4 estafas por correo electrónico que ya no parecen estafas

Durante la última década, las estafas por correo electrónico se han propagado sin control por internet. Y los departamentos de informática de las empresas han repetido invariablemente los mismos consejos: buscar errores gramaticales, pasar el cursor sobre los enlaces y activar la autenticación de dos factores. Pero esas recomendaciones ya no son suficientes. Gracias a la IA y a técnicas cada vez más sofisticadas, las estafas por correo electrónico actuales no siempre parecen estafas. No necesariamente contienen errores ortográficos y, en algunos casos, incluso pueden superar ciertas formas de autenticación multifactor. Microsoft Threat Intelligence detectó aproximadamente 8,300 millones de amenazas de phishing por correo electrónico durante el primer trimestre de 2026. Además, el phishing mediante códigos QR fue uno de los métodos que más creció: los ataques pasaron de 7.6 millones en enero a 18.7 millones en marzo, un incremento de 146% durante el trimestre.

La evolución también tiene que ver con la inteligencia artificial. Investigadores de Microsoft señalan que los atacantes ya están utilizando IA para crear mensajes de phishing más convincentes y eliminar errores gramaticales o frases extrañas que antes ayudaban a detectar un engaño.

Aquí tienes algunos trucos que están inundando las bandejas de entrada, cómo funcionan y cómo adelantarse a ellos.

1. Phishing mediante código QR: “quishing”

Recibes un correo electrónico que indica que tu contraseña de Microsoft 365 está a punto de caducar o que un documento urgente de recursos humanos requiere una firma de DocuSign. Pero, en lugar de un enlace en el que puedas hacer clic, aparece una imagen nítida con un código QR que te pide que lo escanees con la cámara de tu teléfono para verificar tu identidad. La artimaña es particularmente astuta. Tu portátil de trabajo puede estar protegido por herramientas corporativas de seguridad y analizadores de enlaces. En el momento en que sacas tu teléfono y escaneas ese código, puedes trasladar la interacción a un dispositivo que no necesariamente cuenta con las mismas medidas de protección. Esta técnica se conoce como “quishing” o phishing mediante códigos QR. Microsoft explica que los atacantes insertan URLs maliciosas dentro de imágenes, documentos PDF o archivos de Word para intentar evadir los sistemas tradicionales de análisis de correo y llevar a las víctimas hacia páginas diseñadas para robar credenciales. Durante el primer trimestre de 2026, este tipo de ataques creció 146%. Además, detectar una página web falsa se ha vuelto cada vez más difícil a medida que los ciberdelincuentes perfeccionan las imitaciones de servicios conocidos.

Si recibes un correo electrónico inesperado que te pide escanear un código en tu dispositivo personal para gestionar tus credenciales de trabajo, desconfía. Entra directamente al servicio desde su aplicación o sitio oficial antes de realizar cualquier acción.

2. La trampa del portapapeles de “ClickFix”

Este te ataca con un truco psicológico justo cuando estás intentando ser productivo.

Haces clic en un correo electrónico de notificación para abrir un documento, pero la página web se congela y aparece una ventana emergente con un mensaje de error. Te pide amablemente que pulses Win + R, pegues un supuesto código de verificación en la ventana Ejecutar de Windows y pulses Intro. No hay ningún error de software. La técnica, conocida como ClickFix, utiliza ingeniería social para convencer a la propia víctima de ejecutar instrucciones maliciosas. Microsoft ha documentado campañas en las que una página coloca un comando en el portapapeles y posteriormente indica al usuario que lo pegue en Windows Run, Windows Terminal o PowerShell. De esta manera, el atacante no necesita encontrar una vulnerabilidad sofisticada en el sistema: convence a la persona para que ejecute el código.

Nunca pegues texto de un navegador en la terminal de tu computadora simplemente porque una página web te lo pida. Los navegadores no necesitan que ejecutes comandos del sistema para mostrar un archivo, completar un CAPTCHA o corregir un supuesto error.

3. Clonación de inicio de sesión mediante un ataque de intermediario

La mayoría de la gente da por sentado que la autenticación de dos factores hace que las páginas de inicio de sesión sean prácticamente infalibles. Pero determinados ataques conocidos como Adversary-in-the-Middle (AiTM) pueden superar formas de autenticación multifactor que no son resistentes al phishing. Recibes un correo electrónico que te redirige a un portal idéntico a la pantalla de inicio de sesión de tu empresa. Introduces tu nombre de usuario, contraseña e incluso el código de seis dígitos de tu aplicación de autenticación. La página falsa actúa como un intermediario entre tú y el sitio web legítimo. Cuando introduces tus credenciales, el atacante puede transmitirlas al servicio verdadero en tiempo real.

Microsoft ha documentado ataques AiTM capaces de interceptar el proceso de autenticación y capturar tokens o cookies de sesión. Esas credenciales de sesión pueden permitir al atacante acceder a una cuenta incluso después de que la víctima haya completado correctamente una verificación multifactor. En otras palabras, tu código de autenticación funciona, pero el atacante aprovecha la sesión que acabas de validar. Antes de introducir tus credenciales en cualquier sitio, fíjate cuidadosamente en la barra de direcciones y verifica que el dominio sea exactamente el legítimo. También conviene que las empresas avancen hacia métodos de autenticación resistentes al phishing y una estrategia más amplia de ciberseguridad.

4. Facturas falsas que pueden llegar desde plataformas reales

Una de las estafas más difíciles de detectar es aquella que utiliza la infraestructura de una empresa tecnológica legítima. Puedes recibir una notificación de factura de QuickBooks o PayPal que incluye tu nombre, un número de pedido e incluso un supuesto número telefónico de soporte al que debes llamar si sospechas de fraude. Aquí está el problema: algunos delincuentes pueden aprovechar funciones legítimas de facturación o solicitud de pagos para enviar mensajes que parecen auténticos. PayPal advierte sobre este tipo de facturas y solicitudes de dinero. La propia compañía señala que los estafadores pueden enviar una factura que parece real e incluir en ella un número telefónico falso con el objetivo de conseguir que la víctima llame y entregue información personal o financiera.

También se han detectado campañas que abusan de otras plataformas confiables. En julio de 2026, DocuSign alertó sobre una campaña en la que mensajes fraudulentos relacionados con supuestas facturas de QuickBooks eran enviados mediante su plataforma, haciendo que las notificaciones parecieran auténticas. Intuit, por su parte, recomienda que ante cualquier mensaje dudoso los usuarios entren directamente al sitio oficial de QuickBooks para revisar su cuenta, en lugar de utilizar los enlaces incluidos en el correo.

Este tipo de engaños forma parte de un ecosistema más amplio de fraude digital que se vuelve cada vez más difícil de detectar únicamente observando el remitente o la apariencia del mensaje. Si una factura inesperada contiene un número de teléfono de soporte, no llames al número incluido en el mensaje. Abre directamente la aplicación o escribe la dirección oficial del servicio en tu navegador y consulta desde ahí tu historial de facturación.

Las nuevas estafas por correo electrónico tienen algo en común: están diseñadas para aprovechar nuestra confianza en herramientas, marcas y procesos que usamos todos los días. Por eso, la señal de alerta ya no es únicamente un correo mal escrito. A veces, el mensaje puede parecer completamente legítimo.

La mejor defensa empieza por cambiar una regla básica: cuando un correo te pida iniciar sesión, escanear un código QR, ejecutar un comando o llamar por una factura inesperada, no continúes desde el propio mensaje. Ve directamente al servicio oficial y verifica ahí qué está ocurriendo.