En 2026, los atacantes ya no cometen errores de ortografía. Usan inteligencia artificial para personalizar cada ataque. Esta guía te enseña a reconocerlos antes de que sea tarde.
Imagina que recibes un correo de tu banco, con tu nombre completo, mencionando la última transacción que hiciste, con el logo perfecto y una redacción impecable. Dice que detectaron actividad sospechosa y que debes verificar tu cuenta en las próximas 2 horas o será bloqueada.
¿Lo abrirías? ¿Harías clic?
En Colombia, miles de personas y empresas lo hacen cada semana. Y en 2026, este tipo de ataques ya no los escriben hackers: los genera inteligencia artificial, a escala, a costo casi cero, en español perfecto.
Esta guía cubre todo lo que necesitas saber sobre phishing: qué es, cómo evolucionó con la IA, qué tipos existen, cómo reconocerlos, y qué hacer si tú o alguien de tu equipo cae en uno.
1. ¿Qué es el phishing y por qué sigue funcionando en 2026?
El phishing es un tipo de ataque de ingeniería social en el que el atacante suplanta la identidad de una entidad confiable —tu banco, la DIAN, tu empresa, un colega— para engañarte y hacerte entregar información sensible (contraseñas, datos bancarios, accesos corporativos) o ejecutar una acción (transferir dinero, instalar un archivo).
La palabra viene del inglés “fishing” (pescar): el atacante lanza el anzuelo y espera a que alguien muerda.
¿Por qué sigue funcionando después de 30 años?
Porque ataca la capa más vulnerable de cualquier sistema de seguridad: el ser humano.
- No importa cuántos firewalls tengas si un empleado entrega su contraseña voluntariamente.
- Nuestro cerebro está cableado para responder a la urgencia, la autoridad y el miedo.
- En 2026, los ataques son tan convincentes que incluso expertos en seguridad han caído.
- Con IA generativa, el costo de crear un ataque personalizado bajó de horas a segundos.
2. Phishing en Colombia: Las Cifras de 2026
Colombia es uno de los países más atacados de América Latina en términos de phishing. Estos son los datos más recientes:
| Dato estadístico | Valor |
| Aumento de ataques de phishing en H1 2026 vs 2025 | +16% |
| Ataques semanales detectados en Colombia | ~3.000/semana |
| Empresas colombianas que reportaron al menos un intento en 2025 | 73% |
| Porcentaje de brechas de datos que comenzaron con un correo de phishing | ~50% |
| Registros de correo electrónico filtrados en Colombia (2025, datos acumulados) | 15,7 millones |
| Posición de Colombia entre países latinoamericanos más atacados | Top 3 |
Fuentes: CSIRT Colombia, Kaspersky LATAM Report 2025-2026, IBM Security X-Force.
Los sectores más afectados en Colombia son: banca y servicios financieros, comercio electrónico, telecomunicaciones y, cada vez más, el sector público (DIAN, entidades distritales) por su alto reconocimiento de marca.
Para las pymes colombianas el riesgo es especialmente alto porque, a diferencia de las grandes empresas, raramente tienen equipos dedicados a seguridad ni herramientas de detección en tiempo real.
3. Tipos de Phishing: Del Correo Masivo al Deepfake de Voz
No todos los ataques de phishing son iguales. Aquí están los principales tipos que debes conocer en 2026:
| Tipo | Canal | Objetivo | Nivel de riesgo |
| Email Phishing | Correo electrónico | Masivo, cualquier usuario | Alto |
| Spear Phishing | Correo personalizado | Ejecutivos, contadores, RRHH | Muy alto |
| Smishing | SMS / WhatsApp | Usuarios móviles, clientes bancarios | Alto |
| Vishing | Llamada telefónica | Empleados, adultos mayores | Alto |
| Whaling | Correo a CEO/CFO | Alta dirección, tomadores de decisiones | Crítico |
| BEC (Business Email Compromise) | Correo corporativo comprometido | Finanzas, proveedores | Crítico |
| Clone Phishing | Réplica de correo legítimo | Cualquier usuario con historial de correos | Alto |
| Quishing | Código QR malicioso | Usuarios móviles, empleados en campo | Emergente |
Algunos casos comunes en Colombia
- SMS que simulan ser de Bancolombia o Davivienda con links acortados (bit.ly) que llevan a páginas de login falsas.
