El 73% de las empresas en América Latina afirma haber sido objetivo de campañas de phishing durante 2025, especialmente en los sectores manufacturero y bancario, según el último informe “ESET Security Report”.
El phishing es una modalidad de fraude digital en la que los ciberdelincuentes se hacen pasar por personas, empresas o servicios legítimos para engañar a las víctimas y obtener información confidencial, como contraseñas, datos bancarios o credenciales de acceso.
“El phishing no es un ataque sofisticado porque utilice tecnología avanzada, sino porque explota el elemento más débil de cualquier sistema de seguridad: el ser humano. Además, los sectores con datos sensibles o acceso a recursos críticos son una prioridad para los delincuentes”, comenta David González, investigador de Seguridad Informática de ESET Latinoamérica.
“El phishing funciona porque es sencillo de realizar, demasiado efectivo y, en la mayoría de los casos, la víctima no sabe que ha sido objetivo hasta mucho más tarde. Los delincuentes están utilizando varias técnicas nuevas”, agrega el investigador.
El riesgo se concentra en determinadas industrias. El sector educación registra el mayor porcentaje de organizaciones que reportaron ataques de phishing: con 81,4%, seguido del manufacturero, con 81,1%, y Banca y Finanzas, con 79,6%. Gobierno y Salud registran 72,6% y 67,6%, respectivamente.
La ingeniería social continúa siendo el principal vector de ataque en América Latina, por encima del acceso no autorizado, el malware y la explotación de vulnerabilidades. Esta técnica consiste en manipular psicológicamente a las personas para conseguir que revelen información, hagan clic en un enlace, descarguen un archivo o realicen alguna acción que favorezca al atacante. Para ello, los ciberdelincuentes suelen recurrir a mensajes que aparentan ser legítimos y apelan principalmente a la confianza, el miedo o la urgencia.
NUEVAS TÉCNICAS
A nivel global, los datos del ESET Threat Report del primer semestre de 2026 muestran una evolución de estas campañas. Los atacantes personalizan los mensajes con información específica de las empresas, suplantan dominios y recurren a nuevas técnicas, como el uso de códigos QR en correos electrónicos para evadir los mecanismos tradicionales de detección.
Una de estas campañas fue identificada recientemente por ESET. Los atacantes enviaban correos con el asunto “Nuevo buzón de voz” y suplantaban la cuenta de la propia víctima como remitente para aparentar que el mensaje se había originado dentro de la empresa. El archivo adjunto, en formato .svg, podía eludir algunos filtros de seguridad tradicionales. Al abrirlo, la víctima era redirigida a una página que imitaba el inicio de sesión de Outlook, donde se robaban sus credenciales.
ESET también advierte sobre otras tácticas, como el uso de códigos QR distribuidos mediante correos electrónicos y la técnica ClickFix, que simula fallos del navegador para inducir al usuario a ejecutar acciones bajo presión.
Para reducir los riesgos, ESET recomienda evitar hacer clic en enlaces de correos no solicitados o de dudosa procedencia, desconfiar de mensajes que generen una sensación de urgencia y prestar especial atención a archivos adjuntos inesperados, sobre todo aquellos en formatos menos comunes como .SVG.
González señala que la protección frente al phishing requiere tanto de los usuarios como de las organizaciones. Para estas últimas, destaca la importancia de contar con mecanismos de visibilidad y monitoreo, así como mantener activos sistemas de defensa como el firewall, el EDR y los respaldos, además de fortalecer las políticas de autenticación y mantener los sistemas actualizados.