El informe de ESET revela que la ingeniería social y el error humano siguen siendo la principal vía de entrada para los ciberdelincuentes en la región.
El engaño digital no pierde vigencia y se consolida como una de las amenazas más peligrosas para las organizaciones en nuestra región. Según los datos relevados en el último informe ESET Security Report, el 73% de las empresas en América Latina afirman haber sido objetivo de campañas de phishing durante el 2025. La cifra evidencia que, lejos de recurrir únicamente a ataques informáticos complejos, los ciberdelincuentes continúan apostando por la manipulación psicológica para vulnerar las barreras defensivas corporativas.
La técnica del phishing no destaca por un despliegue tecnológico abrumador, sino por su capacidad para explotar la conducta de las personas. En ese sentido, la ingeniería social se mantiene como el vector de ataque más utilizado en el territorio latinoamericano, superando ampliamente a métodos como el acceso no autorizado, la propagación de código malicioso o malware y la explotación de fallas del sistema o vulnerabilidades. Mientras que una intrusión técnica puede ser identificada y frenada por un programa especializado, el éxito del phishing depende directamente de la interacción de un usuario.
“El phishing no es un ataque sofisticado porque utilice tecnología avanzada. Es sofisticado porque explota el elemento más débil de cualquier sistema de seguridad: el ser humano. Además, los sectores con datos sensibles o acceso a recursos críticos son una prioridad para los delincuentes. Y no es casualidad que precisamente las industrias con menor capacidad defensiva terminen siendo las más atacadas”, comenta David González, investigador de seguridad informática de ESET Latinoamérica.
El impacto de estas campañas no se distribuye de manera uniforme entre las distintas actividades económicas. Los datos recopilados por la firma de ciberseguridad muestran una marcada concentración de riesgo en rubros estratégicos. El sector manufacturero figura como uno de los más castigados, con un 81,1% de las organizaciones reportando haber sufrido este tipo de embates. Por su parte, el ámbito de la educación registra un 81,4%, un fenómeno alimentado por infraestructuras obsoletas, procesos de actualización pausados y equipos con escasa formación técnica en seguridad.
En el caso de Banca y Finanzas, la cifra alcanza un 79,6% de intentos registrados en la región. Los sectores de Gobierno y Salud no quedan al margen, alcanzando un 72,6% y un 67,6% respectivamente. Las dinámicas de la ingeniería social aprovechan factores de la conducta humana como la confianza, el apuro y el desconocimiento. Un correo electrónico diseñado para simular un mensaje corporativo legítimo, combinado con una solicitud de carácter urgente, suele activar una respuesta reactiva antes que un análisis detenido por parte del empleado.
A nivel global, la evolución de estas trampas digitales ha alcanzado niveles preocupantes durante el primer semestre de 2026, según datos del ESET Threat Report. Los atacantes han dejado de lado los mensajes genéricos con fallas ortográficas para implementar ataques personalizados. Entre las nuevas metodologías destaca el uso de información interna de las empresas, la suplantación de dominios y la incorporación de códigos QR o técnicas como ClickFix, diseñadas para simular errores en los navegadores web.
Recientemente, ESET detectó una campaña que utilizaba correos con el asunto “Nuevo buzón de voz”, haciendo parecer que la propia cuenta del usuario era el remitente. El mensaje incluía un archivo adjunto en formato .SVG —capaz de esquivar los filtros habituales de correo— que redirigía a la víctima hacia una web falsa de inicio de sesión de Outlook para robar sus credenciales.
“El phishing funciona porque es sencillo de realizar, demasiado efectivo y, en la mayoría de los casos, la víctima no sabe que ha sido objetivo hasta mucho más tarde. El phishing de hoy no es el correo obvio con errores tipográficos y enlaces extraños. Es demasiado sofisticado para ser fácil de detectar. Los delincuentes están utilizando varias técnicas nuevas”, agrega el investigador.
Ante este escenario, los especialistas recomiendan no abrir enlaces en correos no solicitados, verificar la identidad del remitente ante solicitudes urgentes y desconfiar de archivos en formatos poco habituales. Para las organizaciones, la prevención exige visibilidad constante en las redes, firewalls adecuadamente configurados, autenticación reforzada y programas continuos de capacitación para todo el personal.
*En la creación de este texto se usaron herramientas de inteligencia artificial.
