El correo electrónico no es solo un medio de comunicación, ni otra cuenta online más, es la llave a múltiples contenidos, el lugar a donde llegan los enlaces de restablecimiento de contraseñas, se almacenan alertas de cuentas, se confirman reservas, se archivan facturas y comienzan las verificaciones de identidad.
Francisco Carrasco M.
Por eso, ESET, compañía especializada en detección proactiva de amenazas, advierte que es un objetivo codiciado para los ciberdelincuentes, y si se quiere proteger una cuenta y los datos personales o de negocio, la seguridad debe empezar por la bandeja de entrada.
Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica, explica que:
“Una bandeja de correo puede contener años de información sensible, desde planes de viaje y recibos de compras hasta turnos médicos, contratos, documentos fiscales e identificaciones escaneadas. También puede mostrar adónde vas, qué posees, qué servicios usas, en quién confías y cómo se puede acceder a otras cuentas".
Francisco Carrasco M.
"Una bandeja de entrada puede darle a un cibercriminal una ventaja sobre el resto de la vida digital de una persona. Con acceso a una cuenta de correo electrónico pueden restablecer contraseñas en múltiples otras cuentas, e incluso interceptar códigos de un solo uso enviados por el banco, redes sociales, almacenamiento en la nube u otros proveedores online”.
La telemetría de ESET mostró un aumento del 36% en los correos maliciosos en la segunda mitad de 2025 en comparación con los seis meses anteriores.
Francisco Carrasco M.
Las repercusiones en un entorno laboral pueden ser aún más delicados, ya que, con acceso a un correo corporativo, los atacantes podrían abrir aplicaciones en la nube, acceder a unidades compartidas, revisar sistemas de CRM, finanzas y RR. HH., espiar las comunicaciones con colegas y clientes, y acceder a datos de clientes.
Un ataque de phishing a una cuenta de correo corporativa suele ser la primera etapa de una brecha de datos más amplia, un ataque de extorsión/ransomware o espionaje. Según estadísticas recientes del gobierno del Reino Unido, el phishing (38%) fue la forma de ciberataque más común el último año, seguido por la “suplantación de organizaciones en correos electrónicos” (12%).
El investigador explica que el correo electrónico sigue siendo atractivo para los atacantes porque está en la intersección entre tecnología, identidad y confianza humana. Todos usan el correo a diario y bajo presión de tiempo: para recibir facturas, actualizaciones de envíos, avisos de RR. HH., solicitudes de clientes, restablecimientos de contraseñas, invitaciones a reuniones y alertas de seguridad.
"Muchos de estos mensajes piden hacer clic, aprobar, descargar, responder o pagar. Incluso usuarios cuidadosos pueden cometer errores cuando un mensaje parece provenir de un remitente conocido, llega en un momento de apuro o transmite urgencia. Con técnicas de suplantación e ingeniería social, los atacantes tienen mayores probabilidades de éxito”.
El factor humano estuvo presente en el 62% de las brechas el año pasado, con la ingeniería social como el tercer patrón más común, representando el 16% del total, según Verizon. Los atacantes siempre buscan nuevas formas de engaño, el informe señala que la tasa media de clics “exitosos” en simulaciones de phishing en dispositivos móviles es un 40% mayor que en dispositivos de escritorio. También están usando herramientas cada vez más sofisticadas para mejorar el éxito de las campañas de phishing, la IA generativa (GenAI) ayuda a los actores maliciosos a redactar y escalar mensajes con gramática y ortografía impecables.
Francisco Carrasco M.
Desde ESET recomiendan usar una contraseña o frase de paso fuerte y única para cada cuenta, y guardarla en un gestor de contraseñas confiable. Alternativamente, usar un método sin contraseña como una passkey (o clave de acceso). En cualquier caso, activar la autenticación multifactor. Además, mantener actualizadas las opciones de recuperación y asegurarse de que un atacante no pueda usar un número de teléfono antiguo o un correo de respaldo olvidado para recuperar el acceso.
También aconsejan revisar las configuraciones cada cierto tiempo. Buscar reglas de reenvío desconocidas, filtros extraños, apps conectadas que no se reconozcan o dispositivos no identificados. Si la bandeja de entrada fue comprometida, cambiar la contraseña, revocar sesiones sospechosas, revisar los datos de recuperación y verificar si los mensajes se están reenviando sin saber.
Francisco Carrasco M.
