Phishing e ingeniería social: cómo reconocen sus empleados los ataques

El phishing y la ingeniería social se aprovechan de la confianza humana, y no de vulnerabilidades técnicas, para obtener credenciales, dinero o datos personales. Basta un solo clic descuidado para eludir cualquier protección técnica. Con una formación sobre phishing para empleados bien orientada, su plantilla aprende a reconocer las señales de alerta y a reaccionar correctamente en caso de emergencia.

De la redacción de Provimedia · Fecha: julio de 2026 · Este artículo es información de carácter general y no constituye asesoramiento jurídico.

¿Qué es la ingeniería social?

La ingeniería social designa los métodos con los que los atacantes no explotan vulnerabilidades técnicas, sino patrones de conducta humanos: la disposición a ayudar, la presión del tiempo, el respeto a la autoridad o la curiosidad. El phishing es su variante más extendida. Los atacantes se hacen pasar por un remitente de confianza por correo electrónico, SMS o teléfono para obtener credenciales, pagos o información confidencial.

Como los ataques se dirigen contra las personas y no contra los sistemas, la seguridad informática técnica por sí sola se queda corta. Los cortafuegos y los filtros antispam detienen buena parte de ellos, pero una falsificación bien hecha que no se identifica como tal esquiva cualquier protección técnica con un único clic. Justamente ahí interviene la concienciación del personal, como complemento y no como sustituto de las medidas técnicas. En el artículo Formación en seguridad de la información frente a formación en protección de datos se explica en qué se distinguen los temas de concienciación como este de las formaciones clásicas sobre protección de datos y dónde coinciden.

¿Qué formas de ataque afectan con más frecuencia a las empresas?

En la práctica, las empresas se topan sobre todo con cuatro variantes. Los ejemplos siguientes son escenarios construidos a modo ilustrativo y no describen ningún incidente real.

El phishing en sentido estricto envía correos prácticamente idénticos a un gran número de destinatarios, casi siempre en nombre de marcas conocidas, empresas de paquetería o bancos. Un escenario típico: una empleada recibe un correo, supuestamente del proveedor de servicios informáticos, que le pide «confirmar la contraseña» de inmediato a través de un enlace, porque de lo contrario se bloqueará su cuenta.

El spear phishing es más selectivo: los atacantes investigan de antemano el nombre, el cargo y los proyectos en curso de una persona para que el mensaje resulte más personal y creíble. Un escenario típico: un comprador recibe un correo que parece proceder de un proveedor conocido y que se refiere a un pedido real y en curso, con la petición de utilizar para el próximo pago una cuenta bancaria «actualizada».

El fraude del CEO, también llamado estafa del jefe o Business E-Mail Compromise, finge proceder de la dirección y genera de forma deliberada presión de tiempo y exigencia de confidencialidad. Un escenario típico: poco antes de acabar la jornada, el departamento de contabilidad recibe un mensaje urgente, supuestamente del gerente, que dice estar «en una reunión confidencial» y pide una transferencia inmediata y discreta para una adquisición de empresa inminente.

El smishing utiliza SMS o mensajes de mensajería en lugar del correo electrónico, a menudo con remitentes breves y discretos. Un escenario típico: un empleado recibe un SMS, supuestamente de una empresa de paquetería, con un enlace a una «tasa de aduana» pendiente que debe cargarse a través de un formulario de pago falso.

¿Cómo reconozco un correo de phishing?

Ninguna característica aislada demuestra un ataque de forma fiable, pero hay cuatro puntos de control que se pueden aplicar en pocos segundos: el remitente, la urgencia, los enlaces o archivos adjuntos y el tipo de petición. Quien los repasa brevemente antes de hacer clic o responder desactiva la mayoría de los intentos. Toda formación debería transmitir estos puntos de control a su plantilla; en conjunto no llevan ni diez segundos.