- Correos que imitan a la DIAN avisando de reintegros tributarios, solicitando datos bancarios para “procesar el pago”.
- WhatsApp de ‘RH’ pidiendo actualización de datos para nómina, con un formulario de Google Forms falso.
- BEC donde un proveedor ‘cambia su cuenta bancaria’ justo antes de un pago grande.
- Llamadas de ‘soporte técnico de Microsoft’ que piden instalar AnyDesk para “resolver un problema”.
4. Cómo la Inteligencia Artificial Cambió el Phishing Para Siempre
Hasta 2023, identificar un correo de phishing era relativamente sencillo: errores de ortografía, redacción extraña, logos pixelados, nombres genéricos (“Estimado cliente” en lugar de tu nombre real).
Con la llegada de LLMs (Large Language Models) como GPT-4, Claude y sus equivalentes de código abierto, esa ventaja desapareció.
| Característica | Phishing tradicional | Phishing con IA (2025-2026) |
| Redacción | Errores ortográficos frecuentes | Texto impecable en cualquier idioma |
| Personalización | Genérica o básica | Usa datos reales de LinkedIn, redes sociales |
| Velocidad de envío | Manual o semiautomático | Miles de correos únicos por hora |
| Voz/Audio | No aplica | Deepfake de voz clonada del jefe o familiar |
| Detección por filtros | Relativamente fácil | Evade filtros de correo tradicionales |
| Adaptación al contexto | Sin contexto real | Referencia reuniones, proyectos, nombres reales |
| Costo para el atacante | Bajo | Muy bajo (GPT-4 cuesta centavos por correo) |
Casos reales de phishing con IA en 2025-2026
- Deepfake de voz: En Hong Kong, empleados de una firma financiera transfirieron 25 millones de dólares tras una videollamada donde el ‘CFO’ (generado por IA) les dio instrucciones. En Colombia hay casos similares documentados con WhatsApp de audio clonado.
- Spear phishing de ultra-precisión: Atacantes que scrapearon LinkedIn, GitHub e Instagram de los empleados para crear correos que mencionaban proyectos reales, nombres de colegas y reuniones recientes.
- Phishing por QR (Quishing): Códigos QR en correos corporativos o impresiones físicas en oficinas que llevan a páginas de login falsas. Los filtros de correo no “ven” el contenido del QR.
⚠ La pregunta ya no es ‘si el correo parece real’. Ahora es ‘si el proceso por el que me llegó es legítimo’. El contexto importa más que la apariencia.
5. Cómo Reconocer un Ataque de Phishing: Señales de Alerta
Aunque los ataques son cada vez más sofisticados, siguen teniendo patrones detectables. Esta tabla resume las principales señales de alerta y qué hacer:
| Señal de alerta | Qué buscar | Qué hacer |
| Urgencia extrema | “Actúa en las próximas 2 horas o perderás el acceso” | Pausa. Verifica por otro canal. |
| Remitente sospechoso | soporte@bancolombia-secure.net en lugar de @bancolombia.com.co | No hagas clic. Reporta. |
| URL diferente al texto | Link dice “Dian.gov.co” pero apunta a dian-retefuente2026.com | Pasa el mouse sin hacer clic primero. |
| Solicitud inusual | Tu ‘CEO’ pide transferencia urgente por WhatsApp o email | Llama directo al número conocido del CEO. |
| Adjunto inesperado | Factura, comprobante, orden que nadie pidió | No abrir. Confirmar con quien supuestamente lo envió. |
| Errores de contexto | Tu ‘banco’ menciona una cuenta que no tienes | Señal clara de ataque masivo no personalizado. |
| Formulario de login | Página que pide usuario/clave fuera del flujo normal | Cierra. Ve directamente al sitio oficial. |
El truco del hover (pasar el mouse sobre el link)
Antes de hacer clic en cualquier enlace de un correo, pasa el mouse por encima (sin hacer clic). En la esquina inferior izquierda del navegador o cliente de correo verás la URL real a la que apunta el enlace.
