El reciente caso de filtración de datos de clientes que sufrió la empresa española de energía Naturgy vuelve a poner sobre la mesa la importancia de la ciberseguridad en grandes corporaciones y los riesgos para la población. Los esquemas de suplantación de identidad han evolucionado hacia operaciones sofisticadas que causan estragos en las empresas. En algunos casos, los suplantadores se hacen pasar por ejecutivos; en otros, realizan solicitudes de facturas fraudulentas. Según un informe de IBM de 2025, la suplantación cuesta a las empresas una media de 4,4 millones de dólares por ataque(ventana nueva).

Según la propia empresa, alrededor de un 3% de los clientes de Naturgy se vieron afectados por el ataque(ventana nueva) y, aunque según las fuentes oficiales no quedaron expuestas las contraseñas ni las credenciales de acceso al Área Cliente, sí se filtraron datos bancarios, contractuales o el DNI de los afectados. La Organización de Consumidores y Usuarios de España pide que las empresas refuercen sus medidas de seguridad e informa a los clientes sobre los riesgos del phishing: una vez que los datos han sido extraídos, hay quienes pueden utilizar esta información para hacerse pasar por otros y engañar a las víctimas.

Cuando alguien accede de manera ilícita a los datos de una empresa y abre la puerta, cualquiera puede entrar. Por eso, tras una filtración de datos, es posible que comiencen los ataques de suplantación, también conocidos como phishing.

Phishing: qué es y por qué sigue siendo uno de los ciberataques más peligrosos

La suplantación es una forma de ciberdelincuencia diseñada para engañar a las personas, a menudo empleados, para que revelen información personal o sensible haciéndose pasar por una entidad de confianza. Pero la suplantación ya no ocurre solo en correos electrónicos y sitios web falsos. En lugar de hackear el software de una organización, lo que requiere un mayor nivel de habilidad técnica, los suplantadores explotan la psicología humana y el error utilizando herramientas emocionalmente manipuladoras como la persuasión, la urgencia y la autoridad para lograr que las víctimas entreguen material sensible con facilidad.

Un empleado podría recibir un correo electrónico que parece provenir de su director ejecutivo, un distribuidor o un proveedor de servicios conocido, haciendo una solicitud urgente. Cuando el destinatario hace clic en el enlace incrustado o responde al correo electrónico con su información sensible (como credenciales de inicio de sesión o información confidencial de la cuenta), el atacante puede obtener acceso a toda la red de sistemas internos de una empresa.

En concreto, la página española de Naturgy incluye ejemplos de phishing(ventana nueva), para explicar a sus propios clientes las diferencias entre un correo electrónico real enviado por la empresa y uno fraudulento. Desde la dirección del remitente, hasta el logo o los archivos adjuntos, son esos pequeños detalles los que ayudan a detectar una estafa. Por eso, antes de hacer clic en el enlace, es importante analizar el mensaje recibido. Además de enviar correos electrónicos, los ciberdelincuentes se hacen pasar por bancos, empresas energéticas o empresas conocidas y hacen llamadas telefónicas o envían SMS. 

Tipos comunes de ataques de suplantación

Hay muchos tipos de ataques de suplantación que pueden resultar en fraude o una vulneración de datos. A continuación se presentan los tipos más comunes:

  • Suplantación por correo electrónico: Un mensaje falso de un ejecutivo de la empresa o proveedor B2B que solicita las credenciales de inicio de sesión de un empleado, lo que luego permite al atacante acceder a los sistemas de datos de una empresa.
  • Smishing: Suplantación a través de mensajería SMS o aplicaciones de texto, como WhatsApp.
  • Vishing: Estafas de vídeo o audio que fingen ser una figura de autoridad, como un director ejecutivo o un representante bancario.
  • Quishing: Suplantación a través de códigos QR falsos que llevan a la víctima a un enlace fraudulento.

El caso Naturgy: un ciberataque a la cadena de suministro

Un proveedor del ecosistema de Naturgy sufrió un ciberataque a principios de mayo de 2026. Esto significa que el ataque no se produjo directamente contra la infraestructura interna de Naturgy, sino contra un proveedor externo que gestionaba información de clientes. Este detalle convierte el incidente en un ataque a la cadena de suministro, en el que el atacante obtiene acceso no autorizado a una base de datos alojada en los sistemas de un proveedor externo.

