Qué es el phishing y por qué el fraude del CEO funciona tan bien

La ingeniería social es la manipulación de personas para que hagan algo que compromete a la organización: entregar una contraseña, aprobar un pago, abrir un archivo, dar acceso remoto. El phishing es su forma más conocida — el correo que se hace pasar por alguien confiable.

Es distinta a las demás amenazas en un punto que cambia todo: no explota una falla del sistema, explota una situación humana. Alguien apurado, un viernes por la tarde, con un mensaje que parece venir de su jefe. Por eso ninguna herramienta la resuelve del todo.

Las variantes que importan

Phishing masivo

El correo genérico enviado a miles: el banco que pide confirmar datos, la encomienda que no llegó. Es el más fácil de reconocer y el que menos daño hace en una empresa.

Spear phishing

Dirigido a una persona concreta, con datos reales sobre ella y su trabajo. Menciona a un colega por su nombre, un proyecto en curso, un proveedor real. La tasa de éxito es muchísimo más alta.

Fraude del CEO

El correo del supuesto gerente pidiendo una transferencia urgente y confidencial. Combina autoridad, urgencia y secreto — las tres palancas que desactivan la verificación. Es el que más pérdidas directas produce en empresas medianas.

Fraude del proveedor

Un correo avisando que la cuenta bancaria del proveedor cambió, justo antes de un pago grande. A veces viene desde la casilla real del proveedor, porque fue él quien resultó comprometido.

Vishing y voz sintética

El engaño por llamada. La novedad preocupante es que ya existen herramientas capaces de imitar una voz conocida con pocos segundos de audio, lo que vuelve inútil el reflejo de reconocer a alguien por teléfono.

Por qué funciona incluso con gente atenta

No apela a la ingenuidad sino a tres resortes que funcionan en cualquiera: autoridad —viene de arriba, no se cuestiona—, urgencia —hay que resolverlo ahora— y contexto plausible —menciona cosas que efectivamente están pasando en la empresa.

Y llega en el peor momento a propósito. Los intentos se concentran en viernes por la tarde, vísperas de feriado y cierres de mes, cuando hay más presión y menos gente disponible para verificar.

Por eso culpar a quien cayó es tan inútil como injusto: la trampa está diseñada para funcionar con personas competentes y ocupadas.

El control que de verdad frena esto

Para el fraude financiero, uno solo hace casi todo el trabajo: verificación por un canal distinto. Cualquier cambio de datos bancarios o transferencia fuera de lo habitual se confirma llamando a un número que ya se tenía registrado — nunca al que viene en el correo. Es gratis y detiene la mayoría de los casos.

A eso se suma el doble control en pagos sobre cierto monto, y el segundo factor en los accesos, que evita que una contraseña entregada por error se convierta en una intrusión.

Y algo que no parece un control pero lo es: un canal de reporte fácil y sin costo social. Si avisar de un correo sospechoso expone a quedar en ridículo, la gente deja de avisar. Cuando el reporte es fácil, el primero que lo detecta protege a todos los demás.

Cómo se conecta con la norma chilena

La Ley 21.719 exige medidas técnicas y organizativas. La capacitación del personal y los procedimientos de verificación son de las pocas medidas organizativas que una empresa puede acreditar con registros concretos: fechas, contenidos, asistentes.

Y si un engaño termina en acceso a datos personales, se activa la obligación de notificar. La diferencia entre resolverlo con orden o a las corridas está en si existía un procedimiento escrito antes, no en la suerte que se tuvo.

Preguntas frecuentes

¿Se soluciona con un buen filtro de correo?

Ayuda con el phishing masivo, pero los ataques dirigidos suelen pasar los filtros justamente porque son pocos correos, bien escritos y sin enlaces sospechosos. Un fraude del CEO puede ser texto plano sin adjuntos: técnicamente no tiene nada de malicioso.

¿Sirven las simulaciones de phishing?

Sí, si se usan para medir y no para exponer. Quien cae debería recibir retroalimentación inmediata y sin consecuencias. Usadas para señalar culpables logran el efecto contrario: la gente deja de confiar y deja de reportar.

¿Cómo distingo un correo legítimo de uno falso?

Cada vez es más difícil por la vía visual, y esa es la mala noticia. Por eso el consejo útil no es aprender a mirar mejor, sino cambiar el reflejo: ante cualquier pedido de dinero, de datos o de acceso, verificar por un canal distinto al que llegó el mensaje.