Spear phishing: por qué un mensaje falso sabe tanto de ti

Recurso complementario de la lección “Phishing: cómo reconocerlo y prevenirlo” — curso Privacidad online

El spear phishing, o phishing dirigido, es un mensaje fraudulento escrito para una sola persona: usa tu nombre, tu trabajo, a un compañero o un hecho reciente para que te resulte familiar. Este recurso mira el phishing desde la privacidad: de dónde salen esos detalles, cómo comprobar qué hay ya publicado sobre ti y cómo dejar menos material al próximo mensaje.

A. Por qué importa

Lo habitual es explicar el phishing, el fraude que se hace pasar por una persona o una entidad de confianza para conseguir tus datos, enseñando a reconocer mensajes y páginas falsas, y de eso se ocupa el curso Seguridad en línea. Pero el phishing es también una forma de reunir datos personales: una contraseña, un número de cuenta, la respuesta a una pregunta de seguridad. Y son los datos personales los que hacen creíble un mensaje.

Aquí entra la privacidad. En este curso significa tres preguntas: qué se sabe de ti, quién lo sabe y qué decides que se sepa. Un mensaje personalizado responde a las dos primeras, escrito por alguien a quien no elegiste. Ver cómo se construyó es el punto de partida para cambiarlo.

Que un mensaje te convenza no es culpa tuya. Estos mensajes están hechos para parecer normales, y darte cuenta es una habilidad que se entrena, no un examen que se aprueba o se suspende.

Qué dicen las fuentes

INCIBE, el Instituto Nacional de Ciberseguridad, describe el spear phishing como un ataque «altamente personalizado». Explica que la información sobre la futura víctima se reúne «a través de Internet, las filtraciones de datos y las redes sociales principalmente». Y recomienda limitar lo que compartes en línea: «revisa la configuración de privacidad en tus redes sociales y comparte solo la información necesaria».

En otro artículo, de abril de 2026, INCIBE afirma: «Una de las principales fuentes de datos robados son las filtraciones de información.» Añade que información pública, como una fecha de nacimiento visible en redes sociales o fotografías donde se ve una dirección, permite «construir perfiles detallados y lanzar ataques personalizados mucho más creíbles».

La guía que publican juntas la Agencia Española de Protección de Datos (AEPD), la autoridad que vela en España por la protección de los datos personales, e INCIBE recomienda revisar en las redes sociales quién ve tus publicaciones, quién puede etiquetarte y si tu perfil es visible para los buscadores. Ante la duda, INCIBE aconseja contrastar la información «directamente con la persona o empresa que supuestamente te está contactando a través de otras vías».

B. Conceptos clave

Cinco ideas que conectan el phishing con lo que se sabe de ti.

El phishing como recogida de datos

Un mensaje, una llamada o una página web que finge venir de alguien de confianza para conseguir algo de ti. Con frecuencia ese algo es un dato: una contraseña, un código de un solo uso, los datos de la tarjeta.

Por qué te importa: Cambia la pregunta que te haces. No solo «¿es de verdad?», sino también «¿qué me está pidiendo que entregue?».

El spear phishing

Un mensaje de phishing escrito para una persona o un grupo pequeño, con detalles que encajan: un nombre, un cargo, un compañero, un viaje. En inglés, spear significa «lanza»: en lugar de echar una red, se apunta a una pieza concreta. Puede pedirte que inicies sesión desde un enlace o que abras un adjunto.

Por qué te importa: Un mensaje que menciona algo cierto sobre ti parece fiable. Saber que los detalles ciertos se pueden encontrar o filtrar te ayuda a separar «este mensaje me conoce» de «este mensaje viene de alguien que conozco».

Lo que se encuentra de ti

Lo que una persona desconocida puede descubrir sin preguntarte: lo que publicas en abierto, lo que otras personas publican sobre ti, los perfiles que muestran tu empresa y tu cargo, los listados con tu teléfono, tu dirección o tu correo.

Por qué te importa: Es la materia prima del spear phishing y la parte en la que más puedes influir. Cada detalle parece inofensivo; juntos cuentan una historia.

Las brechas de datos

Una brecha de datos es un incidente en el que los datos que guarda un servicio quedan expuestos o son sustraídos; a menudo se habla también de «filtración». No puedes deshacerla, pero sí averiguar si tu correo apareció en alguna y cambiar las contraseñas que se expusieron.

Por qué te importa: Así una filtración antigua no abre puertas nuevas.

Si ya has hecho clic

Pasa, y se puede afrontar con calma.

INCIBE propone cambiar las contraseñas, sobre todo las del banco, el correo y las redes sociales; avisar al banco o a los servicios afectados para que puedan bloquear cuentas o vigilar movimientos sospechosos; revisar qué datos pueden haberse expuesto y las opciones de recuperación de tus cuentas (correo, teléfono); y denunciar el incidente, en cualquier comisaría o en los portales en línea de cuerpos policiales como la Policía Nacional y la Guardia Civil. Si tienes dudas, el 017 de INCIBE es un servicio gratuito y confidencial que atiende también por WhatsApp (900 116 117) y Telegram (@INCIBE017), cada día de 8:00 a 23:00.

Por qué te importa: Una secuencia clara convierte un momento inquietante en una lista corta de pasos, y no tienes que recorrerla en solitario.

C. Un ejemplo concreto: Elena y la invitación como ponente

Elena tiene 35 años y trabaja en marketing en Madrid; a diario maneja datos de clientes. Un lunes le llega un correo que parece de la organización de un congreso del sector.