Aunque la compañía no hizo públicos los detalles técnicos, es habitual que este tipo de ataques se dirijan a centros de atención telefónica, sistemas CRM (gestión de relaciones con los clientes), departamentos de gestión documental, facturación o soporte técnico. El objetivo de los ciberdelincuentes es acceder a bases de datos de clientes, paneles de administración o credenciales de acceso a servicios, entre otros tipos de información. Saben que estos proveedores de servicios del entorno tecnológico de Naturgy cuentan con una protección menor y constituyen el eslabón más débil de la cadena. Por muy bien protegida que esté una empresa, siempre pueden producirse filtraciones cuando se comparten datos con terceros.

Los clientes afectados vieron expuestos sus nombres, números de documento de identidad (DNI), direcciones, números IBAN, compañías eléctricas y los detalles de sus contratos. Con esta información, un atacante puede elaborar un fraude convincente. En el sector energético, donde las llamadas comerciales son numerosas y los clientes cambian de tarifa con frecuencia, el riesgo de sufrir ataques de phishing (suplantación de identidad) es muy elevado. Además, puede transcurrir un periodo de tiempo antes de que los datos robados se compartan, por lo que, una vez superada la alarma inicial, los clientes bajan la guardia. Y es precisamente en ese momento cuando el delincuente actúa.

Ejemplos de ataques de phishing en España

Los casos de ataque a la cadena de suministro más representativos de los últimos años en España son los del Banco Santander, Repsol e Iberdrola en 2024 y El Corte Inglés en 2025. El de Naturgy se suma a este tipo de hackeo que resulta difícil de detectar por parte de la empresa matriz, ya que los atacantes se dirigen al proveedor y no a la empresa cliente.

Los clientes perciben que las llamadas, correos electrónicos y SMS cada vez son más personalizados. No es casualidad: los estafadores usan datos filtrados. Los casos más representativos son:

  • Estafas del SEPE y ERTE durante COVID (2020–2021): El Servicio Público de Empleo Estatal fue suplantado durante la pandemia aprovechando el caos de ayudas y ERTE. Los mensajes prometían pagos pendientes o solicitaban “validar datos” para recibir prestaciones. El objetivo era robar credenciales bancarias, identidad digital o acceso a sistemas como Cl@ve. Fue especialmente efectivo porque explotaba el miedo económico y la urgencia social.
  • FluBot y Correos (2021-2022): Correos fue usado como señuelo en una campaña masiva de smishing que distribuía el malware FluBot a través de SMS falsos de paquetes. La víctima instalaba un archivo ejecutable malicioso que robaba credenciales bancarias y códigos de autenticación. El malware además enviaba SMS automáticamente a todos los contactos del móvil infectado. Fue probablemente la campaña de phishing móvil más destructiva y extendida en España.
  • Banco Santander, BBVA y CaixaBank (2022–2026): los bancos fueron ampliamente suplantados mediante SMS que aparecían dentro de conversaciones legítimas. Los atacantes atacaban mediante vishing: combinando mensajes falsos con llamadas telefónicas para convencer a la víctima de entregar códigos de seguridad. Muchas campañas terminaban con control remoto del móvil o transferencias fraudulentas. Marcó el salto del phishing masivo al fraude altamente profesionalizado y personalizado.

Señales para detectar un intento de phishing antes de caer en la trampa

¿No sabes cómo diferenciar entre un correo electrónico real y una estafa? A continuación se presentan formas clave en las que puedes saber que estás tratando con un correo electrónico de suplantación en lugar de uno real:

  • Direcciones de remitente de correo electrónico sospechosas o que no coinciden.
  • Lenguaje urgente o que induce al miedo.
  • Solicitudes de datos sensibles.
  • Errores ortográficos, errores gramaticales, tono inusual o, en el caso de la IA, ningún error en absoluto y un tono «extraño» o rígido.
  • Enlaces que llevan a un sitio web que no coincide con el dominio oficial del sitio web.
  • Solicitudes de credenciales de inicio de sesión o información financiera personal.

Es importante tener en cuenta que tanto clientes como empresarios o trabajadores son susceptibles a este tipo de ataques, y es responsabilidad de la empresa proteger a sus clientes de posibles hackeos.

Qué hacer si recibes un mensaje sospechoso

  • No hacer clic en los enlaces.
  • Verificar directamente la información con la empresa.
  • Cambiar las contraseñas inmediatamente.
  • Activar la autenticación en dos pasos.
  • Contactar con el banco si se han incluido ciertos datos.

