Phishing en Colombia

¿Qué es el phishing?

El phishing es un tipo de estafa en el que los ciberdelincuentes se hacen pasar por entidades legítimas —bancos, empresas o instituciones del Estado— para obtener información confidencial de las víctimas. Envían correos, mensajes de texto o mensajes en redes sociales que parecen auténticos pero contienen enlaces maliciosos o solicitan datos como contraseñas o números de tarjetas. La finalidad es engañar al usuario para que ingrese sus credenciales en un sitio fraudulento o descargue un archivo infectado. Una vez comprometida la cuenta, el atacante la usa para robar dinero, suplantar la identidad o moverse dentro de la red corporativa.

Cómo funciona el phishing en Colombia

El ataque típico contra una empresa colombiana sigue un guion probado: primero, el atacante estudia a la víctima en redes sociales y sitios públicos —cargos, proveedores, eventos—; después envía un mensaje verosímil (una factura pendiente, un enlace de la «DIAN», una alerta del banco, un archivo del «jefe»); si la víctima muerde, entrega credenciales o ejecuta un adjunto; y a partir de ahí el atacante tiene dos caminos: vaciar cuentas mediante transferencias no consentidas, o usar ese acceso inicial para moverse por la red, robar información y desplegar ransomware. Por eso el phishing no es «un problema del usuario»: es la puerta de entrada del 74% de los ataques.

Principales modalidades en el país

• Phishing por correo: el clásico. Suplantación de bancos, de la DIAN, de proveedores y de plataformas de pago. Sigue siendo el vector número uno.
• Smishing (SMS) y mensajes de WhatsApp: falsas entregas de paquetes, supuestos bloqueos de cuentas, enlaces acortados. El canal que más crece porque casi nadie lo filtra.
• Vishing: llamadas en las que el atacante se hace pasar por el banco, por soporte técnico o por un directivo pidiendo una transferencia urgente. Con voces clonadas por IA, cada vez más convincentes.
• Spear phishing: correos dirigidos a personas concretas —el contador, la tesorera, el gerente— con información real sobre la empresa. Pocos envíos, tasa de éxito alta.
• Suplantación de sitios web: páginas idénticas a las del banco o del proveedor, con dominios parecidos, para cosechar credenciales. La Policía la registra como una de las modalidades más frecuentes.

El phishing en cifras: datos verificados para Colombia

Estas son cifras con fuente pública, no estimaciones:

• 74% de los ciberataques registrados en Colombia en 2024 se originó en un correo electrónico fraudulento (ACIS, noviembre de 2025, con datos de la Policía Nacional y Fortinet: ACIS).
• 1.362 millones de ciberataques recibieron los bancos colombianos en 2023, con pérdidas de 75.000 millones de pesos en reposiciones e indemnizaciones por operaciones no autorizadas; en 2024 se registraron más de 240.000 quejas por fraudes tecnológicos en unas 50 entidades (Bayport, con datos de Asobancaria/Superfinanciera).
• 90% de los fraudes digitales en Colombia tiene su origen en técnicas de ingeniería social y el 75% de los casos de fraude bancario se ejecuta a través de internet (Asobancaria: Tecnogus).
• 20% de los fraudes bancarios de 2024 ya se cometieron usando mecanismos de inteligencia artificial, según el presidente de Asobancaria; los bancos reciben 94 ciberataques por segundo (Impacto TIC).
• 40.316 denuncias por suplantación de identidad recibió la Superintendencia de Industria y Comercio desde 2020 ante su Delegatura para la Protección de Datos Personales (junio de 2026: Minuto60).

Evalúe la exposición de su empresa: autodiagnóstico

Antes de contratar nada, respóndase estas preguntas con honestidad. Cada «no» es una puerta abierta:

• ¿Cuándo fue la última vez que probaron si sus empleados caen en un phishing simulado? ¿Lo han hecho alguna vez?
• ¿Tienen autenticación multifactor activada en el correo corporativo, la banca empresarial y los accesos remotos?
• Si mañana un atacante compromete el correo de su tesorero, ¿qué podría hacer con ese acceso? ¿Hay límites, aprobaciones dobles, alertas?
• ¿Sus empleados saben qué hacer si reciben un correo sospechoso —a quién reportarlo, en cuánto tiempo— o cada uno improvisa?
• ¿Han verificado que sus filtros de correo realmente bloquean los dominios de suplantación más usados contra su sector?

