Los esquemas de suplantación han evolucionado hacia operaciones sofisticadas que causan estragos en las empresas. En algunos casos, los suplantadores se hacen pasar por directores ejecutivos. En otros, hacen solicitudes fraudulentas de facturas. Según un informe de IBM de 2025, la suplantación cuesta a las empresas un promedio de $4.4 millones por ataque(nueva ventana).
Pero hay una manera de prevenir este tipo de ataque costoso, y comienza con sus empleados. Una investigación reciente de Verizon encontró que el 8% de los empleados son responsables de un enorme 80% de los ataques de suplantación(nueva ventana). A medida que la tecnología avanza más rápido que nunca, los ciberdelincuentes están utilizando nuevas formas de explotar el comportamiento humano, en lugar de las salvaguardas de seguridad, para vulnerar los sistemas de datos.
En este artículo, hemos proporcionado señales de advertencia de suplantación, ejemplos de ataques de suplantación a tener en cuenta y las 10 mejores prácticas comerciales que puede implementar para evitar que un ataque de suplantación perjudique a su negocio.
¿Qué es la suplantación?
La suplantación es una forma de delito cibernético diseñado para engañar a las personas, a menudo empleados, para que revelen información personal o confidencial haciéndose pasar por una entidad de confianza. Pero la suplantación no solo ocurre en correos electrónicos y sitios web falsos. En lugar de hackear el software de una organización, lo que requiere un mayor nivel de habilidad técnica, los suplantadores explotan la psicología humana y el error utilizando herramientas emocionalmente manipuladoras como la persuasión, la urgencia y la autoridad para lograr que las víctimas entreguen material confidencial con facilidad.
Por ejemplo, un empleado podría recibir un correo electrónico que parece provenir de su director ejecutivo, un proveedor o un proveedor de servicios bien conocido. El mensaje probablemente advertiría de una vulneración de seguridad, una factura perdida o un intento de inicio de sesión sospechoso, e instaría al destinatario a tomar medidas inmediatas. Cuando el destinatario hace clic en el enlace incrustado o responde al correo electrónico con su información confidencial (como credenciales de inicio de sesión o información de cuenta confidencial), el atacante puede obtener acceso a toda la red de sistemas internos de una empresa.
Tipos comunes de ataques de suplantación
Hay muchos tipos de ataques de suplantación que pueden resultar en fraude o una vulneración de datos. A continuación se presentan los tipos más comunes:
- Suplantación por correo electrónico: Un mensaje falso de un ejecutivo de la empresa o proveedor B2B que solicita las credenciales de inicio de sesión de un empleado, lo que luego permite al atacante acceder a los sistemas de datos de una empresa.
- Smishing: Suplantación a través de mensajería SMS o aplicaciones de mensajes de texto, como WhatsApp.
- Vishing: Estafas de video o audio que fingen ser una figura de autoridad, como un director ejecutivo o un representante bancario.
- Quishing: Suplantación a través de códigos QR falsos que llevan a la víctima a un enlace fraudulento.
Señales de suplantación a tener en cuenta
¿No está seguro de cómo diferenciar entre un correo electrónico real y una estafa? A continuación se presentan formas clave en las que puede saber que está tratando con un correo electrónico de suplantación en lugar de uno real:
- Direcciones de remitente de correo electrónico sospechosas o que no coinciden.
- Lenguaje urgente o que induce miedo.
- Solicitudes de datos confidenciales.
- Faltas de ortografía, errores gramaticales, tono inusual o, en el caso de la IA, ningún error en absoluto y un tono “extraño” o rígido.
- Enlaces que conducen a un sitio web que no coincide con el dominio del sitio web oficial.
- Solicitudes de credenciales de inicio de sesión o información financiera personal.
Estrategias de prevención de suplantación y mejores prácticas
Puede asegurarse de que su negocio y sus empleados se mantengan un paso por delante de los suplantadores tomando medidas. A continuación se presentan las mejores prácticas a seguir:
- Capacite a los empleados para identificar intentos de suplantación y anime a su equipo a denunciar todos los posibles ataques de suplantación, incluso si no están seguros de que un mensaje sea falso.
- Implemente un filtrado de correo electrónico robusto y herramientas contra la suplantación. Puede comenzar cambiándose a un proveedor de correo electrónico que priorice la privacidad como Proton Mail, que cuenta con filtros de spam inteligentes y PhishGuard integrado para marcar posibles ataques de suplantación.
- Active la autenticación de dos factores (2FA) usando Proton Authenticator para proporcionar una capa adicional de protección para sus cuentas en línea y las de sus empleados.
- Actualice regularmente los sistemas operativos y los navegadores para garantizar que los piratas informáticos y los suplantadores no puedan acceder a sus datos a través de errores en su software.
- Verifique todas las solicitudes de transacciones financieras o cambios de datos.
- Realice ejercicios de suplantación simulados como los que hemos recopilado en este blog.
- Aplique políticas sólidas de gestión de contraseñas y use un gestor de contraseñas para mayor seguridad.
- Monitoree internet regularmente para detectar suplantación de identidad de dominio o suplantadores que se hacen pasar por su propia marca.
- Implemente cifrado de datos de extremo a extremo y use una VPN.
- Tenga un plan de respuesta a incidentes claro para ataques de suplantación y asegúrese de que los empleados sepan cómo denunciar los ataques correctamente.
Ejemplos del mundo real de ataques de suplantación
La suplantación continúa prosperando porque explota el eslabón más débil de la ciberseguridad: las personas. A continuación se presentan algunos ejemplos de alto perfil de la vida real:
- Ejemplo 1: Un ataque de suplantación apuntó (nueva ventana)a empleados de la Universidad de California(nueva ventana) enviando correos electrónicos falsos para robar credenciales y cambiar ilegalmente la información de depósito directo. Los atacantes también robaron nombres de usuario y contraseñas(nueva ventana) a través de sitios web falsos de apariencia creíble y se hicieron pasar por mesas de ayuda a través de llamadas telefónicas y mensajes de texto.
- Ejemplo 2: Un ataque de suplantación apuntó a empleados de Numotion(nueva ventana), un proveedor de sillas de ruedas, exponiendo los registros de casi 500.000 personas. La vulneración expuso nombres, fechas de nacimiento, registros médicos, información financiera y, en algunos casos, números de Seguro Social. Numotion enfrenta varias demandas por no asegurar la información confidencial.
- Ejemplo 3: En Japón, una estafa masiva de suplantación (nueva ventana) envió más de 580 millones de correos electrónicos falsos haciéndose pasar por Amazon, PayPal, Apple y otras marcas de confianza en un esfuerzo por robar datos de pago(nueva ventana).
Mantenga sus datos seguros con Proton
Si bien las empresas invierten mucho en sistemas de seguridad, un solo clic de un empleado objetivo de una estafa de suplantación puede inutilizar las salvaguardas en cuestión de segundos.
¿El resultado? Pérdidas financieras gigantescas y vulneraciones de datos de las que puede llevar meses recuperarse. En el sector B2B, la suplantación también puede erosionar la confianza entre socios y clientes, poniendo en peligro las relaciones a largo plazo.
Con el conjunto de aplicaciones de Proton que priorizan la privacidad, su empresa y sus empleados pueden mantenerse por delante de los suplantadores y piratas informáticos en todo momento.
¿Listo para dar a sus empleados las herramientas que necesitan para tener éxito? Conozca las soluciones cifradas de Proton para que pueda comenzar a proteger su negocio hoy.