Qué hacer si ya has caído en un ataque de phishing

  • Bloquear cuentas y tarjetas.
  • Cambiar las contraseñas comprometidas utilizando un gestor de contraseñas seguro.
  • Denunciar el incidente en la Policía Nacional.
  • Revisar tus movimientos bancarios y tus dispositivos.

Recuerda que los organismos públicos como INCIBE(ventana nueva) (Instituto Nacional de Ciberseguridad) o la Organización de Consumidores y Usuarios pueden orientarte sobre cómo protegerte ante estos ataques y cómo actuar si has sido víctima de phishing.

Phishing en la era de la Inteligencia Artificial: un riesgo en aumento

La IA generativa está haciendo que el phishing sea mucho más peligroso porque permite crear mensajes que apenas se pueden distinguir de una conversación o una comunicación real. Hoy, los atacantes pueden generar correos, SMS y llamadas automatizadas con un lenguaje natural perfecto, usando un tono profesional y totalmente creíble. Además, la IA facilita campañas masivas adaptadas a distintos perfiles, multiplicando la capacidad de engaño sin necesidad de grandes conocimientos técnicos.

Al mismo tiempo, las continuas brechas de datos permiten personalizar los ataques con información real de las víctimas: nombre, banco, compañía eléctrica, dirección o hábitos de consumo. Esa combinación de datos filtrados e IA convierte el phishing en una forma de fraude cada vez más convincente y difícil de detectar. Por eso, la protección ya no depende solo de la tecnología, sino también de combinar buenas prácticas de privacidad, hábitos digitales seguros y herramientas de protección como autenticación multifactor, filtros antiphishing y monitorización de accesos.

Estrategias y mejores prácticas para la prevención de phishing en las empresas

Puedes asegurarte de que tu negocio y tus empleados estén un paso por delante de los suplantadores tomando medidas. A continuación están las mejores prácticas que puedes seguir:

  1. Capacitar a los empleados para identificar intentos de suplantación y alentar a tu equipo a denunciar todos los posibles ataques de suplantación, incluso si no están seguros de que un mensaje sea falso.
  2. Implementar un filtrado de correo electrónico fuerte y herramientas antisuplantación. Puedes empezar cambiando a un proveedor de correo electrónico que priorice la privacidad como Proton Mail, que tiene filtros de spam inteligentes y PhishGuard integrado para marcar posibles ataques de suplantación.
  3. Activar la autenticación de dos factores (2FA) usando Proton Authenticator para proporcionar una capa adicional de protección para tus cuentas online y las de tus empleados.
  4. Actualizar regularmente los sistemas operativos y navegadores para garantizar que los hackers y suplantadores no puedan acceder a tus datos a través de errores en tu software.
  5. Verificar todas las solicitudes de transacciones financieras o cambios de datos.
  6. Realizar ejercicios de suplantación simulados como los que hemos recopilado en este blog.
  7. Hacer cumplir políticas fuertes de gestión de contraseñas y usar un gestor de contraseñas para mayor seguridad.
  8. Monitorizar internet regularmente para buscar suplantación de identidad de correo electrónico (spoofing) de dominio o suplantadores que se hacen pasar por tu propia marca.
  9. Implementar cifrado de datos de extremo a extremo y usar una VPN.
  10. Ten un plan de respuesta ante incidentes claro para ataques de suplantación y asegúrate de que los empleados sepan cómo denunciar los ataques correctamente. En el caso de Naturgy, por ejemplo, han activado un email y un teléfono de contacto para las víctimas.

Protege tus datos con Proton

Si bien las empresas invierten mucho en sistemas de seguridad, un solo clic de un empleado objetivo de una estafa de suplantación puede hacer que las salvaguardias sean inútiles en cuestión de segundos.

¿El resultado? Pérdidas financieras gigantescas y vulneraciones de datos de las que puede llevar meses recuperarse. En el sector B2B, la suplantación también puede erosionar la confianza entre socios y clientes, poniendo en peligro las relaciones a largo plazo.

Con el conjunto de aplicaciones de Proton que priorizan la privacidad, tu negocio y tus empleados pueden mantenerse un paso por delante de suplantadores y hackers en todo momento.

¿Quieres dar a tus empleados las herramientas que necesitan para tener éxito? Infórmate sobre las soluciones cifradas de Proton para que puedas comenzar a proteger tu negocio hoy.