Tu contador recibe un email del “SRI” pidiendo que actualice sus datos fiscales. Hace clic en el enlace, ingresa su usuario y contrasena, y en minutos los atacantes tienen acceso a las credenciales reales del SRI de tu empresa. Esto es phishing: el ataque mas comun, mas efectivo, y mas barato que existe en ciberseguridad. En Ecuador, el phishing es responsable del 80% de los incidentes de seguridad en empresas. En esta guia te explicamos como funciona, como identificarlo, y como proteger a tu equipo.
En Blue Nova hemos investigado decenas de incidentes de phishing en empresas ecuatorianas: credenciales bancarias robadas, cuentas de email comprometidas, transferencias fraudulentas, y datos de clientes expuestos. La constante: un empleado que no reconocio la senal de alerta.
Que es phishing
Phishing es un ataque de ingenieria social donde el atacante se hace pasar por una entidad confiable (banco, SRI, proveedor, jefe) para enganarte y que entregues informacion sensible: contrasenas, datos bancarios, numeros de tarjeta, o acceso a sistemas.
No requiere habilidad tecnica avanzada. No explota vulnerabilidades de software. Explota la vulnerabilidad humana: confianza, urgencia, miedo, y desatencion.
Tipos de phishing
| Tipo | Como funciona | Ejemplo en Ecuador |
|---|---|---|
| Email phishing | Email masivo que imita a una entidad confiable | “SRI: actualice su RUC” con enlace falso |
| Spear phishing | Email dirigido a una persona especifica | “Estimado [nombre], su factura adjunta” al contador |
| Whaling | Phishing dirigido a ejecutivos/gerentes | “CEO: apruebe esta transferencia urgente” |
| Smishing | Phishing por SMS/WhatsApp | “BanEcuador: su cuenta fue bloqueada, ingrese aqui” |
| Vishing | Phishing por llamada telefonica | “Soy del banco, necesito verificar su clave” |
| Clone phishing | Copia exacta de un email legitimo previo | Reenvia una factura real pero con enlace modificado |
| BEC (Business Email Compromise) | Comprometen email de un ejecutivo real | Desde el email real del gerente: “transfiere $5,000 a esta cuenta” |
Como identificar un phishing
Senales en el email
Remitente sospechoso: el nombre dice “Banco Pichincha” pero el email es info@banco-pichincha-ec.com (dominio falso). Siempre verifica el dominio del remitente, no solo el nombre que aparece.
Urgencia artificial: “Su cuenta sera cerrada en 24 horas”, “Accion requerida inmediatamente”, “Ultimo aviso antes de penalidad”. La urgencia te impide pensar y te empuja a actuar sin verificar.
Errores gramaticales: muchos phishing son traducciones automaticas o copias imperfectas. Errores de ortografia, frases raras, y formato inconsistente son senales claras.
Enlaces sospechosos: pasa el mouse sobre el enlace SIN hacer clic. Si dice “www.bancopic.com” pero el enlace real apunta a “www.banc0-pich1ncha.xyz”, es phishing. La URL real es lo que importa, no el texto del enlace.
Adjuntos inesperados: facturas que no solicitaste, documentos de “cobro”, archivos .zip, .exe, .docm. Si no lo esperabas, no lo abras.
Solicitud de credenciales: ningun banco, SRI, ni servicio legitimo te pide tu contrasena por email. Nunca. Si te piden credenciales por email, es phishing.
Senales en el sitio web falso
URL diferente: el sitio se ve identico al del banco, pero la URL es bancopichincha-login.com en lugar de pichincha.com. Siempre revisa la barra de direcciones.
Sin HTTPS o certificado sospechoso: sitios de phishing basicos no tienen SSL. Los avanzados si, pero el certificado es generico (Let’s Encrypt) en lugar del certificado EV del banco real.
Formulario que pide demasiado: un login normal pide usuario y contrasena. Un phishing puede pedir ademas: numero de tarjeta, CVV, fecha de vencimiento, numero de cedula, y preguntas de seguridad. Todo en una sola pagina.
Phishing en Ecuador: casos reales
SRI falso: emails que imitan al SRI pidiendo “actualizar datos del RUC” o “descargar notificacion tributaria”. El enlace lleva a un sitio clon del SRI que roba credenciales.
Bancos: Banco Pichincha, Produbanco, y Banco Guayaquil son los mas suplantados. SMS y emails con “su cuenta fue bloqueada” que llevan a sitios falsos identicos al banco real.
