Cyberpediapor Brain
ESDEENFR

Spear-phishing: el phishing dirigido

El spear-phishing es un correo personalizado con información pública sobre usted y su empresa. Cómo reconocerlo.

En 30 segundos

Dónde ocurre
En el correo profesional, pero también a través de las redes sociales12.
Qué quiere el atacante
Casi siempre, que se ejecute código malicioso en su equipo1, o conseguir una contraseña, datos o un pago2.
El reflejo
Ante cualquier petición inusual (pago, contraseña, archivo), confirmarla por un canal distinto del correo, por ejemplo una llamada o una conversación en persona2.
Si ya lo ha hecho
Avise de inmediato a las personas competentes de la organización, incluso después de un clic. Un empleado que teme que le reprochen algo avisa más tarde2.

De qué se trata

El spear-phishing es un correo trampa dirigido a una persona, una empresa o un sector concretos, y no enviado a millones de buzones al azar12. El atacante usa lo que sabe de usted o de su empresa para que su mensaje resulte más persuasivo y más realista2.

Un mensaje así puede mencionar su puesto, un proveedor real o un compañero. Por eso no se parece a los correos masivos que se enseña a reconocer.

Preguntas directas

¿Qué distingue el spear-phishing del phishing clásico?

La selección del objetivo. MITRE describe el spear-phishing como una variante en la que se ataca a un individuo, una empresa o un sector concretos, a diferencia de las campañas de spam malicioso sin objetivo definido1. El NCSC británico precisa que el atacante se sirve de información sobre los empleados o la empresa2.

¿Cómo me conoce el atacante?

Lee lo que es público. Según el NCSC, aprovecha la información de libre acceso en el sitio web de la empresa y en las redes sociales (la «huella digital») para hacer más convincentes sus mensajes2. El NCSC añade que los socios, subcontratistas y proveedores también pueden revelar información sobre una organización en línea2.

¿Por qué es más difícil de reconocer?

Las señales habituales del phishing son un saludo genérico como «Dear Valued Customer», una firma sin datos de contacto, faltas de ortografía o una maquetación incoherente3. Un mensaje escrito para usted puede evitar todo eso. El NCSC escribe que reconocer todos los correos de phishing es difícil y que los ataques de spear-phishing son todavía más difíciles de detectar2.

¿Se ataca primero a los directivos?

Son un objetivo aparte. El NCSC llama «whaling» a una forma de spear-phishing dirigida a un «big phish», por ejemplo un miembro del consejo de administración con acceso a activos de valor2. También incluye entre los perfiles de interés a las personas autorizadas para acceder a información sensible, gestionar fondos o administrar los sistemas informáticos2.

¿Qué hago si he hecho clic o he respondido?

CISA aconseja informar de la situación a las personas competentes de la organización, incluidos los administradores de red, que podrán vigilar cualquier actividad inusual. También hay que cambiar sin demora las contraseñas reveladas, y las de otras cuentas si se usaba la misma contraseña en ellas3.

1En la piel del atacante1 min

MITRE clasifica esta fase como reconocimiento: el phishing para obtener información busca que se revelen credenciales u otros datos aprovechables, y no ejecutar código malicioso4. El atacante también puede conversar directamente por correo o mensajería instantánea, haciéndose pasar por una fuente que tiene motivos para preguntar, o enviando varios mensajes de apariencia urgente4.

MITRE cita ejemplos de grupos. Kimsuky envió correos a medida para recopilar información sobre sus víctimas, entre ella listas de contactos que servían para localizar otros objetivos4. ZIRCONIUM atacó a colaboradores de una campaña presidencial con correos de captura de credenciales4. Scattered Spider combinó phishing de credenciales e ingeniería social para obtener códigos de un solo uso (OTP)4.

El NCSC describe lo que el atacante puede aprovechar del funcionamiento interno: si se conocen los métodos de trabajo (por ejemplo, cómo se hacen los pagos), puede imitarlos para obtener una contraseña o un pago no autorizado2.

2Lo que ve en la pantalla2 min

Las fuentes citadas aquí describen varias formas.

Con un archivo adjunto, el atacante lo añade al correo y suele contar con que el usuario lo ejecute, haciéndose pasar por una fuente de confianza5. El grupo APT28 envió correos con archivos adjuntos maliciosos de Microsoft Office y RAR8.

Con un enlace, evita las defensas que inspeccionan los adjuntos6. Los enlaces pueden parecer inofensivos pero imitar un sitio legítimo mediante caracteres especiales (el ataque llamado «IDN homograph»), u ocultar su dirección aprovechando particularidades de la sintaxis de las URL6. Un enlace también puede solicitar una autorización OAuth 2.0: si el usuario la acepta, una aplicación maliciosa obtiene derechos de acceso a la cuenta y puede actuar en nombre del usuario6.

Por un servicio de terceros, el mensaje llega fuera del correo de la empresa: redes sociales, correo web personal. MITRE señala que estos servicios suelen tener una política de seguridad menos estricta que la de una empresa7. El atacante crea cuentas falsas y ofrece, por ejemplo, un empleo7. Eso le da un motivo verosímil para preguntar por el software que se utiliza7. También puede ganarse la confianza del objetivo y luego enviar un archivo al correo personal que este consulta en su puesto de trabajo7. Ese archivo esquiva entonces las restricciones de la cuenta profesional7.

