¿Por qué los hackers siguen enviando correos de phishing tan genéricos?

Un príncipe que necesita ayuda para mover una herencia millonaria. Un banco que escribe “Estimado cliente” con tres errores de ortografía. Un paquete retenido en aduana que usted nunca pidió. Todos hemos recibido estos correos y muchos nos preguntamos lo mismo: si son tan evidentes, ¿por qué los delincuentes siguen enviándolos?

La respuesta es incómoda: porque funcionan. Siguen llegando porque, en algún punto de la cadena, alguien hace clic, descarga el archivo o responde con sus datos convencido de que el mensaje es real. Y mientras ese clic exista, al atacante le sale rentable seguir intentándolo.

La lógica del atacante: enviar a millones, ganar con pocos

Enviar un correo de phishing cuesta prácticamente nada. Una sola campaña puede llegar a millones de buzones en pocas horas, y el delincuente solo necesita que un porcentaje mínimo de destinatarios responda para que la operación sea rentable. Es un juego de volumen, no de perfección.

Hay un segundo factor que suele sorprender. En 2012, el investigador Cormac Herley, de Microsoft Research, publicó un estudio con una pregunta casi idéntica a la de este artículo: ¿por qué los estafadores dicen que vienen de Nigeria?. Su conclusión fue que el mensaje burdo no es un descuido, es un filtro. Quien detecta la estafa en dos segundos simplemente la borra y no le hace perder tiempo al delincuente. Quien responde ya demostró que no reconoce las señales de alerta y, por lo tanto, es el candidato con más probabilidad de llegar hasta el final.

Dicho de otro modo: el correo genérico le ayuda al atacante a encontrar a las personas que todavía creen que el mensaje es verdadero. Por eso la defensa no depende solo de la tecnología, sino de que cada vez menos personas encajen en ese perfil.

Por qué la gente sigue cayendo

Caer en un phishing no es cuestión de inteligencia. Los correos fraudulentos están diseñados para activar reacciones automáticas antes de que la persona se detenga a pensar. Los mecanismos más usados son cuatro:

• Urgencia. “Su cuenta será suspendida en 24 horas”. La presión de tiempo reduce la revisión crítica.
• Autoridad. El mensaje parece venir del banco, de la DIAN, del jefe o del área de sistemas. Pocas personas cuestionan una instrucción que aparenta venir de arriba.
• Miedo o recompensa. Una multa, un cobro no reconocido, un premio o un reembolso. Ambas emociones empujan a actuar rápido.
• Costumbre. Un empleado que procesa decenas de correos al día responde en piloto automático. El atacante solo necesita coincidir con ese momento de distracción.

A esto se suma una idea equivocada muy extendida: “a mí no me va a pasar”. Esa confianza hace que muchas personas bajen la guardia justamente con los mensajes que parecen más cotidianos. Y aunque los correos burdos siguen circulando, los atacantes ya usan inteligencia artificial para redactar mensajes sin errores, en buen español y con referencias a proveedores, facturas o conversaciones reales de la empresa.

Lo que dicen las cifras

El factor humano sigue siendo la puerta de entrada más común a los incidentes de seguridad, y Colombia no es la excepción:

El informe de Verizon también advierte que los ataques ya no llegan solo por correo: mensajes de texto, llamadas falsas del área de soporte y suplantación de proveedores hacen parte de la misma estrategia. Para una empresa, el resultado puede ser una transferencia a una cuenta equivocada, credenciales robadas o un sistema secuestrado por ransomware.

Buenas prácticas que reducen el riesgo

La protección efectiva combina hábitos de las personas con controles de la organización.

Para cada colaborador

1. Desconfiar de cualquier mensaje que pida actuar con prisa, aunque parezca venir de una fuente conocida.
2. Revisar la dirección real del remitente y pasar el cursor sobre los enlaces antes de hacer clic.
3. No ingresar contraseñas desde un enlace recibido por correo o mensaje. Es mejor escribir la dirección del sitio directamente en el navegador.
4. Confirmar por otro canal (una llamada o un mensaje interno) cualquier solicitud de pago, cambio de cuenta bancaria o envío de información sensible.
5. Reportar el correo sospechoso al área de tecnología en lugar de borrarlo. Un solo reporte puede proteger a toda la empresa.

Para la organización

1. Activar la verificación en dos pasos en correo, plataformas financieras y herramientas en la nube.
2. Configurar correctamente los registros SPF, DKIM y DMARC del dominio para dificultar la suplantación de la marca.
3. Realizar capacitaciones periódicas y simulacros de phishing que incluyan correo, SMS, WhatsApp y llamadas.
4. Definir un protocolo claro para validar pagos y cambios de datos de proveedores.
5. Mantener actualizados sistemas, plugins y equipos, y contar con copias de seguridad probadas.
6. Aplicar el principio de mínimo privilegio: cada persona accede solo a lo que necesita para su trabajo.

La seguridad es una cultura, no un software

Los correos de phishing genéricos van a seguir llegando mientras sigan encontrando a alguien que los crea. La forma más efectiva de volverlos inútiles es que cada persona dentro de la empresa sepa reconocerlos, sienta la confianza para reportarlos y cuente con procesos que le permitan verificar antes de actuar.

En Magnifik acompañamos a las organizaciones en ese camino desde la consultoría TIC: evaluamos la exposición real de la empresa, configuramos los controles técnicos de correo, dominios y plataformas, y diseñamos jornadas de formación para que los equipos conviertan las buenas prácticas en hábitos. Porque una empresa protegida no es la que nunca recibe un correo malicioso, sino la que sabe exactamente qué hacer cuando le llega.