Te contamos cómo detectar las estafas más populares.
Revisas el correo del trabajo y encuentras una notificación sobre tus cesantías. El mensaje parece importante, así que decides abrirlo. Lo que no sabes es que podría tratarse de una trampa diseñada para robar información de tu empresa.
Este fue uno de los engaños utilizados en una serie de simulaciones de phishing realizadas por Kaspersky entre trabajadores de América Latina. Los resultados, publicados en noviembre de 2026, muestran cómo asuntos tan cotidianos como el fútbol, las promociones y los beneficios laborales pueden conseguir que los empleados hagan clic en correos falsos.
El estudio también deja una lección interesante: los mensajes fraudulentos no necesitan prometer una fortuna o presentar amenazas exageradas para llamar nuestra atención. En ocasiones, basta con que parezcan algo que normalmente recibiríamos durante la jornada laboral.
Otros datos: El próximo problema de ciberseguridad podría no estar en tu computador, sino frente a él
Del fútbol a las cesantías: los correos falsos que engañaron a empleados en Latam
A los ciberdelincuentes les interesa que abramos sus mensajes y, para lograrlo, pueden utilizar temas que nos resultan familiares. Las simulaciones de Kaspersky muestran cuatro ejemplos de cómo esa estrategia puede adaptarse a diferentes países.
En México, un correo que prometía premios relacionados con la selección nacional de fútbol consiguió que el 66 % de los participantes de una prueba hiciera clic. El fútbol fue el anzuelo: la posibilidad de obtener algún beneficio relacionado con el equipo nacional despertó suficiente interés para que muchos siguieran el enlace.
En Colombia, la estrategia fue bastante diferente. Una supuesta notificación sobre la disponibilidad de cesantías logró una tasa de clics del 33 %. Es un tema particularmente convincente porque las cesantías forman parte de las prestaciones laborales y los trabajadores pueden recibir comunicaciones legítimas sobre su saldo, consignación o retiro.
El caso de Chile estuvo relacionado directamente con la oficina. Un mensaje que advertía sobre supuestos problemas con el correo corporativo alcanzó el 20 % de clics. La posibilidad de perder acceso a una herramienta esencial de trabajo puede llevar a una persona a actuar rápidamente, especialmente cuando el mensaje aparenta venir del equipo de soporte técnico.
Más datos: Así operan las estafas navideñas que pueden dejarte sin plata para los regalos
Y en Brasil, ni siquiera hizo falta mencionar asuntos laborales. Una promoción de huevos de Pascua consiguió que el 15 % de los participantes abriera el enlace. Una oferta aparentemente inofensiva también puede convertirse en una puerta de entrada para un engaño.
Las cifras proceden de simulaciones de phishing realizadas por Kaspersky, no de estafas reales confirmadas. Además, cada porcentaje corresponde a una prueba específica, por lo que no significa que un país tenga trabajadores más vulnerables que otro.
Lo que sí tienen en común estos cuatro casos es el mecanismo: presentar un asunto reconocible para conseguir que el destinatario interactúe con el mensaje sin comprobar primero su procedencia.
La inteligencia artificial y los temas de oficina también son buenos anzuelos
Los ejemplos latinoamericanos forman parte de un análisis global que incluyó más de 150.000 correos simulados, enviados a trabajadores de 120 países entre enero y septiembre de 2026.
Al revisar los temas que consiguieron más clics en esas pruebas, aparece un resultado curioso: las comunicaciones sobre tecnología e inteligencia artificial encabezaron las categorías analizadas.
Según Kaspersky, las tasas registradas fueron:
- Tecnología e inteligencia artificial: 45 %.
- Salud y seguros: 28 %.
- Políticas internas de tecnología: 26 %.
- Regalos y promociones: 24 %.
- Comunicaciones de recursos humanos: 22 %.
Estos porcentajes corresponden al análisis global de simulaciones y no exclusivamente a trabajadores latinoamericanos. Tampoco representan la proporción de personas que fueron víctimas de un delito real.
Lo interesante es que los primeros lugares no están ocupados únicamente por supuestos premios. También aparecen comunicaciones sobre herramientas tecnológicas, políticas empresariales y procesos administrativos que un empleado podría considerar parte de su rutina.
Y aquí entra otro factor: la inteligencia artificial no solo puede utilizarse como tema para atraer clics. También permite a los delincuentes elaborar mensajes más personalizados, corregir errores de redacción e imitar con mayor facilidad el tono de una comunicación empresarial.
Otros datos: Las tres preguntas que desactivan cualquier estafa hecha con deepfake
Andrés Giarletta, director de Preventas para Américas en Kaspersky, explica que estos ataques “aprovechan la confianza de los empleados en comunicaciones que forman parte de su rutina laboral”.
