia sesión desde ahí. Si hay algo urgente, lo verás en tu panel de control real.
Esto también aplica a SMS, WhatsApp y mensajes de LinkedIn. Ninguna entidad legítima te va a pedir que "verifiques tu cuenta haciendo clic en este enlace" con amenaza de bloqueo en 24 horas.
Si necesitas verificar una URL sin abrirla, pégala en VirusTotal o en URLScan.io. No es necesario que la abras para saber si es maliciosa.
3. La última línea: MFA y gestor de contraseñas
Puedes equivocarte. Puedes estar cansado. Puede que el timing sea perfecto y piques.
Si tienes MFA activado, el atacante necesita tu segundo factor. Sin él, tus credenciales robadas no sirven de nada. Prefiere TOTP (Google Authenticator, Aegis, Yubikey) sobre SMS: el SIM-swapping es real (y ahí tienes un termino para investigar más).
Usa un gestor de contraseñas. No porque sea cómodo (que lo es), sino porque nunca vas a escribir tu contraseña manualmente en una página falsa si el gestor no la reconoce. El gestor mira el dominio, no la apariencia de la página. Si tu-banco.com-verificacion.cl no coincide con tu-banco.com, el gestor no te sugiere nada. Esa fricción te salva.
En fin
El phishing no va a desaparecer. Va a empeorar. La IA generativa ya está escribiendo emails de phishing sin errores gramaticales, en tu idioma, con tu tono, usando datos que recopiló de tus redes sociales en segundos. La barrera de entrada no solo es baja: está bajando cada año.
La pregunta no es si te van a intentar engañar. Es cuándo. Y cuando ese email llegue (con tu nombre, tu contexto, el timing perfecto) la diferencia entre el que cae y el que lo detecta no es inteligencia. Son hábitos.
Los hábitos se entrenan. Empezaste hoy.
Referencias y herramientas mencionadas:
- emkei.cz: Fake mailer online (usado aquí con fines educativos)
- VirusTotal: Análisis de URLs y archivos
- URLScan.io: Sandbox para inspeccionar URLs
- Have I Been Pwned: Verifica si tu correo está en filtraciones
- APWG Phishing Activity Trends Report: Estadísticas trimestrales de phishing
- CISA: Recognizing and Avoiding Phishing, Guía oficial del gobierno de EE.UU.
