Módulo 01: Phishing — CiberAcademia

¿Qué es el phishing?

El phishing es un ataque de ingeniería social donde los delincuentes se hacen pasar por entidades legítimas —bancos, empresas de tecnología, colegas o el propio equipo directivo— para engañarte y que entregues información confidencial: contraseñas, datos bancarios, acceso a sistemas.

🎯

Dato crítico

El phishing es consistentemente el vector de entrada más común en los ciberataques a empresas (Verizon DBIR). Un solo clic equivocado puede comprometer toda la red.

Tipos de phishing que debes conocer

Phishing masivo: Correos genéricos enviados a millones de personas. "Tu cuenta de banco fue bloqueada, haz clic aquí."
Spear phishing: Dirigido específicamente a una persona o empresa. El atacante investiga a su víctima antes del ataque.
Whaling: Spear phishing dirigido a directivos (CEO, CFO). Alto impacto si tiene éxito.
Smishing: Phishing por SMS o WhatsApp. "Tienes un paquete detenido, verifica aquí."
Clone phishing: Copia exacta de un correo legítimo con el enlace reemplazado por uno malicioso.
Quishing: códigos QR maliciosos en correos, carteles o mesas que llevan a sitios falsos. En tiendas y bodegas, desconfía de QR pegados encima de otros.

Estimado usuario,

Hemos detectado actividad sospechosa en tu cuenta ⚠️. Para evitar la suspensión inmediata de tu acceso, debes verificar tu identidad en las próximas 24 horas.

Haz clic en el siguiente enlace para verificar tu cuenta:

https://microsoft-verificacion-cuenta.support/login ⚠️

Si no verificas en 24 horas, tu cuenta y todos tus archivos serán eliminados permanentemente ⚠️.

Atentamente,
Equipo de Seguridad Microsoft

Pasa el cursor sobre los elementos marcados en naranja para ver la explicación. ¿Cuántas señales de alerta encontraste?

🤖

El phishing con IA ya no tiene faltas de ortografía

Los atacantes usan inteligencia artificial para redactar correos perfectos y personalizados. Un correo bien escrito NO es garantía de legitimidad: verifica siempre el remitente y la URL.

Señales de phishing identificadas — marca las que detectaste:

Dominio falso: "micros0ft.com" usa un cero (0) en lugar de la "o". Los atacantes usan dominios casi idénticos.
Urgencia artificial: "24 horas" y "URGENTE" buscan que actúes sin pensar. Las empresas legítimas no hacen eso.
URL sospechosa: El dominio real de Microsoft es "microsoft.com". "microsoft-verificacion-cuenta.support" no es Microsoft.
Amenaza de pérdida: "archivos eliminados permanentemente" es una amenaza falsa para generar miedo y hacer clic.
Solicitud de acción inmediata: Siempre desconfía cuando te pidan hacer clic en un enlace para "verificar tu cuenta".

💡

Regla de oro

Antes de hacer clic en cualquier enlace: pasa el cursor por encima y revisa la URL completa. Si algo no cuadra, NO hagas clic. Reporta el correo a TI inmediatamente. En el celular: mantén presionado el enlace (sin soltar) para ver la URL completa antes de abrirlo.

Cómo verificar si un correo es legítimo

🔍

Verifica el remitente

Revisa el dominio completo del correo, no solo el nombre. Haz clic en el nombre para ver la dirección real.

🔗

Inspecciona los enlaces

Pasa el cursor sobre el enlace antes de hacer clic. La URL que aparece en la barra inferior debe coincidir con la empresa.

📞

Confirma por otro canal

Si el correo pide algo urgente, llama directamente a la persona o empresa por un número que ya tengas guardado.

⚠️

Desconfía de la urgencia

Las organizaciones legítimas no te presionan con plazos de horas para resolver problemas críticos por correo.

Phishing y correo malicioso

¿Qué es el phishing?

Tipos de phishing que debes conocer

Cómo verificar si un correo es legítimo

🧠 Autoevaluación rápida — Módulo 01