Los esquemas de suplantación han evolucionado hacia operaciones sofisticadas que causan estragos en las empresas. En algunos casos, los suplantadores se hacen pasar por directores ejecutivos. En otros, realizan solicitudes de facturas fraudulentas. Según un informe de IBM de 2025, la suplantación cuesta a las empresas una media de 4,4 millones de dólares por ataque(ventana nueva).
Pero hay una manera de prevenir este tipo de ataque costoso, y comienza con tus empleados. Una investigación reciente de Verizon encontró que el 8 % de los empleados son responsables de un enorme 80 % de los ataques de suplantación(ventana nueva). A medida que la tecnología avanza más rápido que nunca, los ciberdelincuentes están utilizando nuevas formas de explotar el comportamiento humano, en lugar de las salvaguardias de seguridad, para vulnerar los sistemas de datos.
En este artículo, hemos proporcionado señales de advertencia de suplantación, ejemplos de ataques de suplantación a tener en cuenta y las 10 mejores prácticas comerciales que puedes implementar para evitar que un ataque de suplantación perjudique a tu negocio.
¿Qué es la suplantación?
La suplantación es una forma de ciberdelincuencia diseñada para engañar a las personas, a menudo empleados, para que revelen información personal o sensible haciéndose pasar por una entidad de confianza. Pero la suplantación ya no ocurre solo en correos electrónicos y sitios web falsos. En lugar de hackear el software de una organización, lo que requiere un mayor nivel de habilidad técnica, los suplantadores explotan la psicología humana y el error utilizando herramientas emocionalmente manipuladoras como la persuasión, la urgencia y la autoridad para lograr que las víctimas entreguen material sensible con facilidad.
Por ejemplo, un empleado podría recibir un correo electrónico que parece provenir de su director ejecutivo, un proveedor o un proveedor de servicios conocido. El mensaje probablemente advertiría de una vulneración de seguridad, una factura perdida o un intento de inicio de sesión sospechoso, e instaría al destinatario a tomar medidas inmediatas. Cuando el destinatario hace clic en el enlace incrustado o responde al correo electrónico con su información sensible (como credenciales de inicio de sesión o información confidencial de la cuenta), el atacante puede obtener acceso a toda la red de sistemas internos de una empresa.
Tipos comunes de ataques de suplantación
Hay muchos tipos de ataques de suplantación que pueden resultar en fraude o una vulneración de datos. A continuación se presentan los tipos más comunes:
- Suplantación por correo electrónico: Un mensaje falso de un ejecutivo de la empresa o proveedor B2B que solicita las credenciales de inicio de sesión de un empleado, lo que luego permite al atacante acceder a los sistemas de datos de una empresa.
- Smishing: Suplantación a través de mensajería SMS o aplicaciones de texto, como WhatsApp.
- Vishing: Estafas de vídeo o audio que fingen ser una figura de autoridad, como un director ejecutivo o un representante bancario.
- Quishing: Suplantación a través de códigos QR falsos que llevan a la víctima a un enlace fraudulento.
Señales de suplantación a tener en cuenta
¿No estás seguro de cómo diferenciar entre un correo electrónico real y una estafa? A continuación se presentan formas clave en las que puedes saber que estás tratando con un correo electrónico de suplantación en lugar de uno real:
- Direcciones de remitente de correo electrónico sospechosas o que no coinciden.
- Lenguaje urgente o que induce al miedo.
- Solicitudes de datos sensibles.
- Errores ortográficos, errores gramaticales, tono inusual o, en el caso de la IA, ningún error en absoluto y un tono «extraño» o rígido.
- Enlaces que llevan a un sitio web que no coincide con el dominio oficial del sitio web.
- Solicitudes de credenciales de inicio de sesión o información financiera personal.
Estrategias de prevención de suplantación y mejores prácticas
Puedes asegurarte de que tu negocio y tus empleados estén un paso por delante de los suplantadores tomando medidas. A continuación se presentan las mejores prácticas a seguir:
- Capacitar a los empleados para identificar intentos de suplantación y alentar a tu equipo a denunciar todos los posibles ataques de suplantación, incluso si no están seguros de que un mensaje sea falso.
- Implementar un filtrado de correo electrónico fuerte y herramientas antisuplantación. Puedes comenzar cambiando a un proveedor de correo electrónico que priorice la privacidad como Proton Mail, que tiene filtros de spam inteligentes y PhishGuard integrado para marcar posibles ataques de suplantación.
- Activar la autenticación de dos factores (2FA) usando Proton Authenticator para proporcionar una capa adicional de protección para tus cuentas online y las de tus empleados.
- Actualizar regularmente los sistemas operativos y navegadores para garantizar que los hackers y suplantadores no puedan acceder a tus datos a través de errores en tu software.
- Verificar todas las solicitudes de transacciones financieras o cambios de datos.
- Realizar ejercicios de suplantación simulados como los que hemos recopilado en este blog.
- Hacer cumplir políticas fuertes de gestión de contraseñas y usar un gestor de contraseñas para mayor seguridad.
- Monitorizar internet regularmente para buscar suplantación de identidad de correo electrónic (spoofing) de dominio o suplantadores que se hacen pasar por tu propia marca.
- Implementar cifrado de datos de extremo a extremo y usar una VPN.
- Ten un plan de respuesta ante incidentes claro para ataques de suplantación y asegúrate de que los empleados sepan cómo denunciar los ataques correctamente.
Ejemplos del mundo real de ataques de suplantación
La suplantación continúa prosperando porque explota el eslabón más débil en ciberseguridad: las personas. A continuación se presentan algunos ejemplos de alto perfil de la vida real:
- Ejemplo 1: Un ataque de suplantación se dirigió a(ventana nueva) empleados de la Universidad de California(ventana nueva) enviando correos electrónicos falsos para robar credenciales y cambiar ilegalmente la información de depósito directo. Los atacantes también robaron nombres de usuario y contraseñas(ventana nueva) a través de sitios web falsos de aspecto creíble y se hicieron pasar por mesas de ayuda a través de llamadas telefónicas y mensajes de texto.
- Ejemplo 2: Un ataque de suplantación se dirigió a empleados de Numotion(ventana nueva), un proveedor de sillas de ruedas, exponiendo los registros de casi 500.000 personas. La vulneración expuso nombres, fechas de nacimiento, registros médicos, información financiera y, en algunos casos, números de la Seguridad Social. Numotion se enfrenta a varias demandas por no asegurar la información sensible.
- Ejemplo 3: En Japón, una estafa masiva de suplantación envió(ventana nueva) más de 580 millones de correos electrónicos falsos haciéndose pasar por Amazon, PayPal, Apple y otras marcas de confianza en un esfuerzo por robar datos de pago(ventana nueva).
Mantén tus datos seguros con Proton
Si bien las empresas invierten mucho en sistemas de seguridad, un solo clic de un empleado objetivo de una estafa de suplantación puede hacer que las salvaguardias sean inútiles en cuestión de segundos.
¿El resultado? Pérdidas financieras gigantescas y vulneraciones de datos de las que puede llevar meses recuperarse. En el sector B2B, la suplantación también puede erosionar la confianza entre socios y clientes, poniendo en peligro las relaciones a largo plazo.
Con el conjunto de aplicaciones de Proton que priorizan la privacidad, tu negocio y tus empleados pueden mantenerse un paso por delante de suplantadores y hackers en todo momento.
¿Listo para dar a tus empleados las herramientas que necesitan para tener éxito? Infórmate sobre las soluciones cifradas de Proton para que puedas comenzar a proteger tu negocio hoy.