Un mensaje fraudulento puede dirigir al trabajador hacia una página que imita el inicio de sesión de su correo corporativo. Si introduce allí su usuario y contraseña, esas credenciales pueden terminar en manos de un atacante, que podría utilizarlas para intentar acceder a información o sistemas de la compañía.
Por eso, hacer clic y sufrir un robo de información no son necesariamente lo mismo, aunque seguir un enlace sospechoso sí puede aumentar la exposición al riesgo.
¿Cómo reconocer un correo fraudulento antes de hacer clic?
El phishing consiste en hacerse pasar por una persona, empresa o institución confiable para conseguir información, obtener acceso a cuentas o inducir a la víctima a realizar una acción peligrosa.
La dificultad es que muchos correos fraudulentos pueden parecer legítimos. Incluso pueden utilizar logotipos, nombres de empleados o referencias a procesos reales de la organización.
Por eso, más que buscar errores ortográficos evidentes, conviene incorporar algunas verificaciones a la rutina:
- Revisa la dirección del remitente. Que aparezca el nombre de tu empresa no garantiza que el mensaje sea auténtico. Comprueba el dominio y presta atención a direcciones extrañas o ligeramente modificadas.
- Desconfía de las solicitudes inesperadas. Si un correo te pide actualizar una contraseña, consultar un beneficio laboral o confirmar información financiera, verifica primero que el procedimiento sea legítimo.
- Comprueba los enlaces antes de abrirlos. Un botón puede mostrar un texto aparentemente confiable y llevarte a otra dirección. Si tienes dudas, entra directamente al portal oficial de la empresa desde una dirección que conozcas.
- No tomes decisiones apresuradas por la urgencia del mensaje. Las advertencias sobre bloqueos inmediatos de cuentas o beneficios que están a punto de vencer pueden utilizarse para presionarte.
- Consulta con el área correspondiente. Si recibes un mensaje sobre cesantías, puedes verificarlo con recursos humanos o con el fondo correspondiente. Si habla de problemas técnicos, consulta al equipo de TI mediante sus canales habituales.
Estas recomendaciones coinciden con las orientaciones de la Comisión Federal de Comercio de Estados Unidos sobre cómo reconocer y evitar el phishing.
Una precaución especialmente útil es evitar verificar un correo sospechoso utilizando el teléfono o los enlaces incluidos en ese mismo mensaje. Si todo forma parte de un engaño, podrías terminar comunicándote nuevamente con los estafadores.
¿Qué hacer si ya abriste un enlace sospechoso en el trabajo?
A cualquiera se le puede escapar un clic, especialmente cuando está ocupado resolviendo varios pendientes. Lo importante es reconocer el incidente y actuar antes de que las consecuencias puedan ser mayores.
Si abriste un enlace sospechoso, informa cuanto antes al equipo de seguridad informática de tu empresa. Explica qué mensaje recibiste, qué enlace abriste y si llegaste a introducir información o descargar algún archivo.
Si escribiste tu contraseña en una página sospechosa, debes cambiarla desde el servicio legítimo y avisar al equipo de TI para que revise posibles accesos no autorizados. Si descargaste un archivo, evita ejecutarlo y sigue las indicaciones del personal de seguridad para revisar el dispositivo.
En Colombia también existe la posibilidad de reportar correos de phishing a través de los canales oficiales de ColCERT, que permiten informar sobre mensajes y sitios fraudulentos.
Para las empresas, Kaspersky recomienda combinar herramientas de protección con capacitaciones periódicas y simulaciones que ayuden a identificar comportamientos de riesgo. Según los análisis de efectividad de su plataforma de formación, estos programas pueden reducir la susceptibilidad al phishing del 60 % a niveles de entre el 5 % y el 7 %, aunque se trata de resultados reportados por la propia compañía.
La idea no es que cada trabajador se convierta en un especialista en ciberseguridad ni que sospeche de todos los mensajes que recibe. Se trata de aprender a reconocer cuándo una comunicación merece una segunda revisión, especialmente si solicita información confidencial o intenta llevarnos a un sitio desconocido.
¿Sabías que?
Uno de los correos más convincentes de las simulaciones de Kaspersky ni siquiera ofrecía premios o descuentos. Se trataba de una supuesta notificación sobre una inspección sanitaria, que consiguió una tasa de clics del 92 % entre los destinatarios de esa prueba específica. El resultado forma parte del análisis global de la compañía sobre los señuelos de phishing más efectivos.
Este caso ilustra por qué las comunicaciones administrativas también pueden resultar atractivas para los estafadores. Un asunto relacionado con inspecciones, revisiones o procedimientos internos puede parecer suficientemente serio como para exigir atención inmediata. Y precisamente esa apariencia de normalidad es la que hace que algunos de estos engaños sean tan difíciles de reconocer.