- Si el texto dice ‘Verificar mi cuenta en Bancolombia’ pero la URL dice ‘bancolombia-verificacion.xyz’, es phishing.
- Si la URL tiene caracteres extraños, números raros o un dominio conocido pero con texto extra (bancolombia.co.secure-login.net), es phishing.
- En móvil: mantén el dedo presionado sobre el link hasta que aparezca la URL completa.
El test de los 5 segundos
Antes de hacer cualquier acción en un correo urgente, hazte estas preguntas:
- ¿Esperaba este mensaje?
- ¿Tiene sentido que esta entidad me contactara así?
- ¿Me pide algo inusual (credenciales, transferencia, instalar algo)?
- ¿Puedo verificar esta solicitud por otro canal?
- ¿La URL coincide con el dominio oficial de la entidad?
Si la respuesta a alguna de estas es ‘no’ o ‘no sé’, detente y verifica antes de actuar.
6. Cómo Proteger tu Empresa: 8 Controles Anti-Phishing
La protección contra phishing es multicapa. Ningún control solo es suficiente. Estos son los 8 más efectivos para una pyme colombiana en 2026:
| Control | Descripción | Prioridad | Dificultad |
| MFA en todos los accesos | Autenticación de dos factores en correo, ERP, banca | Crítica | Baja |
| Filtro anti-phishing de correo | Herramienta que analiza headers, links y adjuntos antes de entregar el correo | Crítica | Media |
| DMARC/DKIM/SPF | Protege tu dominio de ser suplantado (impide que envíen correos como tú) | Alta | Media |
| Capacitación mensual al equipo | Simulacros de phishing y microentrenamiento de 5 minutos | Alta | Baja |
| Verificación fuera de banda | Confirmar transferencias/cambios por llamada a número conocido, no al del correo | Alta | Baja |
| DNS Filtering | Bloquea dominios maliciosos conocidos antes de que carguen | Media | Baja |
| Monitoreo de eventos (SIEM) | Detecta patrones de acceso anómalos post-clic (si alguien cayó, saberlo en minutos) | Media | Media |
| Política de contraseñas robusta | Sin reutilización. Gestor de contraseñas para el equipo. | Media | Baja |
6.1. MFA: el control más importante (y el más ignorado)
La autenticación multifactor (MFA) es la barrera más efectiva contra phishing porque, incluso si un atacante obtiene tu contraseña, no puede acceder sin el segundo factor.
Para una empresa colombiana, el mínimo es:
✓ Correo corporativo con MFA activado (Google Workspace o Microsoft 365 lo incluyen por defecto).
✓ Sistema de ERP o contabilidad con MFA.
✓ Banca empresarial en línea con token físico o app autenticadora.
✓ VPN corporativa con MFA.
6.2. DMARC, DKIM y SPF: protege tu dominio de ser suplantado
Si tienes correo corporativo (@tuempresa.com), hay atacantes que podrían enviar correos haciéndose pasar por ti. Los registros DMARC, DKIM y SPF en tu DNS le dicen a los servidores de correo del mundo que solo tú estás autorizado a enviar desde tu dominio.
Verificar si tu dominio está protegido: ingresa tu dominio en mxtoolbox.com o mail-tester.com. Si no tiene DMARC configurado, cualquier atacante puede enviar correos como si fueran tuyos.
6.3. Capacitación: la defensa que más ROI da
Los simulacros de phishing (enviar correos de phishing falsos a tu propio equipo para medir quién cae) son una de las inversiones con mayor retorno en ciberseguridad. Empresas que los implementan reportan una reducción del 50-80% en clics a phishing real en 6 meses.
