Qué es y en qué se diferencian el phishing, smishing y vishing

Una llamada desde un supuesto banco. Un SMS que alerta sobre un cobro no reconocido. Un correo que parece llegar desde una empresa de mensajería. Todos estos podrían ser, en realidad, trampas. Hoy, la delincuencia digital adopta formas cada vez más sofisticadas y personalizadas.

Entre ellas, tres variantes destacan por su alcance y frecuencia: el phishing, el smishing y el vishing. Aunque comparten un mismo fin, engañar al usuario para obtener información confidencial, cada una utiliza un canal distinto y apela a emociones diferentes para lograrlo.

El phishing es quizá la forma más conocida de ciberataque. Consiste en correos electrónicos que suplantan la identidad de empresas u organismos públicos con el objetivo de robar datos personales o instalar malware.

El engaño suele esconderse tras mensajes alarmantes que piden al usuario actuar con urgencia, verificar una cuenta bloqueada, confirmar un pago sospechoso o recuperar un supuesto reembolso. Para lograrlo, el mensaje contiene enlaces a sitios falsos o archivos adjuntos peligrosos.

Las entidades más frecuentemente suplantadas en este tipo de ataques son bancos, compañías eléctricas, plataformas de mensajería y redes sociales. En muchas ocasiones, estos correos presentan remitentes desconocidos, errores ortográficos o solicitudes de datos que ninguna empresa pediría por correo.

Para evitar caer en este tipo de fraudes, es crucial no responder a correos de origen dudoso, no hacer clic en enlaces sospechosos y mantener actualizados tanto el sistema operativo como el software de seguridad. También se recomienda activar la autenticación en dos pasos para proteger las cuentas más sensibles.

El smishing (SMS + phishing) traslada las estrategias del engaño al teléfono móvil. A través de mensajes de texto, los atacantes intentan que la víctima acceda a un enlace o contacte con un número telefónico, siempre con el objetivo de obtener datos personales o financieros. La eficacia de estos ataques radica en que los SMS suelen percibirse como más confiables que los correos electrónicos.

Los mensajes pueden simular provenir de bancos, servicios públicos o empresas de mensajería. Algunos ejemplos incluyen: “Se ha iniciado sesión desde un nuevo dispositivo. Si no fuiste tú, verifica ahora”, o “Tu paquete no pudo ser entregado por falta de dirección. Verifica aquí”. La técnica apela al miedo o a la urgencia para activar una reacción automática, sin dar tiempo a comprobar la veracidad del mensaje.

De acuerdo con el Instituto Nacional de Ciberseguridad de España “los remitentes pueden estar suplantados para parecer legítimos”, lo que vuelve aún más difícil detectar el engaño. Por eso, nunca se debe hacer clic en enlaces dentro de mensajes sospechosos ni descargar aplicaciones desde fuentes no verificadas. En caso de duda, lo más prudente es contactar directamente a la entidad a través de su sitio oficial.

A diferencia del phishing y el smishing, que se apoyan en el texto, el vishing utiliza la voz como principal herramienta de manipulación. Los ciberdelincuentes realizan llamadas telefónicas en las que se hacen pasar por empleados de bancos, técnicos de soporte o representantes de organismos oficiales.

Durante la conversación, buscan obtener datos personales o inducir a la víctima a instalar software malicioso.

Las excusas que utilizan varían desde la alerta de una actividad sospechosa en una cuenta bancaria hasta la promesa de premios o inversiones seguras. En muchos casos, la urgencia es el anzuelo: “Hemos detectado actividad sospechosa en su cuenta”, es una frase típica que obliga a actuar sin cuestionar. Además, recurren a técnicas como la identificación falsa del número de teléfono o respuestas evasivas ante cualquier intento de verificación por parte del usuario.

Para no caer en esta trampa, es fundamental cortar la llamada ante la menor sospecha y no proporcionar ningún tipo de información personal. Si el fraude ya ocurrió, el paso inmediato debe ser contactar al banco, cambiar las contraseñas y ejecutar un análisis de seguridad en el dispositivo afectado.