El FBI ha revelado en su más reciente informe sobre delitos cibernéticos que el phishing en Estados Unidos sigue siendo el tipo de ataque más común, con más de 193.000 incidentes reportados solo en el último año. Este tipo de amenaza no solo está creciendo en volumen, sino también en la complejidad de sus métodos.

Según los expertos de ZeroBounce, incluso los usuarios más experimentados pueden ser engañados por las nuevas formas de ataque que ya no dependen de tácticas tradicionales.

El auge del phishing sin enlaces

Los atacantes han evolucionado para evitar los filtros de seguridad tradicionales, enviando correos sin enlaces ni archivos adjuntos. En lugar de los clásicos mensajes llenos de enlaces sospechosos, ahora optan por comunicaciones breves y aparentemente inofensivas, como “¿Estás libre para una llamada rápida?” o “¿Puedes ayudarme con esta tarea?”. Estos mensajes buscan iniciar una conversación directa y personal, creando una falsa sensación de confianza.

“Las personas están entrenadas para detectar enlaces sospechosos, por lo que los atacantes han adaptado sus tácticas eliminándolos por completo,” explica Vlad Cristescu, jefe de ciberseguridad en ZeroBounce. “Si algo te parece fuera de lugar, no respondas directamente. Verifica la solicitud a través de otro canal antes de involucrarte.”

Autenticación multifactor (MFA) como herramienta de engaño

Otra táctica que se está viendo con más frecuencia es la sobrecarga de notificaciones de autenticación multifactor. Después de obtener credenciales, los atacantes envían múltiples solicitudes de MFA para frustrar al usuario. Luego, siguen con un correo que parece ser del soporte de TI, pidiendo que “solo apruebes una solicitud” para detener las molestas alertas.

“Es más una guerra psicológica que un truco técnico,” advierte Cristescu. “Si recibes múltiples notificaciones de MFA que no iniciaste, no es un error técnico – es un ataque. No apruebes ninguna solicitud y repórtalo de inmediato.”

Archivos HTML disfrazados como portales seguros

Los archivos HTML adjuntos son otra técnica en ascenso. Estos correos pueden parecer facturas, documentos compartidos o notificaciones de seguridad, pero en realidad contienen páginas de inicio de sesión falsas que capturan credenciales al primer clic. Este enfoque es especialmente peligroso porque los archivos HTML a menudo se perciben como inofensivos.

“Muchos piensan ‘solo es un archivo HTML, ¿qué daño podría hacer?’ Pero un solo clic puede exponer tus datos,” comenta Cristescu. “Las empresas deberían restringir los archivos HTML a menos que sean esenciales, y los usuarios deben tratarlos con la misma cautela que un enlace sospechoso.”

Phishing a través de invitaciones de calendario

Los atacantes de phising en Estados Unidos también están utilizando invitaciones de calendario para distribuir enlaces maliciosos. Estos eventos pueden sincronizarse automáticamente con los calendarios de los usuarios, lo que los hace particularmente peligrosos porque rara vez se cuestionan.

“Las invitaciones de calendario tienen una credibilidad implícita – no se revisan como los correos,” explica Cristescu. “Si recibes solicitudes de reuniones de remitentes desconocidos o con títulos vagos como ‘Reunión rápida’ o ‘Revisión de proyecto’, trátalas como un posible intento de phishing. Desactiva la autoaceptación cuando sea posible y revisa cada invitación manualmente antes de hacer clic en cualquier enlace.”

La importancia de mantenerse alerta

El phishing moderno es más estratégico y se disfraza como comunicaciones legítimas del día a día. El mayor riesgo hoy es el exceso de confianza. No importa cuán experimentado seas, si dejas de cuestionar lo que llega a tu bandeja de entrada o calendario, te vuelves vulnerable.

“Verifica siempre la dirección de correo del remitente, asegúrate de que cualquier enlace que abras provenga de un dominio legítimo y presta atención a señales sutiles como errores ortográficos o formatos inusuales,” concluye Cristescu. “Estas pequeñas comprobaciones pueden marcar la diferencia entre mantenerte seguro y caer en una trampa bien elaborada.”

Leer también: “Los eventos deportivos multiplican por tres las respuestas a emails de phising”.