Formato recomendado para pymes colombianas:
- 1 simulacro mensual por área (sin avisar, usando un escenario relevante para esa área).
- Cuando alguien ‘cae’, en lugar de regañarlo, se le envía inmediatamente un microentrenamiento de 3-5 minutos.
- Métricas clave: % de apertura, % de clics, % de reporte al equipo de seguridad.
💡 ¿Quieres que tu equipo reconozca un ataque de phishing en 30 segundos? En SilverIT diseñamos talleres prácticos de concientización y configuramos SIEMPQR para que detectes en tiempo real si alguien en tu empresa cayó en uno.
7. Cómo SIEMPQR Ayuda a Detectar un Ataque de Phishing en Progreso
Incluso con todos los controles preventivos, un porcentaje de ataques van a pasar. La clave es detectarlos en minutos, no en días.
SIEMPQR, la plataforma SIEM de SilverIT, está diseñada específicamente para que pymes y medianas empresas en Colombia tengan visibilidad en tiempo real de lo que pasa en su infraestructura, incluyendo las consecuencias de un ataque de phishing exitoso.
¿Qué detecta SIEMPQR después de un phishing exitoso?
- Inicio de sesión desde ubicación geográfica inusual (Colombia → IP de Rusia o China en minutos).
- Acceso a archivos fuera del horario laboral o desde dispositivo no reconocido.
- Descarga masiva de archivos o correos en un período corto.
- Cambio de contraseña o configuración MFA no solicitado.
- Primer acceso a sistemas sensibles (contabilidad, RRHH) por una cuenta normalmente inactiva.
- Conexión a servicios cloud externos no habituales (Mega, WeTransfer, etc.).
Correlación de eventos: detectar el ataque completo, no solo el síntoma
El valor real de un SIEM como SIEMPQR no es detectar un evento aislado (un solo inicio de sesión raro podría ser el empleado viajando), sino correlacionar múltiples señales débiles para identificar el patrón de ataque completo.
Ejemplo: Inicio de sesión exitoso desde Colombia a las 8am → mismo usuario inicia sesión desde IP europea a las 8:05am → descarga de 200 archivos en 10 minutos → intento de cambio de contraseña de otro usuario. SIEMPQR correlaciona estas 4 señales y genera una alerta de alta prioridad inmediatamente.
Conoce más sobre SIEMPQR en silverit.co/siempqr o escríbenos para una demostración sin costo para tu empresa.
8. ¿Qué Hacer si Caíste en un Ataque de Phishing? Plan de Respuesta
Si sospechas que tú o alguien de tu equipo cayó en un phishing (hizo clic, entregó credenciales o instaló algo), actúa rápido. Cada minuto cuenta.
| Paso | Acción | Tiempo objetivo | Responsable |
| 1 | Desconectar el equipo afectado de la red (sin apagarlo) | Inmediato (< 2 min) | Usuario / IT |
| 2 | Cambiar contraseñas desde otro dispositivo limpio | < 10 minutos | Usuario con soporte IT |
| 3 | Notificar al equipo de seguridad / responsable IT | < 15 minutos | Usuario |
| 4 | Revisar accesos recientes en cuentas comprometidas | < 30 minutos | IT / Seguridad |
| 5 | Bloquear cuenta comprometida y tokens de sesión activos | < 30 minutos | IT |
| 6 | Analizar logs: qué datos pudo haber exfiltrado | < 2 horas | IT / SIEM |
| 7 | Reportar a CSIRT Colombia si hay datos personales comprometidos | < 72 horas | Legal / Dirección |
| 8 | Documentar incidente y actualizar controles | < 1 semana | IT / Dirección |
¿Tienes que reportarlo a alguna autoridad?
En Colombia, si el ataque comprometió datos personales de clientes o empleados, la Ley 1581 de 2012 (Ley de Protección de Datos Personales) establece la obligación de notificar a la Superintendencia de Industria y Comercio (SIC) y a los titulares afectados.
