La bandeja de entrada del correo electrónico no es simplemente otro servicio en línea: es, en la práctica, el sistema de identidad más valioso que poseemos. Quien controla esa cuenta puede restablecer contraseñas, interceptar códigos de verificación, acceder a años de correspondencia financiera, laboral y personal, y suplantar al titular ante bancos, plataformas de redes sociales y servicios en la nube. Los cibercriminales lo saben, y por eso han convertido el asalto al correo electrónico en la puerta de entrada predilecta para el robo de identidades y fraudes multimillonarios.
Por qué el correo electrónico es el objetivo prioritario de los atacantes
El correo electrónico acumula capas enteras de información sensible: facturas, confirmaciones de reservas, enlaces de restablecimiento de contraseña, alertas de seguridad, comunicaciones con proveedores y clientes, y datos personales que permiten verificar la identidad del usuario. Esta concentración de datos lo convierte en un blanco extraordinariamente atractivo. Al comprometer una cuenta de correo, un atacante obtiene acceso potencial a todas las cuentas vinculadas a esa dirección: bancos, redes sociales, almacenamiento en la nube, servicios de suscripción y plataformas laborales.
El mecanismo es sencillo y devastador. Con acceso al correo, el atacante puede solicitar el restablecimiento de contraseñas de otros servicios y recibir los enlaces o códigos de un solo uso directamente en la bandeja comprometida. Además, los delincuentes suelen configurar reglas de reenvío automático para que, incluso después de que la víctima recupere el control, los mensajes sigan fluyendo hacia ellos. Herramientas como los tokens de acceso o las aplicaciones conectadas permiten mantener una presencia persistente y silenciosa dentro de la cuenta, mucho después de que se haya cambiado la contraseña.
El factor humano como eslabón débil
El correo electrónico sigue siendo efectivo para los atacantes porque se sitúa en la intersección entre tecnología, identidad y confianza humana. Todos utilizamos el correo a diario bajo presión de tiempo: recibimos facturas, notificaciones de entrega, avisos de recursos humanos, solicitudes de clientes, invitaciones a reuniones y alertas de seguridad. Muchos de estos mensajes nos piden hacer clic, aprobar, descargar, responder o pagar. Los delincuentes explotan esa rutina: incluso los usuarios cuidadosos pueden cometer un error cuando un mensaje parece provenir de un remitente conocido, llega en un momento de alta carga laboral o transmite una sensación de urgencia. La suplantación de identidad y las técnicas de ingeniería social aumentan significativamente las probabilidades de éxito del ataque.
Según el informe de investigaciones de brechas de datos de Verizon correspondiente a 2026, el elemento humano estuvo presente en el 62 % de las brechas del año anterior, y la ingeniería social fue el tercer patrón de brecha más común, representando el 16 % de todos los incidentes. Los atacantes, además, perfeccionan constantemente sus métodos: el informe señala que la tasa media de clics «exitosos» en simulaciones de phishing móvil es un 40 % superior a la del phishing por correo electrónico tradicional.
El crecimiento de las amenazas por correo: datos y tendencias
La magnitud del problema no deja lugar a dudas. La telemetría de ESET registró un incremento del 36 % en los correos electrónicos maliciosos detectados durante el segundo semestre de 2025 en comparación con los seis meses anteriores. Esta tendencia al alza refleja tanto la persistencia del phishing como amenaza aguda como la creciente sofisticación de las campañas.
Los tipos de archivos adjuntos maliciosos más comunes incluyen documentos de Office que ejecutan macros, archivos comprimidos que ocultan troyanos y scripts que descargan cargas adicionales. Un ejemplo concreto: una campaña detectada por ESET utilizaba un correo de phishing que simulaba provenir de Fujifilm para distribuir el troyano Win/PSW.Delf, diseñado para robar contraseñas almacenadas en el navegador y otros datos sensibles.
La inteligencia artificial generativa eleva el riesgo
Los atacantes están adoptando herramientas cada vez más sofisticadas para mejorar las tasas de éxito de sus campañas de phishing. La inteligencia artificial generativa (GenAI) permite redactar y escalar mensajes de phishing con una gramática y ortografía impecables, eliminando las señales clásicas que delataban a los correos fraudulentos. Esto dificulta aún más la detección por parte de los usuarios y de los filtros tradicionales. La combinación de personalización basada en datos filtrados y textos generados por IA hace que los correos maliciosos sean prácticamente indistinguibles de las comunicaciones legítimas.
Tres casos emblemáticos de robo de identidad por correo
Algunos de los ciberataques más costosos y dañinos de la historia comenzaron con el compromiso de una bandeja de entrada corporativa. Estos casos ilustran el poder destructivo del Business Email Compromise (BEC), una modalidad de fraude en la que los atacantes suplantan a ejecutivos o proveedores para ordenar transferencias bancarias fraudulentas.