WhatsApp: mensajes de “soporte tecnico de WhatsApp” pidiendo el codigo de verificacion de 6 digitos. Si lo compartes, pierdes tu cuenta de WhatsApp y el atacante la usa para estafar a tus contactos.
BEC empresarial: el atacante compromete el email del gerente financiero y envia instrucciones de transferencia bancaria a contabilidad. Como viene del email real del jefe, se ejecuta sin cuestionar.
Como proteger a tu empresa
Capacitacion (la defensa mas efectiva)
Simulaciones de phishing: envia phishing controlado a tus empleados y mide quien cae. Los que caen reciben capacitacion adicional. Herramientas como KnowBe4 o GoPhish (gratuito) automatizan esto.
Capacitacion periodica: no una vez al ano. Sesiones cortas (15-30 minutos) cada trimestre con ejemplos reales y actuales. El phishing evoluciona constantemente.
Cultura de reporte: crea un canal (email, boton en Outlook) para que los empleados reporten emails sospechosos sin miedo. Mejor 100 reportes falsos que 1 phishing no reportado.
Tecnologia
Filtro anti-phishing avanzado: Microsoft 365 Defender, Google Workspace security, o Proofpoint. Filtros que detectan URLs maliciosas, adjuntos sospechosos, y suplantacion de dominio.
DMARC, DKIM, SPF: configura estos registros DNS para tu dominio. Evitan que los atacantes envien emails haciendose pasar por tu empresa. Si alguien envia un email falso desde @tuempresa.com, los filtros lo rechazan.
2FA en todo: autenticacion de dos factores en email, banca en linea, sistemas internos, y redes sociales. Aunque roben la contrasena con phishing, no pueden entrar sin el segundo factor.
Administrador de contrasenas: los gestores de contrasenas (1Password, Bitwarden) solo autocompletan en el dominio correcto. Si el sitio es bancopichincha-fake.com, el gestor no ofrece la contrasena de pichincha.com. Es una capa anti-phishing automatica.
Procesos
Verificacion de transferencias: toda solicitud de transferencia por email (especialmente de ejecutivos) se verifica por un segundo canal: llamada telefonica directa al solicitante. Nunca ejecutes una transferencia solo porque “el jefe lo pidio por email”.
Politica de contrasenas: nunca compartir contrasenas por email, chat, o telefono. Ningun proveedor ni soporte tecnico legitimo las necesita.
Procedimiento ante incidente: si un empleado cae en phishing: cambiar contrasena inmediatamente, reportar al area de TI, revisar actividad sospechosa en la cuenta, y notificar a los afectados si hubo exposicion de datos.
Cuanto cuesta protegerse
| Servicio | Costo | Que protege |
|---|---|---|
| Capacitacion anti-phishing (anual) | $500 – $1,500 | Factor humano |
| Simulaciones de phishing | $300 – $1,000/ano | Evaluacion y entrenamiento |
| Configuracion DMARC/DKIM/SPF | $200 – $500 | Suplantacion de tu dominio |
| 2FA empresarial | $3 – $10/usuario/mes | Acceso a cuentas |
| Filtro anti-phishing avanzado | $5 – $15/usuario/mes | Emails maliciosos |
| Auditoria de seguridad email | $500 – $1,000 | Vulnerabilidades en email |
IVA 15% no incluido.
Errores comunes
“Mis empleados no caerian”: en simulaciones de phishing, el 30-40% de empleados sin capacitacion cae en el primer intento. Incluso empleados tecnicos. El phishing explota psicologia, no ignorancia.
Solo depender de la tecnologia: los filtros bloquean el 95% del phishing. El 5% que pasa es el que esta mejor hecho y el mas peligroso. La ultima linea de defensa siempre es el humano capacitado.
No configurar DMARC: sin DMARC, cualquiera puede enviar emails haciendose pasar por tu empresa. Tus clientes reciben phishing “de tu empresa” y tu reputacion se dano sin que te enteres.
Contrasena unica para todo: si un empleado usa la misma contrasena en el email corporativo y en una red social que fue hackeada, los atacantes prueban esa contrasena en tu email. Contrasenas unicas + administrador de contrasenas.
Estrategia integrada con Blue Nova
Capacitacion anti-phishing: sesiones para tu equipo con ejemplos reales de phishing en Ecuador. Simulaciones controladas para medir y mejorar la resistencia. Desde $500.
Configuracion de email seguro: DMARC, DKIM, SPF, y filtros anti-phishing para tu dominio. Evita que suplanten tu marca y que el phishing llegue a tu equipo. Desde $200.
