Tipos de phishing: cuáles existen, ejemplos y cómo identificar cada uno

Las etiquetas del phishing no forman una lista universal de categorías excluyentes. Para describir un intento, pregunta tres cosas: a quién se dirige, por qué canal llega y qué mecanismo intenta que uses. Una misma acción puede ser dirigida a un empleado, llegar por correo e incluir un QR. Esta guía se centra en las modalidades; para la definición, comprobación de remitentes y respuesta general, consulta qué es el phishing y cómo actuar. La clasificación es una herramienta para entender el engaño, no una taxonomía legal ni una etiqueta que siempre acuerden todos los sectores. MITRE ATT&CK organiza técnicas para describir comportamientos observados en ciberseguridad; las palabras de uso común pueden clasificar por intención, canal o mecanismo. Por eso, antes de preguntar «qué tipo es», ayuda describir lo observable: quién parece ser el objetivo, cómo se inició el contacto y qué acción solicita.

Cómo se clasifican los tipos de phishing

Phishing masivo

El phishing masivo llega a muchas personas o a un grupo amplio sin seleccionar individualmente a cada destinatario. Puede imitar avisos de entrega, facturas, cuentas o servicios populares y pedir abrir una página, un archivo, responder o llamar. Un texto genérico puede ser una pista, pero campañas masivas también pueden insertar nombres automáticamente. Su alcance no significa necesariamente que sea menos peligroso: importan la petición y las consecuencias posibles.

Ejemplo ficticio: varias personas reciben un aviso inesperado de una entrega pendiente y se les pide confirmar datos. Verifica el seguimiento en la aplicación o web oficial que abras por tu cuenta. No todos los avisos de entrega son falsos; lo que merece revisión es que no reconozcas el envío o la operación. Los filtros ayudan, pero no detectan todo.

Spear phishing: ataques dirigidos

Spear phishing es un intento dirigido a una persona, empresa o sector concreto. Puede aludir a un proyecto, proveedor o tarea real para que la petición parezca familiar. Eso no demuestra que el remitente tenga información secreta: algunos datos son públicos o pueden proceder de una cuenta comprometida. MITRE ATT&CK diferencia phishing dirigido de no dirigido y documenta varias entregas, como adjuntos, enlaces, servicios de terceros y voz.

Ejemplo ficticio: una persona recibe una solicitud aparentemente relacionada con una tarea laboral, pero se le pide iniciar sesión de nuevo o abrir un documento fuera del proceso habitual. Confirma la solicitud con la persona o el equipo mediante un canal conocido. En el trabajo, sigue el procedimiento de reporte y no reenvíes archivos sospechosos. La personalización es una razón para revisar el contexto, no una prueba de fraude por sí sola.

Whaling: objetivos de alto perfil

Whaling suele describir spear phishing dirigido a personas con responsabilidades o acceso de alto valor, como directivos o responsables de pagos. No es un canal distinto: puede llegar por correo, llamada o mensajería. El término describe el perfil del objetivo. Una petición de secreto, urgencia o excepción a controles merece confirmación independiente, aunque parezca proceder de alguien con autoridad.

Ejemplo ficticio: alguien que parece ser un directivo pide cambiar urgentemente el destinatario de un pago. No uses ese mismo mensaje como única confirmación. Aplica el proceso interno de aprobación y llama a un contacto cuyo número ya esté verificado. Una petición ejecutiva puede ser legítima; confirma por separado el cambio y la operación.

Smishing: phishing por SMS

Smishing es el nombre habitual del phishing por SMS o mensajes de texto. Puede incluir un enlace, pedir una respuesta o intentar que llames o instales algo. A veces imita entregas, avisos de cuenta o supuestas multas, pero esos contextos también pueden ser legítimos. No todos los SMS fraudulentos contienen enlaces, y el nombre o número visible no demuestra quién controla el envío.

Ejemplo ficticio: un texto inesperado asegura que un paquete no llegará si no confirmas un dato. Comprueba el envío desde la aplicación oficial o una dirección que ya conozcas. No respondas con códigos ni datos personales. Aunque aparezca dentro de un hilo conocido, verifica por separado: el remitente puede estar falsificado o la conversación afectada.

Vishing: phishing por voz

Vishing combina engaño con comunicación de voz, a menudo mediante llamadas. El contacto puede empezar por otro canal y pedir que llames a un número. Quien llama puede hacerse pasar por soporte, una empresa o un compañero para conseguir datos, códigos, pagos o acceso remoto. El identificador de llamada no prueba quién está al otro lado.

Ejemplo ficticio: una llamada avisa de una supuesta operación sospechosa y pide leer un código recibido. No compartas códigos ni instales herramientas de acceso por petición de una llamada inesperada. Cuelga y llama al número publicado en una aplicación, tarjeta o documento que ya tengas. No todas las llamadas de seguridad son fraudulentas; verifica la petición por otra vía.

