¿Por qué seguimos cayendo en ataques de phishing en pleno 2025?

Todos sabemos lo que es el phishing. Nos lo han dicho mil veces: “no abras correos raros”, “cuidado con los links”, “fíjate bien en la dirección del remitente”. Y aun así… seguimos cayendo. Tú, yo, tu amigo de sistemas, hasta el CEO. No es por ser ingenuos, es más complicado que eso.

Te llega un correo del banco. Se ve bien, el logo está donde debe, el mensaje suena serio: “Detectamos actividad sospechosa en tu cuenta. Haz clic aquí para verificar tu identidad”. Lo haces. Y ya está. Tus datos, tus accesos, tus cuentas… en manos de alguien más.

No es una historia de película ni un descuido de alguien “que no sabe de tecnología”. Pasa todos los días. Porque el phishing no apunta a lo que sabes, apunta a cómo reaccionas: cuando estás apurado, distraído o simplemente confiado. Se mete por las emociones, no por los firewalls. Y lo peor es que muchas veces ni te das cuenta... hasta que ya es tarde.

¿Por qué sigue funcionando el phishing?

Sí, todos ya sabemos lo que es el phishing. Ese truco que intenta sacarte datos personales haciéndose pasar por tu banco, una red social o incluso tu jefe. Nos lo han explicado mil veces. Y sin embargo… seguimos cayendo. ¿Cómo es posible?

La respuesta está en cómo funciona nuestra cabeza. Según Daniel Kahneman (el psicólogo que ganó el Nobel y escribió: Pensar rápido, pensar despacio), usamos dos tipos de pensamiento:

1. Sistema 1: rápido, automático, impulsivo. Es ese que hace clic sin pensar dos veces.

2. Sistema 2: lento, lógico, más analítico. Es el que revisa, duda, verifica... cuando tiene tiempo.

¿Y cuál usamos la mayor parte del día? Exacto: el rápido. El que responde correos mientras toma café, salta entre reuniones y tiene mil pestañas abiertas. Ahí es donde los atacantes entran en acción. Y no solo con correos. Existe algo llamado tabnabbing, que aprovecha justo ese caos de tener mil pestañas abiertas. Funciona así: dejas abierta una página, te vas a otra cosa, y mientras tanto, esa pestaña cambia su contenido sin que te des cuenta. Cuando vuelves, parece que te pide que inicies sesión (en Gmail, por ejemplo), y tú, confiado, metes tu usuario y contraseña. Pero no es Gmail… es una trampa.

Así de fácil es caer cuando estás en piloto automático. Los mensajes de phishing están diseñados para activar justo ese modo impulsivo. Te meten presión, te asustan o se hacen pasar por alguien con autoridad. Algunos clásicos:

1. Urgencia: “¡Tu cuenta será suspendida hoy mismo si no haces algo!”

2. Miedo: “Hemos detectado actividad inusual en tu cuenta”.

3. Autoridad falsa: “Responde cuanto antes al mensaje de tu jefe”.

Y claro, uno está ocupado, distraído, y antes de que te des cuenta... ya hiciste clic.

¿Cómo reacciona tu cerebro ante un correo sospechoso?

Cuando manda el Sistema 1 (el impulsivo):

Ve palabras como “URGENTE” o “tu cuenta será suspendida” y entra en pánico. Ni mira quién envió el correo, ni se fija adónde lleva el enlace. Solo piensa: “¡Mi cuenta! ¡Mi plata! ¡Mi vidaaa!” . Y hace clic sin pensarlo.
No analiza nada, solo reacciona desde el susto. ¿El resultado? El atacante te engañó.

Cuando toma el control el Sistema 2 (el racional):

Siente la urgencia, pero se frena un segundo. Mira el correo con ojo crítico y se pregunta: “¿De verdad mi banco escribiría así?”. Pasa el mouse por el enlace y ve algo raro: no dice tubanco.com, dice algo como seguridad-tubanco-alerta.xyz. Abre la app del banco para ver si hay algo parecido. Y decide no hacer clic. Mejor, lo reporta a TI. ¿El resultado? El Sistema 2 lo pensó dos veces. Y ganó.

Podría interesarte leer: ¿Qué hacer si recibes un correo electrónico fraudulento?

El phishing de hoy ya no es tan obvio como antes

Olvídate de esos correos con mala ortografía y frases tipo “haz click aki”. Eso ya fue. Ahora los ataques de phishing vienen bien disfrazados, en distintos formatos, y la mayoría se ven bastante legítimos. Acá van algunos ejemplos:

Hoy los ataques no te gritan “¡soy phishing!”, te susurran al oído como si fueran de confianza. Por eso, cada vez es más importante mirar dos veces antes de hacer clic.

Conoce más sobre: ¿Cuáles Son los Tipos de Ataques de Phishing y Cómo Protegerte?

¿Cómo hacemos para no seguir cayendo en phishing?

La clave está en dos cosas: entrenar el piloto automático (ese que hace clic sin pensar) y activar la parte más analítica de tu cerebro, esa que te hace decir: “A ver, esto suena raro”. Y no, no necesitas ser experto en seguridad para lograrlo. 

1. Entrena tu modo automático con simulacros

Ese lado impulsivo que todos tenemos, el que responde correos mientras toma café o va saliendo de una junta, también se puede entrenar. Y entre más lo practiques, más difícil será que te agarren en curva.

Una solución de concientización de usuarios en ciberseguridad como la que ofrecemos en TecnetOne, es súper útiles para eso. Te lanzan correos trampa realistas, tú respondes como lo harías normalmente, y luego te dicen si caíste o no. Así vas conociendo tus puntos ciegos sin poner en riesgo tu información. ¿No estás seguro si tú o tu equipo harían clic? Pruébenlo. Más vale fallar en un simulacro que en la vida real.

2. Activa tu parte lógica con pequeños empujones (nudges)

A veces no necesitas un curso entero para actuar mejor. Solo un pequeño recordatorio en el momento justo. A eso se le llama nudge digital: no te bloquea ni te regaña, solo te hace pensar dos segundos más… y eso puede hacer toda la diferencia.