- MITRE ATT&CK define el spear phishing como phishing dirigido a una persona, empresa o industria específica; el no dirigido es el de las campañas masivas de spam.
- ENISA (Threat Landscape 2023) define el whaling como un spear phishing contra personas en cargos altos, como ejecutivos o políticos.
- NIST SP 800-63B-4 (julio de 2025) define la resistencia al phishing como una propiedad que no depende de la vigilancia de quien se autentica, y excluye los códigos que se ingresan a mano, como los OTP.
- CISA pide priorizar la MFA resistente al phishing en administradores y otras cuentas de alto valor (2022) y lo repite en sus metas de ciberseguridad de diciembre de 2025.
En mayo de 2025, el responsable de un think tank de Estados Unidos recibió el correo de un supuesto asesor extranjero que le pedía su opinión sobre la península de Corea. Para responder, tenía que escanear un código QR. En junio de 2025, una consultora de asesoría estratégica recibió la invitación a una conferencia que no existía, y el QR llevaba a una página falsa de inicio de sesión de Google.
El FBI documentó esos casos en su alerta FLASH AC-000001-MW, del 8 de enero de 2026, y se los atribuye a Kimsuky, un actor norcoreano. Cada pretexto estaba hecho a la medida del trabajo de quien lo recibía.
El caso es de Estados Unidos y no encontramos uno equivalente publicado por un organismo latinoamericano. Ese ajuste al destinatario es lo que define al spear phishing, y el blanco no tiene que ser una persona: para MITRE ATT&CK, el ataque puede apuntar a una persona, a una empresa o a una industria entera.
Lo que hace "spear" a un phishing es cómo elige a su víctima
La diferencia entre spear phishing y phishing está en la selección del blanco: el atacante decide antes a quién le escribe. MITRE ATT&CK lo dice en la técnica T1566: en el spear phishing, el adversario apunta a "a specific individual, company, or industry", mientras que el no dirigido es el de las campañas masivas de malware por spam.
ENISA, la agencia de ciberseguridad de la Unión Europea, lo describe como una versión más sofisticada del phishing, dirigida a organizaciones o personas específicas. Y nombra un subtipo: el whaling, un spear phishing contra usuarios en cargos altos.
El canal es otro eje. MITRE divide el spear phishing por vía de entrega: adjunto (T1566.001), enlace (T1566.002), servicios de terceros en lugar del correo corporativo (T1566.003) y voz (T1566.004).
Su matriz para móviles, en T1660, recoge el phishing dirigido junto con el smishing por SMS, que ENISA también define por el canal. De esas dos definiciones deducimos que un SMS escrito para una persona en particular es smishing y spear phishing a la vez. Las diferencias entre phishing, smishing y vishing están en phishing y smishing.
La personalización sale de lo que ya está expuesto
El atacante arma el mensaje con lo que la organización y su gente ya expusieron, en sitios abiertos, redes sociales o filtraciones, y lo reúne antes de escribir. MITRE modela esa etapa como reconocimiento, la táctica TA0043, y sus técnicas describen qué se busca:
- Identidad de las víctimas (T1589) — nombres de empleados, direcciones de correo y también credenciales o la configuración de la autenticación multifactor.
- Roles (T1591.004) — quién es personal clave y a qué datos o recursos tiene acceso.
- Redes sociales (T1593.001) — anuncios de negocio e información sobre los roles, las ubicaciones y los intereses del personal.
En T1589 y T1591, MITRE escribe que lo reunido puede abrir oportunidades de acceso inicial, y pone el phishing como ejemplo.
Las filtraciones son la otra fuente: el CERT.br, el centro de respuesta a incidentes de Brasil, advierte en su cartilla sobre fuga de datos de enero de 2024 que después de una filtración se esperan más intentos de estafa por mensajes, correos y llamadas, "desde phishing direcionado" hasta la extorsión.
La guía conjunta de CISA, NSA, FBI y MS-ISAC de octubre de 2023 describe el resultado: atacantes que se hacen pasar por supervisores, colegas de confianza o personal de TI para enviar correos dirigidos y obtener credenciales.
Un mensaje a la medida borra las señales que se entrenan para detectar
Un mensaje a la medida pierde al menos una de las señales que se enseñan a buscar. En su guía de 2021 para evitar la ingeniería social, CISA lista como indicadores fuertes de phishing el saludo genérico, del tipo "Estimado cliente", y la falta de datos de contacto en la firma. Un correo que nombra al destinatario y el tema en el que trabaja no tiene saludo genérico. CISA no lo plantea sobre el spear phishing: aplicar su lista a un mensaje personalizado es una inferencia de este artículo.