Auditoria de seguridad: revision completa de tus canales de comunicacion: email, accesos remotos, 2FA, y politicas de contrasenas. Desde $500.
Respuesta a incidentes: si un empleado cayo en phishing, actuamos: cambio de credenciales, revision de danos, monitoreo post-incidente. Desde $500.
Preguntas frecuentes sobre phishing
Como se si un email es phishing
Verifica el dominio del remitente (no solo el nombre), revisa la URL del enlace sin hacer clic (pasa el mouse), desconfia de la urgencia artificial, y recuerda: ningun banco o entidad te pide contrasenas por email.
Que hago si ya hice clic en un enlace sospechoso
Cambia tu contrasena inmediatamente desde un dispositivo diferente. Si ingresaste datos bancarios, contacta a tu banco. Reporta al area de TI. Monitorea tu cuenta para actividad sospechosa en las proximas semanas.
El phishing solo llega por email
No. Llega por SMS (smishing), WhatsApp, llamadas telefonicas (vishing), redes sociales (mensajes directos), y hasta por codigos QR que llevan a sitios falsos. El email es el canal mas comun pero no el unico.
El 2FA me protege completamente
El 2FA protege contra phishing basico (robo de contrasena). Phishing avanzado puede capturar el codigo 2FA en tiempo real (man-in-the-middle). Las llaves fisicas (YubiKey) son la proteccion mas fuerte contra phishing.
Puedo denunciar phishing en Ecuador
Si. Reporta al CERT-EC (cert.ec) para phishing que suplante entidades ecuatorianas. Si hubo perdida economica, denuncia en la Fiscalia. Los bancos tienen canales de reporte para phishing que suplante su marca.
El antivirus detecta phishing
Los antivirus modernos bloquean sitios de phishing conocidos (listas negras). Pero los sitios de phishing nuevos (recien creados) no estan en las listas todavia. La primera linea de defensa es el criterio humano.
Que es DMARC y por que lo necesito
DMARC es un protocolo que le dice a los servidores de email como manejar mensajes no autorizados de tu dominio. Sin DMARC, cualquiera puede enviar emails haciendose pasar por @tuempresa.com.
Cuanto pierden las empresas por phishing
Segun el FBI, las perdidas globales por BEC (phishing empresarial) superaron los $2.7 mil millones en 2024. Para PYMEs ecuatorianas, una transferencia fraudulenta puede significar $5,000-50,000.
Las redes sociales de mi empresa pueden ser hackeadas por phishing
Si. Phishing dirigido al community manager: “Instagram: tu cuenta sera eliminada, verifica aqui”. Entrega credenciales y pierdes la cuenta. 2FA + capacitacion previenen esto.
Cada cuanto debo capacitar a mi equipo
Minimo cada trimestre (sesiones cortas de 15-30 minutos). Simulaciones de phishing cada 2-3 meses para medir progreso. El phishing cambia constantemente, la capacitacion debe ser continua.
El phishing con IA es mas peligroso
Si. La IA permite crear phishing sin errores gramaticales, personalizado con informacion publica de la victima, y en su idioma nativo. Los emails de phishing generados por IA son mas dificiles de detectar. La capacitacion es mas importante que nunca.
Como empiezo a proteger mi empresa
Agenda una capacitacion anti-phishing para tu equipo. Incluye simulaciones controladas, configuracion de DMARC/DKIM/SPF, y revision de politicas de acceso. Contactanos aqui.
Tu equipo capacitado contra el phishing
El 80% de los incidentes de seguridad empiezan con un email de phishing. La tecnologia bloquea el 95%, pero el 5% que pasa es el mas peligroso. Tu ultima defensa es un equipo que sabe identificar la trampa. Blue Nova capacita a tu equipo con ejemplos reales, simulaciones controladas, y proteccion tecnica (DMARC, 2FA, filtros). Desde $500. Agenda tu capacitacion y blinda el eslabon humano.
Bibliografia y fuentes consultadas
- FBI. Internet Crime Complaint Center (IC3) Report 2024. ic3.gov
- APWG. Phishing Activity Trends Report 2025. apwg.org
- KnowBe4. Phishing by Industry Benchmarking Report 2025. knowbe4.com
- Google. Phishing Protection Best Practices. safety.google
- CERT-EC. Alertas y Recomendaciones de Seguridad. cert.ec
Sigue leyendo
Comentarios y opiniones
0 comentarios · Moderación previa
Cuéntanos tu experiencia, dudas o casos similares. Revisamos cada comentario antes de publicarlo para mantener conversaciones de calidad. También puedes suscribirte para recibir nuevos artículos.