• Comprobar con exactitud el remitente: ¿el nombre mostrado corresponde a una persona conocida mientras que la dirección de correo real difiere o resulta extraña?
• Presión y urgencia: ¿se genera presión de tiempo con plazos, bloqueo de la cuenta, sanciones o frases como «válido solo hoy»?
• Comprobar los enlaces antes de hacer clic: ¿el texto del enlace que se ve al pasar el ratón por encima lleva realmente al dominio esperado?
• Archivos adjuntos inesperados: ¿llega una factura, un fax o un documento que nadie había anunciado?
• Peticiones inusuales de pago o de datos: ¿se pide una transferencia, datos bancarios, credenciales o un IBAN modificado, en contra del procedimiento habitual?
• Anomalías lingüísticas: ¿el saludo, la gramática o el tono resultan impropios del supuesto remitente?

¿Qué hacer ante una sospecha?

En caso de duda, lo que cuenta es el orden correcto:

1. Alto: no haga clic, no descargue nada y no introduzca datos.
2. Comunicar en lugar de borrar: no elimine los mensajes sospechosos; comuníquelos al departamento de TI o a su dirección central de avisos, para que se pueda alertar a otros equipos y revisar los sistemas afectados.
3. ¿Ya hizo clic? Comunique el incidente de inmediato y cambie sin demora la contraseña afectada.
4. ¿Es posible que se haya accedido a datos? Inicie una revisión conforme al art. 33 del RGPD: en cuanto los atacantes hayan obtenido realmente acceso a datos personales, por ejemplo a través de un buzón de correo o de una base de datos de clientes, existe una violación de la seguridad de los datos personales con arreglo al art. 4, punto 12, del RGPD. Cómo funciona este plazo y qué pasos son necesarios dentro de las 72 horas se describe en el artículo Notificar una violación de datos: el plazo de 72 horas.

Preguntas frecuentes (FAQ)

¿Cómo reconozco el phishing?

Compruebe la dirección del remitente, el destino del enlace antes de hacer clic, el tono del mensaje y si se formulan peticiones inusuales de pago o de datos. Si alguno de estos puntos no encaja con el contacto habitual, conviene extremar la precaución. En caso de duda, pregunte al supuesto remitente a través de un canal conocido e independiente, y no mediante los datos de contacto que figuran en el propio mensaje sospechoso.

¿Quién responde si un empleado cae en un phishing?

En materia de protección de datos no responde el empleado individual, sino la empresa como responsable del tratamiento en el sentido del RGPD. Las multas con arreglo al art. 83 del RGPD se dirigen a la organización, no a la persona que cayó en el engaño. En casos concretos son posibles consecuencias laborales para el empleado, por ejemplo en caso de negligencia grave. Para las autoridades de control, lo decisivo es sobre todo si la empresa había formado de manera suficiente a su personal y había adoptado medidas técnicas de protección adecuadas.

¿Son útiles y admisibles las pruebas de phishing simulado en la empresa?

Los correos de phishing simulados, con los que las empresas comprueban la atención de su plantilla, son un recurso extendido en la práctica de la concienciación en seguridad. Jurídicamente, sin embargo, no carecen automáticamente de problemas: como pueden registrarse y evaluarse los comportamientos de cada empleado, son relevantes en materia de codeterminación y de protección de datos. Antes de introducirlos, conviene implicar al delegado de protección de datos y, si lo hay, al comité de empresa, para regular con claridad el alcance, la evaluación y el plazo de conservación.

¿Basta una única formación para evitar el phishing en la empresa?

No. Una formación proporciona conocimientos básicos y aguza la atención, pero no sustituye medidas técnicas de protección como los filtros antispam, la autenticación multifactor o las simulaciones de phishing periódicas. Como un elemento entre varios, funciona mejor si se repite y se combina con cauces internos de notificación claros.

Nuestra formación básica sobre el RGPD explica de forma práctica qué importa en el tratamiento de datos personales conforme a la protección de datos, con un módulo sobre seguridad de los datos en el puesto de trabajo y sobre la conducta correcta ante violaciones de datos, y con un certificado de participación como justificante. No sustituye un programa completo de concienciación en seguridad con campañas de phishing simuladas, pero crea una comprensión sólida de por qué el trato de los mensajes sospechosos forma parte de la protección de datos.

Fuentes

• BSI: La situación de la seguridad informática en Alemania 2025
• BSI: Ingeniería social, el factor humano
• BSI: ¿Cómo reconozco el phishing en correos electrónicos y páginas web?
• Reglamento (UE) 2016/679 (RGPD), art. 4, punto 12, art. 33 – EUR-Lex