El phishing se dispara un 94% en un año y ya representa el 49% del fraude digital bloqueado
Introducción
La amenaza del phishing se consolida como una de las principales preocupaciones para los profesionales de la ciberseguridad en 2024. Según el reciente Fraud & Security Report 2026 elaborado por Infobip, el volumen de campañas de phishing ha experimentado un crecimiento del 94% respecto al año anterior y actualmente representa el 49% del contenido malicioso bloqueado a nivel global. Este incremento, impulsado en gran medida por el uso de inteligencia artificial (IA) en la creación y ejecución de ataques, plantea nuevos retos para CISOs, analistas SOC, pentesters y responsables de seguridad en empresas de todos los tamaños.
Contexto del Incidente o Vulnerabilidad
El informe de Infobip, basado en el análisis de miles de millones de interacciones digitales en todo el mundo, pone de manifiesto la sofisticación creciente de las campañas de phishing. Los ciberdelincuentes aprovechan la multicanalidad (correo electrónico, SMS, mensajería instantánea y redes sociales) y la automatización facilitada por la IA para lanzar ataques dirigidos y a gran escala. Además, la evolución de las técnicas de ingeniería social, la facilidad para clonar páginas web legítimas y el uso de dominios comprometidos o recién registrados dificultan la detección y el filtrado de estas amenazas.
Detalles Técnicos
Desde el punto de vista técnico, el phishing actual se apoya en una combinación de exploits conocidos y nuevas estrategias para evadir controles de seguridad. Según el MITRE ATT&CK Framework, los TTP (tácticas, técnicas y procedimientos) más frecuentes incluyen:
– **T1566 (Phishing):** envío de correos electrónicos maliciosos, SMS (smishing) o mensajes en redes sociales con enlaces o archivos adjuntos maliciosos.
– **T1204 (User Execution):** explotación de la interacción del usuario para ejecutar código malicioso o redirigir a páginas de phishing.
– **T1588.002 (Obtain Capabilities: Tool):** adquisición de kits de phishing comerciales o personalizados, a menudo disponibles en foros clandestinos.
Los IoC (Indicadores de Compromiso) identificados por Infobip incluyen direcciones IP de servidores de comando y control, URLs de páginas clonadas, patrones de asunto en correos electrónicos y hashes de archivos adjuntos. Herramientas como Metasploit o Cobalt Strike siguen siendo empleadas para el despliegue de payloads en campañas dirigidas, mientras que los kits automatizados de phishing basados en IA son capaces de personalizar mensajes y adaptar el contenido en tiempo real para maximizar la efectividad.
En cuanto a versiones afectadas, prácticamente todos los sistemas operativos y plataformas de correo son susceptibles, aunque se ha detectado una especial incidencia en entornos Microsoft 365 y Google Workspace, debido a su amplia adopción en el entorno corporativo.
Impacto y Riesgos
El impacto del phishing va mucho más allá del robo de credenciales. Según datos del informe, el 61% de las organizaciones afectadas sufren pérdidas económicas directas, con un coste medio por incidente que supera los 120.000 euros, sin contar el daño reputacional ni las posibles sanciones regulatorias. En el contexto europeo, la normativa GDPR impone multas de hasta 20 millones de euros o el 4% de la facturación anual global por brechas de datos derivadas de este tipo de ataques. La inminente entrada en vigor de la Directiva NIS2 añade nuevas obligaciones en materia de reporte y gestión de incidentes de seguridad.
Medidas de Mitigación y Recomendaciones
Para mitigar el riesgo asociado al phishing, los expertos recomiendan una aproximación multicapa:
– **Capacitación continua del usuario** mediante simulaciones periódicas de phishing y concienciación sobre ingeniería social.
– **Implementación de soluciones avanzadas de filtrado** de correo y análisis de URLs, apoyadas en inteligencia artificial y sandboxing.
– **Autenticación multifactor (MFA)** obligatoria en todos los accesos críticos.
– **Monitorización proactiva de IoC** y análisis de tráfico en busca de patrones anómalos en tiempo real.
– **Actualización y parcheo continuo** de sistemas y aplicaciones para minimizar la superficie de ataque.
– **Zero Trust** y segmentación de la red para limitar el movimiento lateral en caso de compromiso.
Opinión de Expertos
Carlos Pérez, CISO de una multinacional del sector financiero, destaca: “El avance de la IA ha democratizado la creación de campañas de phishing extremadamente convincentes. Ya no hablamos solo de errores ortográficos o páginas burdas; los ataques actuales pueden engañar incluso a usuarios experimentados si no cuentan con herramientas de detección automatizadas y una formación constante”.
Por su parte, Marta López, analista SOC en un MSSP, añade: “Hemos detectado un incremento notable en el uso de dominios legítimos comprometidos para alojar páginas de phishing, lo que complica la detección tradicional basada en listas negras. El análisis dinámico y el threat intelligence son ahora imprescindibles”.
Implicaciones para Empresas y Usuarios
Las empresas deben revisar sus controles de seguridad y adaptar sus políticas a la nueva realidad del phishing impulsado por IA. La protección perimetral tradicional ya no es suficiente; es imprescindible invertir en soluciones EDR, XDR y threat intelligence, así como establecer protocolos claros de respuesta ante incidentes. Para los usuarios, la máxima sigue siendo la precaución: desconfiar de mensajes inesperados, verificar la autenticidad de las URLs y no compartir credenciales bajo ninguna circunstancia.
Conclusiones
El phishing se consolida como la principal amenaza de fraude digital en 2024, con un crecimiento interanual del 94% y un peso del 49% sobre el total de contenido malicioso bloqueado. La adopción de IA por parte de los atacantes y la diversificación de los vectores de ataque exigen una respuesta coordinada, técnica y organizativa, por parte de todos los actores del ecosistema digital. La formación, la tecnología avanzada y la colaboración público-privada serán claves para frenar esta evolución.
(Fuente: www.cybersecuritynews.es)