Facebook y Google: más de 120 millones de dólares en facturas falsas
Entre 2013 y 2015, un delincuente lituano logró engañar a los equipos financieros de Facebook y Google haciéndose pasar por un proveedor asiático legítimo. Envió correos electrónicos con facturas falsificadas y documentos forjados que imitaban a la perfección la identidad del fabricante. Las dos empresas tecnológicas transfirieron fondos por un valor estimado superior a los 120 millones de dólares antes de descubrir el fraude. El caso demuestra cómo incluso las compañías con mayores recursos pueden caer en un ataque BEC bien ejecutado.
Children’s Healthcare of Atlanta: suplantación de un contratista
Cuando una empresa de construcción anunció públicamente que había sido seleccionada como contratista general para un nuevo edificio en el hospital infantil de Atlanta, los estafadores actuaron con rapidez. Enviaron una solicitud de pago suplantando al constructor, utilizando el membrete y la dirección de correo electrónico falsificados de la compañía, y haciéndose pasar por su director financiero. El hospital transfirió los fondos a una cuenta controlada por los delincuentes antes de percatarse del engaño.
Crelan Bank: 75 millones de dólares perdidos por un correo del «CEO»
El banco belga Crelan sufrió una pérdida superior a los 75 millones de dólares después de que un empleado realizara una transferencia bancaria a una cuenta controlada por estafadores. En este caso, los delincuentes habían secuestrado previamente la cuenta de correo electrónico de un alto directivo y, desde ella, enviaron instrucciones de pago que aparentaban provenir del consejero delegado. La autoridad aparente del remitente y la urgencia del mensaje llevaron al empleado a ejecutar la transferencia sin verificar por un canal alternativo.
Cómo proteger tu bandeja de entrada y tu identidad digital
La protección del correo electrónico debe ser la prioridad número uno en cualquier estrategia de seguridad digital. Las medidas que se describen a continuación son aplicables tanto a usuarios domésticos como a profesionales y empresas.
Usa contraseñas fuertes y únicas para cada cuenta. Una contraseña o frase de paso robusta debe almacenarse en un gestor de contraseñas de confianza. Como alternativa, cada vez más servicios admiten el uso de passkeys, un método sin contraseña basado en criptografía de clave pública que elimina el riesgo de robo de credenciales.
Activa la autenticación multifactor (MFA). Hoy en día, la mayoría de los proveedores de correo ofrecen MFA. Actívala sin excepción. Prefiere aplicaciones de autenticación o llaves de seguridad físicas antes que los códigos SMS, que pueden ser interceptados mediante ataques de intercambio de SIM.
Mantén actualizadas las opciones de recuperación. Un atacante podría utilizar un número de teléfono antiguo o una dirección de correo de respaldo olvidada para recuperar el acceso a tu cuenta. Revisa periódicamente que los métodos de recuperación sean correctos y estén bajo tu control.
Revisa la configuración de tu correo periódicamente. Busca reglas de reenvío que no hayas creado, filtros de correo desconocidos, aplicaciones conectadas que no reconozcas o dispositivos que no hayas autorizado. Si detectas alguna anomalía, cambia la contraseña de inmediato, revoca todas las sesiones activas y elimina cualquier regla de reenvío sospechosa.
Desconfía de cualquier correo no solicitado. Pasa el cursor sobre el nombre del remitente para verificar que la dirección real coincida. Revisa la ortografía del dominio en busca de errores tipográficos (por ejemplo, «g00gle.com» en lugar de «google.com»). No hagas clic en enlaces ni abras archivos adjuntos en mensajes inesperados. Si el correo parece venir de un proveedor o colega, verifica la solicitud por un canal independiente (teléfono, mensajería instantánea).
No apruebes solicitudes de MFA o códigos de dispositivo que no hayas iniciado. Los atacantes pueden intentar iniciar sesión en tu cuenta y enviarte una notificación de autenticación. Si la apruebas sin haberla solicitado, les estarás dando acceso. Siempre rechaza estas solicitudes.
En el ámbito laboral, trata con escepticismo cualquier solicitud urgente de transferencia bancaria. Aunque parezca provenir del CEO o del departamento de TI, verifica la orden a través de otro canal antes de actuar. Las empresas deben implementar políticas de doble verificación para transferencias de alto valor.
Participa activamente en la formación en concienciación sobre seguridad. Los empleados que reciben formación periódica sobre las últimas tácticas de phishing están mejor preparados para identificar correos maliciosos. La concienciación no es un evento único, sino un proceso continuo que debe actualizarse con las nuevas amenazas.
Utiliza una solución de seguridad integral. Un software de protección de confianza, como el que ofrece ESET, puede detectar y bloquear correos maliciosos, enlaces peligrosos y archivos adjuntos infectados antes de que lleguen a la bandeja de entrada del usuario.
Prácticamente todas las personas utilizan el correo electrónico a diario, lo que lo convierte en un objetivo perpetuo para los cibercriminales. Sin embargo, no todas las bandejas de entrada tienen por qué estar expuestas. La combinación de contraseñas robustas, autenticación multifactor, verificación periódica de la configuración, escepticismo ante mensajes no solicitados y el uso de herramientas de seguridad adecuadas puede marcar la diferencia entre ser una víctima más o navegar por el mundo digital con la certeza de que la propia identidad permanece bajo control.
