El correo electrónico sigue siendo el principal vector de ataques cibernéticos, con un aumento del 130% en malware y del 30% en estafas. El 78% de las organizaciones sufrieron filtraciones en el último año, impulsadas por phishing, suplantación de identidad y apropiación de cuentas. Sectores como manufactura (26%), retail (20%) y salud (19%) son los más afectados. Los ataques de ingeniería social representan el 99% de las amenazas, mientras que solo el 1% incluye malware. Además, el 90% de los correos son spam, con tácticas cada vez más sofisticadas como phishing de devolución de llamada.

El correo electrónico sigue siendo el punto de entrada más común para los atacantes. Este artículo analiza cómo el phishing, la suplantación de identidad y la apropiación de cuentas siguen impulsando las vulneraciones de datos por correo electrónico y exponiendo las crecientes brechas de seguridad en todos los sectores.

Los puntos ciegos del correo electrónico perjudican a los equipos de seguridad

El correo electrónico sigue siendo la principal vía de entrada para las vulnerabilidades. El malware en el correo electrónico aumentó más del 130% interanual. Las estafas aumentaron más del 30% y el phishing, más del 20%. Estas categorías siguen impulsando la mayor parte del impacto operativo que experimentan las organizaciones, incluyendo la vulneración de cuentas y la interrupción del negocio.

Las filtraciones de correo electrónico son los asesinos silenciosos del crecimiento empresarial

El 78% de las organizaciones se vieron afectadas por una filtración de correo electrónico en los últimos 12 meses. El phishing, la suplantación de identidad y la apropiación de cuentas siguen impulsando incidentes que a menudo derivan en ransomware y pérdida de datos. El phishing y el phishing selectivo fueron los tipos de filtración más comunes, seguidos de la vulneración del correo electrónico empresarial y la apropiación de cuentas. Estos ataques suelen solaparse. Un solo correo electrónico de phishing puede exponer credenciales que los atacantes utilizan posteriormente para suplantar la identidad del personal, robar datos o propagar malware por la red.

Los ciberdelincuentes se están volviendo personales, y está dando resultados

Por sexto trimestre consecutivo, el sector manufacturero sigue siendo el principal objetivo de los ciberdelincuentes. En el segundo trimestre de 2025, los fabricantes se enfrentaron al mayor volumen de ataques por correo electrónico, con un 26% de todos los incidentes, que abarcaron amenazas de BEC, phishing y malspam. El sector minorista sigue siendo el siguiente, con un 20% de los ataques, seguido de cerca por el sector sanitario con un 19%, lo que refleja una tendencia constante observada desde el año pasado y hasta el primer trimestre de 2025.

Riesgos de seguridad del correo electrónico que el departamento de TI del sector sanitario no puede ignorar

El correo electrónico sigue siendo uno de los mayores riesgos de seguridad en el sector sanitario. Los sistemas obsoletos y las herramientas frustrantes a menudo llevan al personal a eludir las medidas de seguridad, dejando expuestos los datos de los pacientes.

Los empleados caen repetidamente en ataques de correo electrónico comprometido de proveedores

En tan solo 12 meses, los atacantes intentaron robar más de 300 millones de dólares mediante ataques de correo electrónico comprometido de proveedores (VEC), y el 7% de las interacciones provinieron de empleados que habían participado en un ataque anterior. Los empleados tienen dificultades para diferenciar entre mensajes legítimos y ataques, especialmente cuando esos correos electrónicos parecen provenir de un proveedor de confianza. Los empleados de las organizaciones más grandes, con plantillas de 50.000 o más, registraron la mayor tasa de interacción con Vendor Email Compromise (VEC).

Los ataques de phishing de baja tecnología están ganando terreno

Los ciberdelincuentes están llevando la idea de "trabajar de forma más inteligente, no más duro" a un nuevo nivel con las estafas de phishing de devolución de llamada, un vector que ni siquiera formaba parte de la ecuación el año pasado.

En el primer trimestre de 2025, representa el 16% de los intentos de phishing. Esto es relevante porque el uso de enlaces, que representó el 75% de los intentos de phishing en el primer trimestre de 2024, se redujo un 42% en el primer trimestre de 2025, dando paso a las devoluciones de llamada, que ahora representan casi uno de cada cinco intentos.

El phishing de devolución de llamada es un ataque de ingeniería social en el que se engaña a las víctimas para que llamen a un número de teléfono aparentemente legítimo a través de correos electrónicos o mensajes de texto para revelar información confidencial o descargar malware.

Solo el 1% de los correos electrónicos maliciosos que llegan a las bandejas de entrada contienen malware

El 99% de las amenazas por correo electrónico que llegaron a las bandejas de entrada de usuarios corporativos en 2024 fueron ataques de ingeniería social basados ​​en respuestas o contenían enlaces de phishing. Solo el 1% de los correos electrónicos maliciosos que llegaron a las bandejas de entrada de los usuarios contenían malware. Esto demuestra que, si bien las defensas comunes de correo electrónico previas a la entrega son eficaces para detener el malware, son mucho menos capaces de bloquear amenazas de alto riesgo como la vulneración del correo electrónico empresarial y el phishing de credenciales.

Nueve de cada diez correos electrónicos son spam

Ahora, más que nunca, los usuarios pueden ser víctimas de campañas de phishing creadas por IA con una precisión milimétrica, sutiles mensajes BEC que se parecen mucho al remitente y tácticas muy convincentes de proveedores de confianza con sitios web de apariencia legítima y dominios limpios. Nueve de cada diez correos electrónicos se clasificaron como spam, es decir, correos electrónicos no solicitados, no deseados o enviados con intenciones maliciosas.

Del total de correos electrónicos spam nunca antes vistos, el 37% pertenecía a la categoría de spam comercial, el 32% a la de estafa y el 21% a la de phishing.

Fuente: HelpNetSecurity