Centroamérica, 01 de julio de 2026 – El correo electrónico no es solo un medio de comunicación, ni otra
cuenta online más, es la llave a múltiples contenidos, el lugar a donde llegan los enlaces de
restablecimiento de contraseñas, se almacenan alertas de cuentas, se confirman reservas, se archivan
facturas y comienzan las verificaciones de identidad. Por eso, ESET, compañía líder en detección
proactiva de amenazas, advierte que es un objetivo codiciado para los ciberdelincuentes, y si se quiere
proteger una cuenta y los datos personales o de negocio, la seguridad debe empezar por la bandeja de
entrada.
“Una bandeja de correo puede contener años de información sensible, desde planes de viaje y recibos de
compras hasta turnos médicos, contratos, documentos fiscales e identificaciones escaneadas. También
puede mostrar adónde vas, qué posees, qué servicios usas, en quién confías y cómo se puede acceder a
otras cuentas. Una bandeja de entrada puede darle a un cibercriminal una ventaja sobre el resto de la
vida digital de una persona. Con acceso a una cuenta de correo electrónico pueden restablecer
contraseñas en múltiples otras cuentas, e incluso interceptar códigos de un solo uso enviados por el
banco, redes sociales, almacenamiento en la nube u otros proveedores online”, alerta Mario Micucci,
investigador de seguridad informática de ESET Latinoamérica.
La telemetría de ESET mostró un aumento del 36% en los correos maliciosos en la segunda mitad de
2025 en comparación con los seis meses anteriores.
Las repercusiones en un entorno laboral pueden ser aún más delicados, ya que, con acceso a un correo
corporativo, los atacantes podrían abrir aplicaciones en la nube, acceder a unidades compartidas, revisar
sistemas de CRM, finanzas y RR. HH., espiar las comunicaciones con colegas y clientes, y acceder a datos
de clientes.
Un ataque de phishing a una cuenta de correo corporativa suele ser la primera etapa de una brecha de
datos más amplia, un ataque de extorsión/ransomware o espionaje. Según estadísticas recientes
del gobierno del Reino Unido, el phishing (38%) fue la forma de ciberataque más común el último año,
seguido por la “suplantación de organizaciones en correos electrónicos” (12%).
“El correo electrónico sigue siendo atractivo para los atacantes porque está en la intersección entre
tecnología, identidad y confianza humana. Todos usamos el correo a diario y bajo presión de tiempo:
para recibir facturas, actualizaciones de envíos, avisos de RR. HH., solicitudes de clientes,
restablecimientos de contraseñas, invitaciones a reuniones y alertas de seguridad. Muchos de estos
mensajes piden hacer clic, aprobar, descargar, responder o pagar. Incluso usuarios cuidadosos pueden
cometer errores cuando un mensaje parece provenir de un remitente conocido, llega en un momento de
apuro o transmite urgencia. Con técnicas de suplantación e ingeniería social, los atacantes tienen
mayores probabilidades de éxito”, detalla Micucci de ESET.
ESET -Nota de Prensa
El factor humano estuvo presente en el 62% de las brechas el año pasado, con la ingeniería social como
el tercer patrón más común, representando el 16% del total, según Verizon. Los atacantes siempre
buscan nuevas formas de engaño, el informe señala que la tasa media de clics “exitosos” en
simulaciones de phishing en dispositivos móviles es un 40% mayor que en dispositivos de escritorio.
También están usando herramientas cada vez más sofisticadas para mejorar el éxito de las campañas de
phishing, la IA generativa (GenAI) ayuda a los actores maliciosos a redactar y escalar mensajes con
gramática y ortografía impecables.
Desde ESET recomiendan usar una contraseña o frase de paso fuerte y única para cada cuenta, y
guardarla en un gestor de contraseñas confiable. Alternativamente, usar un método sin contraseña
como una passkey (o clave de acceso). En cualquier caso, activar la autenticación multifactor. Además,
mantener actualizadas las opciones de recuperación y asegurarse de que un atacante no pueda usar un
número de teléfono antiguo o un correo de respaldo olvidado para recuperar el acceso.
También aconsejan revisar las configuraciones cada cierto tiempo. Buscar reglas de reenvío
desconocidas, filtros extraños, apps conectadas que no se reconozcan o dispositivos no identificados. Si
la bandeja de entrada fue comprometida, cambiar la contraseña, revocar sesiones sospechosas, revisar
los datos de recuperación y verificar si los mensajes se están reenviando sin saber.
Otras buenas prácticas de seguridad que acerca ESET, incluyen:
– Tener cuidado con el phishing: tratar cualquier mensaje no solicitado con precaución. Pasar el
cursor sobre el remitente para detectar inconsistencias. Verificar la ortografía del dominio. No hacer
clic en enlaces ni abras adjuntos. Si hace falta, confirmar por otro canal.
– No aprobar códigos de dispositivos ni alertas de autenticación multifactorial (MFA) (por ejemplo,
en tu móvil) que no se hayan solicitado: podría ser un atacante probando suerte.
– Asegurarse de que las opciones de recuperación estén claras y actualizadas.
– Si se trabaja en una organización, tratar con precaución cualquier solicitud urgente de transferencia
bancaria, aunque parezca proceder de un CEO o del área de IT. Verificar a través de un canal
independiente.
– Tomar en serio las capacitaciones de seguridad, prestando atención a las últimas tácticas y técnicas
de phishing.
– Utilizar una solución de seguridad integral de un proveedor de confianza para protegerse del
malware y de los mensajes sospechosos.
