Phishing en 2026: las 5 trampas que ya están llegando a tu correo y WhatsApp

El phishing 2026 empresas Colombia ya no se parece al correo mal escrito de hace diez años. Hoy los atacantes usan inteligencia artificial, voz sintética y diseños que copian a la perfección portales de bancos, proveedores y plataformas como Google o Microsoft.

1. Spear phishing con IA: correos que parecen de tu proveedor real

Los correos masivos dieron paso a mensajes personalizados. Con datos públicos, la IA redacta textos coherentes con referencias a proyectos reales. La urgencia es el gancho.

Qué hacer: verifica dominio del remitente, llama al contacto por un número guardado y no abras adjuntos de correos inesperados.

2. Quishing: el QR malicioso en facturas y parqueaderos

El quishing es phishing por código QR en facturas PDF, stickers o WhatsApp. Al escanear, abres una web clonada que roba credenciales.

3. Vishing y deepfake de voz: la llamada que suena a tu jefe

Clonar la voz de un director ya no requiere un estudio. La llamada pide transferencia urgente o códigos de verificación. Ningún pago se autoriza solo por teléfono.

4. MFA fatigue y login falso de Google o Microsoft

Bombardean con notificaciones de doble factor o muestran ventanas de inicio de sesión idénticas a tu correo corporativo.

• Activa llaves de seguridad (FIDO2) donde sea posible.
• Revisa sesiones activas en Google Workspace o Microsoft 365 cada mes.
• Capacita a tu equipo: el phishing más caro suele llegar un viernes por la tarde.

Checklist rápido para PYMES

• Verificar dominio del remitente antes de hacer clic.
• No escanear QR de fuentes desconocidas.
• No compartir códigos de verificación por teléfono ni chat.
• Respaldos y actualizaciones al día en web y correo.

Si ya hubo acceso no autorizado o tu web muestra contenido extraño, en Unlockers Cloud ayudamos con rescate de sitios comprometidos en 1lockers.net/seguridad-rescate-web.

¿Quieres que revisemos el correo y la web de tu empresa? Escríbenos por WhatsApp Unlockers Cloud o visita 1lockers.net.

5. Facturas y cambios de cuenta: el fraude que más dinero cuesta

El engaño más caro para las pymes no es el más sofisticado: es un correo, real o falso, del proveedor avisando que los pagos ahora van a otra cuenta. A veces el buzón del proveedor fue tomado y el mensaje sale de su dirección legítima. La regla es simple: ningún cambio de datos bancarios se acepta solo por correo; se confirma llamando a un número que ya tenías.

6. Proteger el dominio para que no te suplanten

Además de cuidar a tu equipo, protege tu marca. Con los registros SPF, DKIM y DMARC bien configurados en el dominio, es mucho más difícil que alguien envíe correos haciéndose pasar por tu empresa a tus clientes. Si nunca los revisaste, es una tarea de una tarde con el proveedor de tu correo.

7. Capacitación corta y repetida

Una charla anual no alcanza. Funciona mejor un recordatorio de diez minutos al mes con un ejemplo real que llegó a la empresa, y un canal claro para preguntar «¿esto es legítimo?» sin miedo a quedar mal. Quien reporta un correo sospechoso a tiempo le ahorra a la empresa mucho más de lo que cuesta la capacitación.

8. Qué hacer en los primeros 30 minutos

• Cambiar la contraseña de la cuenta afectada y cerrar todas las sesiones abiertas.
• Revisar reglas de reenvío y filtros del correo que nadie haya creado.
• Avisar al banco de inmediato si hubo una transferencia.
• Informar a clientes y proveedores si salieron correos desde la cuenta comprometida.
• Guardar los correos y capturas como evidencia y denunciar en el CAI Virtual de la Policía Nacional.

Lo más importante es que nadie oculte el error. Un clic reportado en cinco minutos es un susto; uno escondido durante una semana puede ser un fraude.