QR phishing o quishing

QR phishing o quishing utiliza un código QR para conducir a una página, pago o interacción engañosa. Puede aparecer en un correo, documento, cartel o pegatina; un código físico también puede haber sido sustituido. El QR no es malicioso por su forma: el riesgo está en el destino o la acción. El FBI/IC3 advierte de códigos alterados tanto en soportes digitales como físicos.

Ejemplo ficticio: una factura inesperada dice que el único modo de pagar es escanear un código. No lo escanees para probar si es sospechoso. Comprueba la factura mediante el servicio oficial que abras por separado. Si la cámara muestra una dirección, revisa el destino antes de seguir, pero una vista previa no garantiza mostrar todas las redirecciones. Un adhesivo superpuesto o una instrucción sin contexto es motivo para detenerse.

Clone phishing: mensajes imitados

Clone phishing describe la imitación de una comunicación conocida con un cambio engañoso, por ejemplo un enlace o archivo adjunto nuevo. La oficina de seguridad informática de la Universidad de Tennessee describe la copia y modificación de un correo legítimo. Algunas descripciones incluyen el compromiso de la cuenta original; la etiqueta por sí sola no demuestra que haya ocurrido en un incidente concreto, por eso aquí se usa de forma descriptiva.

Ejemplo ficticio: llega una notificación parecida a otra anterior, pero incluye un archivo que no esperabas o pide repetir una acción. Compárala con el proceso conocido y confirma con quien la envió por un canal habitual. No abras el adjunto solo porque la conversación te resulte familiar. Una comunicación legítima puede cambiar; verifica antes de actuar.

Phishing en redes y mensajería

Redes sociales, mensajería y plataformas de colaboración también pueden distribuir intentos dirigidos. Una cuenta conocida puede estar comprometida, ser falsa o parecerse a la de un contacto. El historial de conversación no autentica un nuevo enlace, archivo o solicitud. MITRE documenta phishing dirigido mediante servicios de terceros; eso no significa que todo mensaje privado o fraude social sea phishing.

Ejemplo ficticio: un contacto conocido envía un archivo o solicita un código por chat, pero la petición no encaja con la conversación. Confirma por llamada u otra vía que ya uses con esa persona. En el trabajo, utiliza el canal corporativo aprobado. No compartas códigos, credenciales ni documentos solo porque el perfil te resulte familiar.

BEC y fraude del CEO

BEC, o compromiso del correo empresarial, describe fraudes que buscan desviar pagos o conseguir datos de una organización o persona. Puede utilizar cuentas legítimas comprometidas, identidades suplantadas o instrucciones de pago falsas. El fraude del CEO suele ser un escenario de suplantación de un directivo; puede solaparse con whaling o spear phishing, pero no son sinónimos exactos. BEC no requiere siempre una web falsa ni el robo de una contraseña.

Ejemplo ficticio: un proveedor aparentemente conocido comunica un cambio de cuenta bancaria justo antes de vencer una factura. No utilices solo el teléfono o correo del aviso. Confirma el cambio con un contacto previamente registrado y aplica los controles internos. Si ya enviaste dinero, contacta enseguida con tu banco y con el equipo financiero; no se garantiza recuperar la transferencia.

Otros mecanismos documentados

También se habla de imitación de hilos, llamadas de retorno inducidas o solicitudes engañosas de permisos de una aplicación. Algunas son mecanismos o escenarios, no tipos con una definición universal. MITRE ATT&CK documenta el phishing mediante servicios y voz; no atribuyas a MITRE cada etiqueta popular. No apruebes permisos o accesos que no hayas iniciado y comprendido. Tampoco conviene deducir la modalidad solo por la primera pantalla. Un email puede pedir una llamada; una llamada puede llevar a una página; un mensaje en una plataforma legítima puede incluir un enlace de suplantación. Describe primero el canal de entrada y después los pasos que se intentaron, sin asumir que se completaron. En un entorno laboral, esta descripción precisa puede ayudar al equipo de seguridad a revisar el incidente.

Cómo se solapan las modalidades

Una forma sencilla de ordenar términos es: objetivo (masivo, dirigido, alto perfil), canal (correo, SMS, voz, red social) y mecanismo (QR, imitación, enlace, adjunto o petición de pago). Whaling suele ser una modalidad dirigida; smishing y vishing nombran canales; QR y clonación describen mecanismos. Una misma campaña puede combinar varias dimensiones.

Comparación de modalidades habituales

La comparación resume qué conviene revisar, no asigna niveles de peligro. Una señal depende del contexto: cambio inesperado de datos de pago, petición de un código o destino de QR distinto del servicio esperado. La defensa común es detenerse y confirmar por un canal independiente. Para conocer otros fraudes digitales, consulta la guía de estafas online.

