Tácticas de phishing en 2026: qué vigilar y cómo defenderse

El panorama del phishing en 2026

El phishing ya no es un simple truco de un enlace malicioso en un correo no deseado. En 2026, los atacantes combinan tecnología nueva con trucos viejos, lo que hace más difícil distinguir entre un mensaje legítimo y una amenaza. El objetivo es el mismo: lograr que usted haga clic, copie o descargue algo que le dé acceso al atacante.

Señuelos generados con IA

Una de las tendencias más recientes es el uso de grandes modelos de lenguaje para redactar correos que suenan como un colega de confianza o un proveedor conocido. Estos mensajes pueden imitar el tono habitual del remitente, su puntuación e incluso los emojis que usa. Como el lenguaje resulta familiar, es más probable que el destinatario confíe en el contenido.

Dominios parecidos

El typosquatting y la suplantación de dominios siguen siendo comunes. Los atacantes registran nombres que parecen casi idénticos a los de marcas reales - - micros0ft-login.com

• gogle.com

Cuando un usuario hace clic en un enlace que parece una página de inicio de sesión conocida, el atacante puede robar credenciales o instalar un formulario de phishing con apariencia legítima. El truco es sutil; el dominio puede diferir en un solo carácter.

Fatiga de MFA

La autenticación multifactor (MFA) sigue siendo una defensa sólida, pero los atacantes programan sus solicitudes para alcanzar a los usuarios cuando están lejos de su escritorio. Al analizar invitaciones de calendario o mensajes de estado, pueden activar solicitudes de MFA en momentos en que el usuario tiene más probabilidades de aprobar la petición sin pensarlo. Esto se conoce como fatiga de MFA.

Secuestro de cadenas de respuesta

Una técnica nueva consiste en inyectar un enlace malicioso en la firma de un correo legítimo. Cuando la víctima responde, el enlace viaja con el texto citado, así que aparece como parte de la conversación. El enlace queda oculto en el cuerpo del correo nuevo y solo aparece cuando el hilo continúa.

Trampas ocultas en los correos

Hay varias formas en que los atacantes ocultan enlaces o archivos maliciosos:

• Texto invisible – una fuente blanca sobre fondo blanco esconde una segunda URL junto a la visible.
• Archivos con doble extensión – nombres como factura.pdf.exe dependen de que los usuarios solo vean la primera extensión.
• Rastreo por píxeles – GIF de 1x1 alojados en el propio servidor de correo corporativo de la víctima hacen que la petición parezca interna.
• Toma de control de subdominios – páginas abandonadas de GitHub Pages o buckets de AWS S3 son reclamadas y usadas para alojar páginas de phishing.
• Acortadores de URL – los acortadores legítimos pueden redirigir tras una verificación de seguridad, eludiendo funciones como Safe Links de Microsoft.

Defensas prácticas

1. Verifique la dirección del remitente – Busque errores sutiles de ortografía o terminaciones de dominio desconocidas.
2. Pase el cursor sobre los enlaces – La mayoría de los clientes de correo muestran la URL de destino. Si difiere del texto, no haga clic.
3. Use un método secundario – Si un correo solicita datos sensibles, llame a la organización o use un canal de contacto conocido.
4. Mantenga el MFA activo – Aunque sospeche fatiga, el MFA sigue añadiendo una capa de protección. Considere usar passkeys o tokens FIDO2 que no dependan de notificaciones push.
5. Revise las firmas de correo – Un cambio repentino en una firma o un enlace desconocido pueden ser una señal de alerta.
6. Infórmese sobre el texto invisible – Algunos clientes de correo permiten activar la visibilidad del texto oculto.
7. Atención a los archivos con doble extensión – Muchos sistemas operativos ocultan las extensiones conocidas. Active la opción para mostrar todas las extensiones.

Herramientas que pueden ayudar

ProtectMyMail es un complemento de navegador que añade cifrado de extremo a extremo y remitentes verificados criptográficamente a la bandeja de entrada que las personas ya usan. Funciona con Gmail, Outlook y cualquier cuenta IMAP, así que no necesita una dirección nueva ni migrar nada. El complemento puede ayudarle a ver si un correo proviene realmente del remitente que dice serlo y puede marcar enlaces sospechosos.

Aunque ninguna herramienta puede reemplazar la vigilancia humana, un enfoque por capas - inspección cuidadosa, MFA y un complemento de ayuda - dificulta que los atacantes tengan éxito.

Manténgase informado

Las tácticas de phishing cambian rápido. Siga blogs de seguridad, consulte las actualizaciones de seguridad de su organización y mantenga su cliente de correo al día. Cuanto más sepa sobre los últimos trucos, mejor podrá protegerse.

Conclusión

El phishing en 2026 es más inteligente, pero también más visible si sabe qué buscar. Si mantiene la alerta ante el tono generado con IA, los dominios parecidos, la fatiga de MFA, el secuestro de cadenas de respuesta y las trampas ocultas, puede reducir el riesgo de ser víctima de un ataque de phishing moderno.