--- id: CP-002 slug: spear-phishing-correos-dirigidos-osint lang: es title: "Spear-phishing: el phishing dirigido" description: El spear-phishing es un correo personalizado con información pública sobre usted y su empresa. Cómo reconocerlo. canonical_url: https://startbrain.io/cyberpedia/es/articles/spear-phishing-correos-dirigidos-osint/ markdown_url: https://startbrain.io/cyberpedia/es/articles/spear-phishing-correos-dirigidos-osint.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, «Spear-phishing: el phishing dirigido», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/spear-phishing-correos-dirigidos-osint/ (CC BY 4.0)" wing: 1 theme: detect_phishing reflex: cr-002 schema: G1 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/spear-phishing-correos-dirigidos-osint/ fr: https://startbrain.io/cyberpedia/fr/articles/spear-phishing-harponnage-cible-osint/ en: https://startbrain.io/cyberpedia/en/articles/spear-phishing-osint-targeted-emails/ de: https://startbrain.io/cyberpedia/de/articles/spear-phishing-gezielte-e-mails-osint/ it: https://startbrain.io/cyberpedia/it/articles/spear-phishing-email-mirate-osint/ sources: - "n": 1 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" - "n": 2 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 3 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 4 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 5 title: "Phishing: Spearphishing Attachment, Sub-technique T1566.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/001/ accessed: "2026-11-03" - "n": 6 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 7 title: "Phishing: Spearphishing via Service, Sub-technique T1566.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/003/ accessed: "2026-11-03" - "n": 8 title: APT28, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, GruesomeLarch, Group G0007 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G0007/ accessed: "2026-11-03" - "n": 9 title: NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a published: "2023-10-05" accessed: "2026-11-03" - "n": 10 title: SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a published: "2024-02-26" accessed: "2026-11-03" --- # Spear-phishing: el phishing dirigido El spear-phishing es un correo trampa dirigido a una persona, una empresa o un sector concretos, y no enviado a millones de buzones al azar [1][2]. El atacante usa lo que sabe de usted o de su empresa para que su mensaje resulte más persuasivo y más realista [2]. Un mensaje así puede mencionar su puesto, un proveedor real o un compañero. Por eso no se parece a los correos masivos que se enseña a reconocer. ## En 30 segundos - Dónde ocurre: en el correo profesional, pero también a través de las redes sociales [1][2]. - Qué quiere el atacante: casi siempre, que se ejecute código malicioso en su equipo [1], o conseguir una contraseña, datos o un pago [2]. - El reflejo: ante cualquier petición inusual (pago, contraseña, archivo), confirmarla por un canal distinto del correo, por ejemplo una llamada o una conversación en persona [2]. - Si ya lo ha hecho: avise de inmediato a las personas competentes de la organización, incluso después de un clic. Un empleado que teme que le reprochen algo avisa más tarde [2]. ## Preguntas directas ### ¿Qué distingue el spear-phishing del phishing clásico? La selección del objetivo. MITRE describe el spear-phishing como una variante en la que se ataca a un individuo, una empresa o un sector concretos, a diferencia de las campañas de spam malicioso sin objetivo definido [1]. El NCSC británico precisa que el atacante se sirve de información sobre los empleados o la empresa [2]. ### ¿Cómo me conoce el atacante? Lee lo que es público. Según el NCSC, aprovecha la información de libre acceso en el sitio web de la empresa y en las redes sociales (la «huella digital») para hacer más convincentes sus mensajes [2]. El NCSC añade que los socios, subcontratistas y proveedores también pueden revelar información sobre una organización en línea [2]. ### ¿Por qué es más difícil de reconocer? Las señales habituales del phishing son un saludo genérico como «Dear Valued Customer», una firma sin datos de contacto, faltas de ortografía o una maquetación incoherente [3]. Un mensaje escrito para usted puede evitar todo eso. El NCSC escribe que reconocer todos los correos de phishing es difícil y que los ataques de spear-phishing son todavía más difíciles de detectar [2]. ### ¿Se ataca primero a los directivos? Son un objetivo aparte. El NCSC llama «whaling» a una forma de spear-phishing dirigida a un «big phish», por ejemplo un miembro del consejo de administración con acceso a activos de valor [2]. También incluye entre los perfiles de interés a las personas autorizadas para acceder a información sensible, gestionar fondos o administrar los sistemas informáticos [2]. ### ¿Qué hago si he hecho clic o he respondido? CISA aconseja informar de la situación a las personas competentes de la organización, incluidos los administradores de red, que podrán vigilar cualquier actividad inusual. También hay que cambiar sin demora las contraseñas reveladas, y las de otras cuentas si se usaba la misma contraseña en ellas [3]. ## En la piel del atacante MITRE clasifica esta fase como reconocimiento: el phishing para obtener información busca que se revelen credenciales u otros datos aprovechables, y no ejecutar código malicioso [4]. El atacante también puede conversar directamente por correo o mensajería instantánea, haciéndose pasar por una fuente que tiene motivos para preguntar, o enviando varios mensajes de apariencia urgente [4]. MITRE cita ejemplos de grupos. Kimsuky envió correos a medida para recopilar información sobre sus víctimas, entre ella listas de contactos que servían para localizar otros objetivos [4]. ZIRCONIUM atacó a colaboradores de una campaña presidencial con correos de captura de credenciales [4]. Scattered Spider combinó phishing de credenciales e ingeniería social para obtener códigos de un solo uso (OTP) [4]. El NCSC describe lo que el atacante puede aprovechar del funcionamiento interno: si se conocen los métodos de trabajo (por ejemplo, cómo se hacen los pagos), puede imitarlos para obtener una contraseña o un pago no autorizado [2]. ## Lo que ve en la