Según la alerta del FBI, las operaciones de quishing como estas suelen terminar con el robo y la reutilización del token de sesión, que esquiva la autenticación multifactor sin disparar las alertas habituales de intento fallido. Después, los atacantes se instalan en la organización y envían un segundo spear phishing desde el buzón comprometido, con lo que el remitente pasa a ser una cuenta real.
La misma alerta recomienda confirmar el origen de un código QR por otra vía, por ejemplo contactando directamente a quien lo envió. Aplicar ese criterio a cualquier pedido inusual que llega con el nombre correcto es una extensión nuestra.
El control que resiste no depende de que la persona note el engaño
NIST define la resistencia al phishing sin contar con que la persona detecte el fraude. La revisión 4 de la SP 800-63B, publicada en julio de 2025, lo formula en su sección 3.2.5: es la capacidad del protocolo de autenticación de impedir que los secretos y las salidas válidas del autenticador lleguen a un verificador impostor "without relying on the vigilance of the claimant". Lo logra ligando criptográficamente la respuesta al canal o a la identidad del verificador.
La sección agrega que no importa cómo llegó la persona al verificador falso, por un buscador o por un correo. Si se lleva esa frase al spear phishing (el paso es nuestro, no de NIST), lo convincente del mensaje deja de pesar: para un autenticador resistente, un correo hecho a la medida y uno masivo y torpe son el mismo ataque.
La norma excluye de forma explícita a los autenticadores que exigen ingresar su salida a mano, como los códigos OTP y los fuera de banda: "SHALL NOT be considered phishing-resistant", porque el ingreso manual no ata el código a la sesión. Las contraseñas tampoco lo son. La guía conjunta de CISA de 2023 nombra como resistente la MFA basada en estándares FIDO o en PKI. El detalle está en la comparación por factor.
Las cuentas con más acceso van primero
CISA pide empezar por las cuentas que más le sirven a un atacante.
Su fact sheet de octubre de 2022 llama a la MFA resistente al phishing el estándar de oro e insta a los administradores de sistemas y otros "high-value targets" a migrar. Los define como las pocas cuentas con accesos o privilegios adicionales que tiene toda organización, y da ejemplos: el administrador de sistemas, los abogados con permisos de e-discovery para leer el correo del personal y el equipo de recursos humanos.
La guía conjunta de 2023 pide priorizar a administradores y usuarios privilegiados. Las metas de desempeño de ciberseguridad de CISA, versión 2.0 de diciembre de 2025, lo repiten en la meta 3.E: ordenan la MFA con la resistente al phishing primero y el SMS o la voz al final, y piden priorizar las cuentas de mayor riesgo.
CISA tiene además una guía de comunicaciones móviles (versión 2.0, noviembre de 2025) para personas que son blanco dirigido, y allí dice que la MFA por SMS no es autenticación fuerte para ellas.
Esa guía le habla a cargos altos de gobierno, militares y políticos. Llevarla a los empleados con acceso privilegiado de una empresa es una extensión nuestra, aunque para esas cuentas el fact sheet de 2022 y las metas de 2025 sí piden priorizar la MFA resistente al phishing.
Juntamos dos fuentes que no se citan entre sí: MITRE describe que el atacante busca quién tiene acceso a qué (T1591.004), y CISA pide proteger primero esas cuentas.
Qué hace VU
Autentica, la capacidad de autenticación de VU, soporta siete factores: rostro, TOTP, OTP por SMS, OTP por correo, enlace mágico, contraseña y documento de identidad. Qué factor exige cada cuenta lo decide la organización. Para las cuentas con más acceso, el criterio es NIST SP 800-63B-4: la norma deja fuera por texto expreso a los OTP y a la contraseña, y cualquier otro factor hay que contrastarlo con la definición de la sección 3.2.5 antes de asignarlo.
La capacidad de VU que aporta contexto sobre el dispositivo es Protege contra el fraude, con reconocimiento del equipo desde el que se opera a partir de señales de browser y de mobile. La decisión sobre qué hacer con esa señal, y el monitoreo de la operación, se resuelven en otra capa que VU no provee.
Cuanto mejor armado está un spear phishing, menos sirve pedirle a la persona que lo note, y la defensa que resiste es la que no depende de eso.
agenda una conversación.
