El correo electrónico no es solo un medio de comunicación, ni otra cuenta online más, es la llave a múltiples contenidos, el lugar a donde llegan los enlaces de restablecimiento de contraseñas, se almacenan alertas de cuentas, se confirman reservas, se archivan facturas y comienzan las verificaciones de identidad. Por eso es un objetivo codiciado para los ciberdelincuentes, y si se quiere proteger una cuenta y los datos personales o de negocio, la seguridad debe empezar por la bandeja de entrada.
“Una bandeja de correo puede contener años de información sensible, desde planes de viaje y recibos de compras hasta turnos médicos, contratos, documentos fiscales e identificaciones escaneadas. También puede mostrar adónde vas, qué posees, qué servicios usas, en quién confías y cómo se puede acceder a otras cuentas. Una bandeja de entrada puede darle a un cibercriminal una ventaja sobre el resto de la vida digital de una persona. Con acceso a una cuenta de correo electrónico pueden restablecer contraseñas en múltiples otras cuentas, e incluso interceptar códigos de un solo uso enviados por el banco, redes sociales, almacenamiento en la nube u otros proveedores online. ”, alerta Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica.
La mediciones mostraron un aumento del 36% en los correos maliciosos en la segunda mitad de 2025 en comparación con los seis meses anteriores.
Pie de imagen: Tendencia en la detección de correos electrónicos maliciosos en 2025 (fuente: ESET Threat Report H2 2025)
Pie de imagen: Principales tipos de archivos adjuntos de correos electrónicos maliciosos (fuente: ESET Threat Report H2 2025)
Las repercusiones en un entorno laboral pueden ser aún más delicados, ya que, con acceso a un correo corporativo, los atacantes podrían abrir aplicaciones en la nube, acceder a unidades compartidas, revisar sistemas de CRM, finanzas y RR. HH., espiar las comunicaciones con colegas y clientes, y acceder a datos de clientes.
Un ataque de phishing a una cuenta de correo corporativa suele ser la primera etapa de una brecha de datos más amplia, un ataque de extorsión/ransomware o espionaje. Según estadísticas recientes del gobierno del Reino Unido, el phishing (38%) fue la forma de ciberataque más común el último año, seguido por la “suplantación de organizaciones en correos electrónicos” (12%).
“El correo electrónico sigue siendo atractivo para los atacantes porque está en la intersección entre tecnología, identidad y confianza humana. Todos usamos el correo a diario y bajo presión de tiempo: para recibir facturas, actualizaciones de envíos, avisos de RR. HH., solicitudes de clientes, restablecimientos de contraseñas, invitaciones a reuniones y alertas de seguridad. Muchos de estos mensajes piden hacer clic, aprobar, descargar, responder o pagar. Incluso usuarios cuidadosos pueden cometer errores cuando un mensaje parece provenir de un remitente conocido, llega en un momento de apuro o transmite urgencia. Con técnicas de suplantación e ingeniería social, los atacantes tienen mayores probabilidades de éxito.”, detalla Micucci de ESET.
El factor humano estuvo presente en el 62% de las brechas el año pasado, con la ingeniería social como el tercer patrón más común, representando el 16% del total, según Verizon. Los atacantes siempre buscan nuevas formas de engaño, el informe señala que la tasa media de clics “exitosos” en simulaciones de phishing en dispositivos móviles es un 40% mayor que en dispositivos de escritorio. También están usando herramientas cada vez más sofisticadas para mejorar el éxito de las campañas de phishing, la IA generativa (GenAI) ayuda a los actores maliciosos a redactar y escalar mensajes con gramática y ortografía impecables.
Es recomendable usar una contraseña o frase de paso fuerte y única para cada cuenta, y guardarla en un gestor de contraseñas confiable. Alternativamente, usar un método sin contraseña como una passkey (o clave de acceso). En cualquier caso, activar la autenticación multifactor. Además, mantener actualizadas las opciones de recuperación y asegurarse de que un atacante no pueda usar un número de teléfono antiguo o un correo de respaldo olvidado para recuperar el acceso.
También se aconseja revisar las configuraciones cada cierto tiempo. Buscar reglas de reenvío desconocidas, filtros extraños, apps conectadas que no se reconozcan o dispositivos no identificados. Si la bandeja de entrada fue comprometida, cambiar la contraseña, revocar sesiones sospechosas, revisar los datos de recuperación y verificar si los mensajes se están reenviando sin saber.
Otras buenas prácticas de seguridad incluyen:
- Tener cuidado con el phishing: tratar cualquier mensaje no solicitado con precaución. Pasar el cursor sobre el remitente para detectar inconsistencias. Verificar la ortografía del dominio. No hacer clic en enlaces ni abras adjuntos. Si hace falta, confirmar por otro canal.
- No aprobar códigos de dispositivos ni alertas de autenticación multifactorial (MFA) (por ejemplo, en tu móvil) que no se hayan solicitado: podría ser un atacante probando suerte.
- Asegurarse de que las opciones de recuperación estén claras y actualizadas.
- Si se trabaja en una organización, tratar con precaución cualquier solicitud urgente de transferencia bancaria, aunque parezca proceder de un jefe o del área de IT. Verificar a través de un canal independiente.
- Tomar en serio las capacitaciones de seguridad, prestando atención a las últimas tácticas y técnicas de phishing.
- Utilizar una solución de seguridad integral de un proveedor de confianza para protegerse del malware y de los mensajes sospechosos.
ESET