En nuestra experiencia, la mayoría de las empresas colombianas responde «no» a tres o más. Eso no es una vergüenza: es el punto de partida. Lo peligroso es no saberlo.

Qué pedir cuando contrate una prueba de ingeniería social

Una campaña de phishing simulado bien hecha no es «mandar un correo falso y ver quién cae». Esto es lo que debe exigir:

• Consentimiento y reglas claras: la prueba se acuerda por escrito con la dirección —quiénes participan, qué técnicas se usan, qué está fuera de límites—. Sin ese acuerdo, no hay prueba.
• Escenarios realistas para su sector: no plantillas genéricas, sino correos y mensajes que imitan los ataques reales que sufre su industria en Colombia (suplantación de su banco, de la DIAN, de sus proveedores).
• Más de un canal: correo, SMS/WhatsApp y —si aplica— vishing. Los atacantes no se limitan al correo; la prueba tampoco debería.
• Medición útil, no cacería de brujas: el reporte debe mostrar tasas por área y por escenario, sin señalar públicamente a individuos. El objetivo es entrenar, no castigar.
• Sesión de resultados con recomendaciones: qué falló, por qué falló y qué cambiar —técnico (filtros, MFA, procedimientos) y humano (entrenamiento dirigido)—.
• Re-test: volver a probar después del entrenamiento para medir si la preparación mejoró de verdad.

Normativa aplicable en Colombia

El phishing toca dos leyes de frente. La Ley 1273 de 2009 tipificó como delitos la suplantación de sitios web, la violación de datos personales, el hurto por medios informáticos y la transferencia no consentida de activos —las modalidades más frecuentes reportadas por la Policía—. La Ley 1581 de 2012 obliga a las empresas a proteger los datos personales que manejan, con la Superintendencia de Industria y Comercio como autoridad de vigilancia. Probar de forma controlada la resistencia de su personal y sus sistemas es la evidencia más directa de diligencia frente a ambas.

Cómo DragonJAR evalúa su exposición al phishing

DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012. Nuestras evaluaciones de ingeniería social se diseñan según el perfil de cada organización: simulaciones de phishing personalizadas con escenarios reales de su sector, medición por áreas sin señalar individuos, informe ejecutivo e informe técnico en español con cada hallazgo verificado, y re-tests sin costo para confirmar que el entrenamiento funcionó. Las integramos además dentro de pruebas de penetración completas, porque el phishing rara vez viene solo: suele ser la puerta de entrada a la red. Antes de cualquier prueba firmamos un acuerdo de confidencialidad. Atendemos organizaciones en toda Colombia de forma remota y presencial.

Evalúe la exposición de su empresa al phishing con DragonJAR

Si su organización opera en Colombia —en banca, comercio, telecomunicaciones, salud, educación o el sector público—, complete el formulario y cuéntenos brevemente cuántos usuarios tienen y qué les preocupa. Un especialista le responderá en un máximo de 24 horas hábiles para agendar una llamada de descubrimiento sin costo: revisamos su exposición actual, le proponemos una evaluación ajustada a su realidad y le enviamos una cotización clara. Sin compromiso y sin presión comercial.

Conclusión

El 74% de los ataques en Colombia empieza con un correo fraudulento, el 90% de los fraudes digitales nace de la ingeniería social y uno de cada cinco fraudes bancarios ya usa inteligencia artificial. El phishing no es el ataque del futuro: es el del presente, y su empresa ya está en la lista de objetivos. La pregunta no es si lo intentarán, sino si usted lo sabrá antes que ellos. Si quiere esa certeza, el siguiente paso es una conversación.