• Phishing masivo — alcance amplio; revisa si esperabas la petición; verifica en el servicio oficial.
• Spear phishing / whaling — persona elegida o perfil directivo; revisa el contexto, secreto o excepción de pago; confirma con alguien conocido.
• Smishing — mensaje de texto; comprueba petición y remitente; usa la app oficial.
• Vishing — llamada o voz; desconfía de presión y códigos; cuelga y llama a un número conocido.
• QR phishing — código físico o digital; comprueba procedencia y destino; abre el servicio oficial aparte.
• Clone / redes — mensaje o cuenta familiar; revisa cambios inesperados; confirma por otro canal.
• BEC — pago o datos empresariales; revisa cambios bancarios; aplica aprobación independiente.

Cómo protegerte según el canal

En correo o SMS, abre la aplicación o web oficial por tu cuenta. En una llamada, cuelga y marca un número conocido. Ante un QR, comprueba quién lo colocó, el destino y la operación antes de iniciar sesión o pagar. En redes, confirma una petición inesperada con la persona por otra vía. En empresas, utiliza controles de pago y reporte interno. Ninguna medida garantiza por sí sola la seguridad. Si la petición es financiera, confirma el beneficiario y los datos completos, no solo el nombre de la empresa. En una organización, aplica la política de doble aprobación y usa contactos ya registrados. Para códigos QR en espacios públicos, comprueba que el soporte no parezca manipulado; si el destino solicita credenciales o un pago inesperado, detente y abre el servicio desde su aplicación.

Qué hacer si ya interactuaste

Si solo recibiste el mensaje, eso no significa que tu dispositivo esté comprometido. Si abriste un enlace, cierra la página y no introduzcas datos: el clic por sí solo no demuestra una infección. Si compartiste contraseña o código, protege la cuenta desde la app oficial, revisa sesiones y sigue el proceso del proveedor. Si aprobaste permisos, revísalos. Si pagaste, llama pronto al banco; si ejecutaste un archivo o es un equipo laboral, avisa al soporte. Consulta la guía completa de respuesta.

Cómo reportar y pedir ayuda

En España, INCIBE ofrece orientación de ciberseguridad mediante el 017; no es un canal de denuncia policial. Ante pérdidas económicas o posible delito, consulta a las autoridades competentes. El NCSC corresponde al Reino Unido; FTC y FBI/IC3 tienen funciones en Estados Unidos. El idioma no determina el país: busca el organismo oficial de tu jurisdicción y conserva mensajes y justificantes sin publicar datos sensibles.

MITRE ATT&CK: phishing · NCSC (Reino Unido) · FBI/IC3: códigos QR · FBI/IC3: BEC · FTC (EE. UU.) · INCIBE (España) · Microsoft Learn: protección contra phishing · Universidad de Tennessee: clone phishing

Preguntas frecuentes

• ¿Cuáles son los principales tipos de phishing? Masivo, spear phishing, whaling, smishing, vishing, QR phishing, clone phishing, intentos por servicios sociales y BEC; las etiquetas describen dimensiones distintas.
• ¿Qué diferencia el spear phishing del masivo? El primero selecciona una persona, empresa o sector; el masivo llega a un grupo amplio, aunque puede personalizarse.
• ¿Whaling es un canal? No. Describe un objetivo de alto perfil y puede usar correo, llamadas o mensajería.
• ¿Qué es smishing? Phishing mediante SMS o mensajes de texto; puede pedir un enlace, una respuesta o una llamada.
• ¿Qué es vishing? Engaño por voz, a menudo en una llamada. El número mostrado no prueba la identidad.
• ¿Qué es quishing? Uso de un QR para conducir a una página, pago o interacción engañosa. No todos los QR son peligrosos.
• ¿Qué es clone phishing? Imitación de una comunicación conocida con cambios engañosos, como un enlace o adjunto; las definiciones pueden variar.
• ¿El phishing en redes siempre es dirigido? No; puede ser amplio o personalizado, y no toda estafa social busca credenciales.
• ¿BEC es igual al fraude del CEO? No exactamente. El fraude del CEO es un escenario posible; BEC abarca fraudes empresariales que desvían pagos o datos.
• ¿Puede un ataque combinar varias modalidades? Sí. Puede dirigirse a una persona por correo y usar un QR como mecanismo.
• ¿Todo SMS desconocido es smishing? No. Debe existir un engaño de phishing transmitido por texto.
• ¿Un número conocido garantiza una llamada legítima? No. El identificador puede falsificarse y no acredita quién llama.
• ¿Todos los QR son peligrosos? No. Comprueba su procedencia, destino y solicitud antes de iniciar sesión o pagar.
• ¿El phishing siempre roba contraseñas? No; puede buscar pagos, datos, códigos, acceso o una acción concreta.
• ¿Las campañas masivas siempre son genéricas? No. Pueden incorporar personalización automatizada.
• ¿Qué hago si introduje una contraseña? Accede al servicio oficial por separado, cámbiala, revisa sesiones y protege las cuentas donde la reutilizaste.
• ¿Qué hago si ya pagué? Contacta cuanto antes con tu banco mediante un canal oficial; no se garantiza recuperar el dinero.
• ¿Dónde amplío cómo actuar? Consulta la guía de qué hacer ante phishing y el organismo oficial de tu jurisdicción.