pantalla Las fuentes citadas aquí describen varias formas. Con un archivo adjunto, el atacante lo añade al correo y suele contar con que el usuario lo ejecute, haciéndose pasar por una fuente de confianza [5]. El grupo APT28 envió correos con archivos adjuntos maliciosos de Microsoft Office y RAR [8]. Con un enlace, evita las defensas que inspeccionan los adjuntos [6]. Los enlaces pueden parecer inofensivos pero imitar un sitio legítimo mediante caracteres especiales (el ataque llamado «IDN homograph»), u ocultar su dirección aprovechando particularidades de la sintaxis de las URL [6]. Un enlace también puede solicitar una autorización OAuth 2.0: si el usuario la acepta, una aplicación maliciosa obtiene derechos de acceso a la cuenta y puede actuar en nombre del usuario [6]. Por un servicio de terceros, el mensaje llega fuera del correo de la empresa: redes sociales, correo web personal. MITRE señala que estos servicios suelen tener una política de seguridad menos estricta que la de una empresa [7]. El atacante crea cuentas falsas y ofrece, por ejemplo, un empleo [7]. Eso le da un motivo verosímil para preguntar por el software que se utiliza [7]. También puede ganarse la confianza del objetivo y luego enviar un archivo al correo personal que este consulta en su puesto de trabajo [7]. Ese archivo esquiva entonces las restricciones de la cuenta profesional [7]. Otras variantes: el atacante se introduce en un hilo de conversación existente («thread hijacking») [1], o el mensaje invita a llamar a un número en el que se guía a la víctima hacia una URL maliciosa, un software malicioso o una herramienta de administración remota [1]. CISA señala además direcciones de remitente que se parecen a las de una empresa conocida porque cambian u omiten unos pocos caracteres, y enlaces cuyo texto visible no coincide con el destino al pasar el cursor por encima [3]. Ilustración neutralizada, sin enlace real: ```text De: [nombre de un compañero o de un proveedor conocido] Asunto: [menciona un proyecto real de su departamento] Cuerpo: [petición de revisar un documento; paráfrasis] Enlace: hxxps://acceso-empresa[.]invalid/[página de inicio de sesión imitada] ``` ## Bajo el capó Suplantación del remitente: el atacante puede falsificar la identidad del remitente para engañar tanto al destinatario como a las herramientas de seguridad automáticas [1]. Las contramedidas citadas son SPF (validez del dominio del remitente), DKIM (integridad del mensaje) y DMARC, que permite a la organización aplicar esos controles [1]. El NCSC añade que DMARC impide que los autores de phishing suplanten el dominio de una organización y que los correos legítimos de esta tienen más probabilidades de llegar a las bandejas de entrada [2]. Dominio gemelo: las fuentes hablan de direcciones parecidas a la original (caracteres cambiados u omitidos) [3] y de caracteres especiales que imitan un sitio legítimo [6]. Una dirección que a simple vista parece correcta puede, por tanto, no serlo. Captura: la página trampa sirve para recoger credenciales, y el archivo adjunto o el enlace, para instalar código [1][4]. En una prueba, un equipo de evaluación de CISA y la NSA entró mediante phishing en una cuenta de usuario final con derechos de administrador y comprometió un dominio en menos de un día laborable [9]. Elusión de la doble autenticación: en otra prueba, el equipo conocía las credenciales de un usuario, pero la autenticación multifactor bloqueaba sus inicios de sesión. Se hizo pasar por el soporte informático y obtuvo el código por teléfono [9]. Algunas formas de autenticación multifactor son vulnerables al phishing y al «push bombing» [9]. ## Autopsias ### 2016: el Comité Nacional Demócrata de Estados Unidos APT28 habría comprometido en 2016 la campaña de Hillary Clinton, el Comité Nacional Demócrata (DNC) y el Comité de Campaña Demócrata para el Congreso (DCCC), para intentar influir en la elección presidencial estadounidense [8]. Según MITRE, el grupo usó credenciales robadas mediante un correo de spear-phishing para conectarse a la red del DCCC y después se sirvió de ese acceso para comprometer la del DNC [8]. ### Febrero de 2024: los accesos a la nube del grupo APT29 Un aviso publicado el 26 de febrero de 2024 por el NCSC británico y sus socios describe los métodos del grupo APT29, evaluado como casi con certeza parte del SVR ruso [10]. El aviso no trata del spear-phishing en sí, sino de la etapa siguiente, cuando ya se conoce una contraseña: describe una elusión de la autenticación multifactor mediante «MFA bombing» o «MFA fatigue», en la que el actor envía solicitudes repetidas hasta que la víctima acepta [10]. Recomienda limitar la duración de las sesiones y permitir solo el registro de dispositivos autorizados [10]. ## Fuentes 1. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultado el 3 de noviembre de 2026) 2. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de febrero de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado el 3 de noviembre de 2026) 3. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado el 3 de noviembre de 2026) 4. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultado el 3 de noviembre de 2026) 5. MITRE ATT&CK, «Phishing: Spearphishing Attachment, Sub-technique T1566.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/001/ (consultado el 3 de noviembre de 2026) 6. MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/002/ (consultado el 3 de noviembre de 2026) 7. MITRE ATT&CK, «Phishing: Spearphishing via Service, Sub-technique T1566.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/003/ (consultado el 3 de noviembre de 2026) 8. MITRE ATT&CK, «APT28, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, GruesomeLarch, Group G0007 | MITRE ATT&CK®». https://attack.mitre.org/groups/G0007/ (consultado el 3 de noviembre de 2026) 9. CISA, «NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations | CISA», 5 de octubre de 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a (consultado el 3 de noviembre de 2026) 10. CISA, «SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA», 26 de febrero de 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/spear-phishing-correos-dirigidos-osint/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.