El phishing mantuvo altos niveles de impacto en América Latina durante 2025: el 73% de las empresas de la región afirmó haber sido objetivo de campañas de este tipo, de acuerdo con datos relevados en el informe “ESET Security Report”. En ese marco, el análisis ubicó a la ingeniería social como el vector de ataque más explotado, por encima del acceso no autorizado, el *malware* y la explotación de vulnerabilidades.
El relevamiento mostró diferencias por industria. El sector manufacturero apareció entre los más atacados, con un 81,1% de las organizaciones latinoamericanas que reportaron haber sufrido ataques de phishing. En educación, el indicador alcanzó el 81,4% y se vinculó con infraestructuras antiguas, ciclos de actualización más lentos y equipos con menos experiencia en seguridad.
En banca y finanzas, el informe registró 79,6% de intentos de phishing en América Latina. En el caso del sector bancario, el registro llegó al 100% de las instituciones que reportaron intentos. Gobierno y salud, por su parte, anotaron 72,6% y 67,6% respectivamente, cifras que el reporte calificó como altas.
El documento planteó que la efectividad del phishing se sostiene menos en la sofisticación tecnológica y más en la manipulación de las personas. La diferencia central es operativa: mientras un ataque técnico puede ser detectado por herramientas, el phishing depende de un clic humano.
“El phishing no es un ataque sofisticado porque utilice tecnología avanzada”, dijo David Gonzalez, investigador de Seguridad Informática de ESET Latinoamérica. “Explota el elemento más débil de cualquier sistema de seguridad: el ser humano”, agregó.
A nivel global, los datos del ESET Threat Report del primer semestre de 2026 describieron una evolución de la táctica. Además de correos evidentes con errores tipográficos, se observan ataques más personalizados, con uso de información específica de la empresa, suplantación de dominios y expansión a nuevas plataformas como los códigos QR en correos electrónicos, que pueden evadir el escaneo tradicional.
Entre los casos recientes, ESET identificó una campaña con el asunto “Nuevo buzón de voz” que buscó suplantar la propia cuenta de la víctima como remitente. El adjunto era un archivo .svg, un formato menos común que puede eludir filtros de seguridad tradicionales; al abrirlo, la víctima era redirigida a una página que imitaba el inicio de sesión de Outlook, donde se robaban credenciales. También se reportaron tácticas con códigos QR y el uso de la técnica de ClickFix, que simula fallos del navegador y exige acciones urgentes.
Como medidas de prevención, se recomendó no hacer clic en links de mails no solicitados o de dudosa procedencia, desconfiar de asuntos que generen urgencia o alerta y extremar el cuidado con adjuntos inesperados, en especial formatos menos comunes como .SVG.