Si además hubo fraude económico, debes reportar a:
- Centro Cibernético Policial: caivirtual.policia.gov.co
- CSIRT del Gobierno: csirt.gov.co
- Tu banco directamente (si hay movimientos sospechosos).
- Fiscalía General de la Nación si el monto es significativo.
Importante: no apagues el equipo comprometido. Los logs en memoria son evidencia forense que desaparece al apagar. Desconéctalo de la red pero mantenlo encendido hasta que IT lo revise.
9. Marco Legal del Phishing en Colombia
En Colombia, el phishing está tipificado bajo la Ley 1273 de 2009 (Ley de Delitos Informáticos). Los artículos más relevantes:
Artículo 269C – Interceptación de datos informáticos
Penaliza la interceptación no autorizada de datos en tránsito. Pena: 36 a 72 meses de prisión.
Artículo 269G – Suplantación de sitios web
Directamente aplicable al phishing: tipifica la creación de páginas web, links o pop-ups que simulen ser sitios legítimos para capturar datos. Pena: 48 a 96 meses + multa.
Artículo 269J – Transferencia no consentida de activos
Aplica cuando el phishing resulta en transferencias bancarias fraudulentas. Pena: 48 a 120 meses.
Para las empresas, la Ley 1581 establece responsabilidades adicionales como responsables del tratamiento de datos. Un breach derivado de phishing por no tener controles adecuados puede resultar en sanciones de hasta 2.000 SMMLV.
10. Preguntas Frecuentes sobre Phishing
¿El phishing solo llega por correo electrónico?
No. Aunque el correo es el canal más común, el phishing también llega por SMS (smishing), WhatsApp, llamadas telefónicas (vishing), redes sociales, anuncios de Google o Facebook con links maliciosos, e incluso códigos QR físicos en parques o restaurantes.
¿Un antivirus me protege del phishing?
Parcialmente. Los antivirus modernos tienen módulos de protección web que bloquean URLs conocidas de phishing, pero no detectan ataques nuevos o muy personalizados. El antivirus es una capa de protección, no la única.
¿Qué pasa si hice clic pero no ingresé mis datos?
Hacer clic puede ser suficiente para comprometer tu equipo si el sitio usa exploits de navegador (drive-by downloads). Aunque no hay que entrar en pánico, sí hay que escanear el equipo con un antimalware actualizado y revisar los logs de red de esa sesión.
¿Puede el phishing atacarme en mi celular personal?
Sí, y cada vez más. El BYOD (Bring Your Own Device) en empresas colombianas es un riesgo real: si usas tu celular personal para el correo empresarial o para aprobar transferencias, es un vector de ataque válido. Se recomienda separar el uso corporativo del personal o aplicar Mobile Device Management (MDM).
¿Cómo sé si mi empresa ya fue comprometida?
Muchas empresas no saben que fueron comprometidas hasta semanas después. Señales de alerta: correos enviados desde tu cuenta sin que los hayas enviado, contactos reportando mensajes raros de tu email, accesos fuera de horario en logs de sistemas, facturas no reconocidas, o comportamiento inusual de la red. Un SIEM como SIEMPQR te da visibilidad en tiempo real para detectar estas señales.
Conclusión: El Phishing de 2026 Requiere Defensas de 2026
El phishing no es un problema de tecnología: es un problema humano potenciado por tecnología. Y en 2026, la IA lo está haciendo más convincente, más barato y más escalable que nunca.
La buena noticia es que la defensa también ha evolucionado. Las empresas que combinan:
✓ Capacitación práctica y continua del equipo
✓ Controles técnicos bien configurados (MFA, DMARC, filtros de correo)
✓ Monitoreo en tiempo real con un SIEM
✓ Un plan de respuesta claro
…pueden reducir su riesgo de forma significativa, incluso con presupuestos limitados.
En SilverIT ayudamos a empresas colombianas a implementar estas defensas de forma práctica y accesible. Si quieres evaluar qué tan expuesta está tu empresa al phishing, escríbenos a silverit.co o agenda una consultoría sin costo.