Otras variantes: el atacante se introduce en un hilo de conversación existente («thread hijacking»)1, o el mensaje invita a llamar a un número en el que se guía a la víctima hacia una URL maliciosa, un software malicioso o una herramienta de administración remota1. CISA señala además direcciones de remitente que se parecen a las de una empresa conocida porque cambian u omiten unos pocos caracteres, y enlaces cuyo texto visible no coincide con el destino al pasar el cursor por encima3.

Ilustración neutralizada, sin enlace real:

Extracto
De: [nombre de un compañero o de un proveedor conocido] <nombre@empresa-ejemplo[.]invalid>
Asunto: [menciona un proyecto real de su departamento]
Cuerpo: [petición de revisar un documento; paráfrasis]
Enlace: hxxps://acceso-empresa[.]invalid/[página de inicio de sesión imitada]
3Bajo el capóEquipos de TI2 min

Suplantación del remitente: el atacante puede falsificar la identidad del remitente para engañar tanto al destinatario como a las herramientas de seguridad automáticas1. Las contramedidas citadas son SPF (validez del dominio del remitente), DKIM (integridad del mensaje) y DMARC, que permite a la organización aplicar esos controles1. El NCSC añade que DMARC impide que los autores de phishing suplanten el dominio de una organización y que los correos legítimos de esta tienen más probabilidades de llegar a las bandejas de entrada2.

Dominio gemelo: las fuentes hablan de direcciones parecidas a la original (caracteres cambiados u omitidos)3 y de caracteres especiales que imitan un sitio legítimo6. Una dirección que a simple vista parece correcta puede, por tanto, no serlo.

Captura: la página trampa sirve para recoger credenciales, y el archivo adjunto o el enlace, para instalar código14. En una prueba, un equipo de evaluación de CISA y la NSA entró mediante phishing en una cuenta de usuario final con derechos de administrador y comprometió un dominio en menos de un día laborable9.

Elusión de la doble autenticación: en otra prueba, el equipo conocía las credenciales de un usuario, pero la autenticación multifactor bloqueaba sus inicios de sesión. Se hizo pasar por el soporte informático y obtuvo el código por teléfono9. Algunas formas de autenticación multifactor son vulnerables al phishing y al «push bombing»9.

4AutopsiasCasos reales1 min

2016: el Comité Nacional Demócrata de Estados Unidos

APT28 habría comprometido en 2016 la campaña de Hillary Clinton, el Comité Nacional Demócrata (DNC) y el Comité de Campaña Demócrata para el Congreso (DCCC), para intentar influir en la elección presidencial estadounidense8. Según MITRE, el grupo usó credenciales robadas mediante un correo de spear-phishing para conectarse a la red del DCCC y después se sirvió de ese acceso para comprometer la del DNC8.

Febrero de 2024: los accesos a la nube del grupo APT29

Un aviso publicado el 26 de febrero de 2024 por el NCSC británico y sus socios describe los métodos del grupo APT29, evaluado como casi con certeza parte del SVR ruso10. El aviso no trata del spear-phishing en sí, sino de la etapa siguiente, cuando ya se conoce una contraseña: describe una elusión de la autenticación multifactor mediante «MFA bombing» o «MFA fatigue», en la que el actor envía solicitudes repetidas hasta que la víctima acepta10. Recomienda limitar la duración de las sesiones y permitir solo el registro de dispositivos autorizados10.

Ficha

Identificador
CP-002
Ala
1. Ataques y técnicas
Competencia Brain
Detectar el phishing (detect_phishing)
Reflejo Brain
cr-002
Esquema
G1 · Cadena de ataque (Kill Chain)
Idiomas
de, en, es, fr
Fuentes
10 fuentes verificadas el 3 de noviembre de 2026
Fuentes10 fuentes
  1. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultado el 3 de noviembre de 2026)
  2. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de febrero de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado el 3 de noviembre de 2026)
  3. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado el 3 de noviembre de 2026)
  4. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultado el 3 de noviembre de 2026)
  5. MITRE ATT&CK, «Phishing: Spearphishing Attachment, Sub-technique T1566.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/001/ (consultado el 3 de noviembre de 2026)
  6. MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/002/ (consultado el 3 de noviembre de 2026)
  7. MITRE ATT&CK, «Phishing: Spearphishing via Service, Sub-technique T1566.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/003/ (consultado el 3 de noviembre de 2026)
  8. MITRE ATT&CK, «APT28, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, GruesomeLarch, Group G0007 | MITRE ATT&CK®». https://attack.mitre.org/groups/G0007/ (consultado el 3 de noviembre de 2026)
  9. CISA, «NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations | CISA», 5 de octubre de 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a (consultado el 3 de noviembre de 2026)
  10. CISA, «SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA», 26 de febrero de 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (consultado el 3 de noviembre de 2026)

Citar este artículo

Brain, «Spear-phishing: el phishing dirigido», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/spear-phishing-correos-dirigidos-osint/

BibTeX 
@misc{brain_cp002_es_2026,
  author = {Brain},
  title = {Spear-phishing: el phishing dirigido},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/es/articles/spear-phishing-correos-dirigidos-osint/},
  note = {CC BY 4.0}
}
Licencia CC BY 4.0