Un correo que promete premios, una notificación sobre beneficios laborales o una alerta de seguridad de la empresa pueden parecer mensajes inofensivos, pero también pueden ser utilizados por ciberdelincuentes para engañar a los trabajadores. Así lo revelan simulaciones realizadas por Kaspersky, en las que hasta el 66% de los participantes de una prueba específica hizo clic en un correo falso, lo que evidencia cómo los atacantes pueden aprovechar situaciones cotidianas para captar la atención de sus víctimas.
En América Latina, los resultados muestran cómo estos engaños se adaptan a los intereses de cada país. En México, una simulación que prometía premios relacionados con la selección nacional de fútbol registró un 66% de participantes que cayeron en el engaño. En Colombia, una falsa notificación sobre la disponibilidad de cesantías alcanzó el 33%; en Chile, una alerta sobre supuestos problemas con el correo corporativo obtuvo el 20%; y en Brasil, una promoción de huevos de Pascua llegó al 15%.
Las cifras forman parte de un análisis global de Kaspersky basado en más de 150,000 correos simulados enviados a trabajadores de 120 países entre enero y septiembre de 2026. Los resultados muestran que los mensajes relacionados con tecnología e inteligencia artificial fueron los que más clics generaron en promedio (45%), seguidos de salud y seguros (28%), políticas internas de TI (26%), regalos y promociones (24%) y comunicaciones de recursos humanos (22%). Incluso una falsa notificación sobre una inspección sanitaria alcanzó una tasa de clics del 92% en una simulación específica.
Este panorama cobra especial relevancia porque el phishing continúa siendo uno de los incidentes de ciberseguridad más frecuentes entre las empresas y uno de los que puede generar mayores consecuencias para sus operaciones. Además, estas amenazas han evolucionado de correos fraudulentos aislados a campañas más sofisticadas, rápidas y de múltiples etapas, en las que los ciberdelincuentes incorporan inteligencia artificial para perfeccionar sus engaños y aumentar su alcance. Esto representa un desafío creciente para las organizaciones, que deben preparar a sus equipos para identificar amenazas cada vez más difíciles de distinguir de las comunicaciones legítimas.
“El problema de estos engaños es que aprovechan la confianza de los empleados en comunicaciones que forman parte de su rutina laboral. Un mensaje sobre beneficios, premios o asuntos internos puede parecer inofensivo, pero un solo clic en un enlace malicioso puede abrir la puerta al robo de credenciales, la exposición de información corporativa o incluso a un ataque de mayor alcance. Además, con el uso de inteligencia artificial, los ciberdelincuentes pueden crear mensajes cada vez más creíbles y personalizados, lo que dificulta su identificación. Por eso, las empresas no deben depender únicamente de soluciones tecnológicas, sino fortalecer continuamente la capacidad de sus empleados para reconocer estas amenazas”, explica Andrés Giarletta, director de Preventas para Américas en Kaspersky.
Ante este panorama, los expertos de Kaspersky comparten algunas recomendaciones para fortalecer la seguridad de las organizaciones y reducir los riesgos asociados al phishing:
- Capacitar a los empleados de forma continua. Implementar programas periódicos de concientización que enseñen a reconocer correos fraudulentos, enlaces sospechosos y técnicas de manipulación utilizadas por los ciberdelincuentes. La formación debe actualizarse a medida que evolucionan las amenazas.
- Realizar simulaciones de phishing con herramientas especializadas. Plataformas como Kaspersky Automated Security Awareness Platform (KASAP) permiten enviar correos simulados que reproducen engaños reales, evaluar cómo reaccionan los trabajadores e identificar las áreas que necesitan reforzar su capacitación.
- Verificar las comunicaciones internas. Enseñar a los empleados a confirmar por canales oficiales cualquier solicitud inesperada relacionada con contraseñas, beneficios laborales, pagos o cambios en las políticas de la empresa, incluso cuando el mensaje parezca provenir de un área conocida.
- Promover el reporte oportuno de mensajes sospechosos. Establecer canales sencillos para que los trabajadores informen sobre posibles intentos de phishing, incluso si ya hicieron clic en un enlace. Esto permite a los equipos de seguridad responder rápidamente y reducir posibles consecuencias.
- Complementar la formación con soluciones de seguridad. Utilizar herramientas que ayuden a detectar correos maliciosos, bloquear enlaces peligrosos y proteger las cuentas corporativas, combinando la tecnología con empleados preparados para identificar amenazas.
Según los análisis de efectividad de KASAP, la capacitación periódica y las simulaciones pueden reducir la susceptibilidad al phishing del 60 % a entre el 5 % y el 7 %. Para apoyar estos esfuerzos, Kaspersky ofrece distintos programas de formación adaptados al tamaño y las necesidades de cada organización.
