¿Qué es el phishing?

Dada esta problemática, las plataformas digitales legítimas han reforzado sus defensas. Protocolos como la encriptación SSL y la verificación en dos pasos ya forman parte del estándar que aplican bancos, sitios considerados como el mejor casino online y otros servicios de entretenimiento, tiendas en línea e incluso plataformas gubernamentales.

Aun así, cada vez son más las personas que caen víctimas del delito del phishing, en parte por la efectividad de este método, como también por desconocimiento del mismo.

Qué es el phishing y por qué tantos caen con él

El phishing es un engaño donde alguien se hace pasar por una empresa o persona de confianza para que tú mismo entregues tus datos más íntimos.

Para ejecutar este crimen, el estafador elige una máscara creíble, como un banco, una empresa de mensajería, una plataforma de streaming o incluso un casino en línea. Después, arma un mensaje que parece legítimo con los logotipos oficiales y un pretexto diseñado para generar alarma, como un cargo no reconocido o una factura vencida que exige atención inmediata.

Cuando sientes que algo está mal con tu dinero, la reacción natural es actuar rápido. Y justo ahí está la trampa. Haces clic en un enlace, llenas un formulario y, sin darte cuenta, acabas de entregar las llaves de tu información financiera a un desconocido.

Con esos datos, los criminales pueden vaciar cuentas, solicitar créditos a tu nombre o revender tu información en mercados ilegales.

Los canales que explotan los defraudadores

Quienes operan estas estafas no se limitan a un solo formato. En su lugar, aprovechan cada canal donde los usuarios realizan compras o reciben alertas para llevar a cabo sus crímenes:

• Correo electrónico: Sigue siendo el vector de contacto inicial más utilizado, ya que permite copiar con alta fidelidad la imagen corporativa de bancos y tiendas. La Secretaría de Seguridad y Protección Ciudadana (SSPC) ha señalado que los pretextos más frecuentes incluyen cargos desconocidos, pagos rechazados o la suspensión inminente de un servicio. Un ejemplo típico es: «Detectamos actividad irregular en tu cuenta. Verifica tus datos en los próximos 30 minutos ingresando a esta liga para evitar el bloqueo».

• SMS y mensajería instantánea: La APWG (Grupo de Trabajo Anti-Phishing) reportó un crecimiento cercano al 35 % en fraudes por mensaje de texto durante el tercer trimestre de 2025. Los ganchos habituales giran en torno a premios ficticios o supuestas deudas, como: «Tu paquete está retenido en nuestro centro logístico. Confirma tu dirección y paga un recargo para reprogramar la entrega».

• Redes sociales y mensajes directos: Los agresores clonan perfiles de marcas, simulan ser soporte técnico o se hacen pasar por amigos y familiares. Microsoft y Google han documentado que los atacantes rastrean información pública del usuario para dar mayor credibilidad al engaño. Las trampas van desde rifas inexistentes hasta peticiones de auxilio económico, como: «Hola, tengo un problema urgente y mi banca no funciona, ¿puedes hacerme una transferencia a este número?».

• Sitios clonados y códigos QR: En temporadas de alto consumo como el Hot Sale o el Prime Day, proliferan enlaces publicitarios y códigos QR maliciosos. La policía cibernética ha alertado que estos formatos redirigen a páginas idénticas a las originales, donde la víctima introduce los datos de su tarjeta al intentar aprovechar una oferta que, en realidad, no existe.

Estos canales no son los únicos a los que recurren los estafadores. Dado que la práctica del phishing está en constante evolución, prácticamente cualquier canal digital puede verse comprometido.

Cómo detectar un intento de phishing y frenarlo a tiempo

Microsoft enumera varias señales de alerta que delatan una comunicación falsa, tales como:

• Urgencia injustificada.

• Promesas desproporcionadas.

• Errores ortográficos o gramaticales.

• Saludos genéricos.

• Direcciones de correo cuyo dominio no corresponde a la empresa que dice representar.

CONDUSEF, por su parte, recuerda que ninguna institución financiera en México solicita información confidencial por correo, SMS o WhatsApp, y recomienda confirmar siempre que la URL del sitio inicie con https:// y muestre un candado de seguridad cerrado.

Si la duda persiste, la regla es no interactuar. Es aconsejable no hacer clic en enlaces ni descargar archivos de remitentes inesperados. Cuando una notificación bancaria parece legítima, lo correcto es abrir una pestaña nueva, teclear manualmente la dirección del sitio oficial o llamar al número que aparece en el reverso de la tarjeta.

Por último, activar herramientas de ciberseguridad levanta una barrera técnica difícil de sortear. Por ejemplo, la autenticación de dos factores bloquea el acceso de los atacantes incluso cuando ya obtuvieron usuario y contraseña.