Usa su nombre completo y su cargo, menciona la charla que dio allí la primavera pasada, nombra al compañero con quien habló y la invita a volver. Para «confirmar su plaza», debe iniciar sesión en un portal de ponentes con su correo y su contraseña del trabajo y subir las diapositivas del año anterior.

Cada detalle era cierto, y por eso nada parecía raro.

Lo que la hizo parar fue que le pedían iniciar sesión desde un enlace. Buscó el contacto de la organización en la web del congreso y escribió para preguntar. No habían enviado ninguna invitación.

Qué cambió cuando Elena rastreó los detalles

Esa noche, con curiosidad más que alarma, hizo el ejercicio de más abajo y rastreó de dónde salía cada detalle:

• Su nombre, su cargo y su empresa estaban en su perfil profesional público.
• La charla y el compañero aparecían en una publicación pública, con una foto de los dos en el escenario.
• Su correo del trabajo seguía el mismo patrón que los de sus compañeros, que figuran en un listado público.
• Una comprobación de brechas mostró su correo en dos filtraciones de servicios que había olvidado, y en una de ellas se había expuesto también una contraseña.

Tomó tres decisiones. Seguía usando esa contraseña en dos cuentas, así que la cambió en ambas y activó un segundo factor en su correo principal. Limitó la publicación del congreso a sus contactos. Y reenvió el correo fraudulento al departamento de informática de su empresa, para que sus compañeros pudieran estar avisados.

Mantuvo público su perfil profesional, porque su trabajo lo necesita. También eso fue una decisión, tomada ahora sabiendo para qué puede servir.

D. Pruébalo tú: mira lo que podría encontrar quien intente estafarte (20 minutos)

Cuatro pasos breves. No son un examen: te enseñan lo que se encuentra de ti para que decidas qué hacer con ello.

Paso 1 — Comprueba tu correo en las brechas de datos (5 minutos)

• Escribe tu correo principal en un servicio de comprobación de brechas, como Have I Been Pwned (en inglés), que INCIBE recomienda. Sus preguntas frecuentes indican que la web no registra explícitamente las búsquedas, aunque usa analítica y datos de diagnóstico.
• Anota cada brecha y qué expuso: correos, contraseñas, teléfonos.
• No encontrar nada es información útil, aunque no garantiza que tus datos no estén en otro sitio. Encontrar algo no dice nada de tus hábitos: las brechas ocurren en las empresas.

Paso 2 — Mírate desde fuera (6 minutos)

• Busca tu nombre y apellidos junto con tu ciudad, tu empresa o tu profesión. INCIBE recomienda este ejercicio, que en inglés se llama egosurfing, para ser consciente de tu huella digital.
• Abre tus perfiles principales sin iniciar sesión, o en una ventana privada del navegador, para ver más o menos lo que ve una persona desconocida que no te sigue.
• Haz una lista de los detalles que alguien podría usar: empresa, cargo, compañeros, nombres de familiares, fechas de viaje, tu correo o el patrón de tus direcciones.

Paso 3 — Escribe el mensaje que podrían enviarte (4 minutos)

• Elige tres detalles de la lista e imagina un mensaje breve y creíble construido con ellos.
• Apunta qué te pediría que hicieras: iniciar sesión, pagar, enviar un documento, confirmar un dato.
• Ese es el mensaje para el que merece la pena tener una respuesta pensada.

Paso 4 — Haz uno o dos cambios (5 minutos)

• Si una brecha expuso una contraseña que sigues usando, cámbiala en todas las cuentas donde la uses.
• Elige un detalle del paso 2 que no necesites mostrar en público y limita quién puede verlo.

• Si tu teléfono, tu dirección o tu correo aparecen en los resultados de búsqueda, Google ofrece la herramienta «Resultados sobre ti» para pedir su retirada. Según Google, la información sigue en la web de origen: para quitarla hay que dirigirse a quien gestiona esa web. La guía de la AEPD y de INCIBE recuerda que puedes ejercer el derecho de supresión («derecho al olvido») ante su titular y reclamar ante la AEPD si no obtienes respuesta.

El objetivo no es desaparecer. Es saber qué puede encontrar una persona desconocida y decidir qué parte de eso sigue a la vista.

Ya tratado en el curso Seguridad en línea

Cómo reconocer el phishing hecho para convencer
Cubre el lado de la seguridad: la urgencia, los dominios parecidos y el hábito de entrar por tu propio camino, mientras que este recurso mira los datos personales que hacen creíble un mensaje.

E. Vídeos, artículos y otros recursos

Primero las fuentes institucionales españolas y después las herramientas del ejercicio.

Fuentes institucionales españolas

INCIBE — Spear phising: cuando un correo fraudulento va dirigido a una víctima concreta
Qué es el phishing dirigido, cómo se reúne información y cómo protegerte. Actualizado en diciembre de 2024.
https://www.incibe.es/ciudadania/blog/spear-phising-cuando-un-correo-fraudulento-va-dirigido-una-victima-concreta

INCIBE — ¿De dónde obtienen los ciberdelincuentes nuestros datos?
Artículo de abril de 2026 sobre filtraciones e información pública.
https://www.incibe.es/ciudadania/blog/de-donde-obtienen-los-ciberdelincuentes-nuestros-datos

AEPD e INCIBE — Privacidad y seguridad en Internet
Guía conjunta con fichas sobre phishing, redes sociales y buscadores.
https://www.aepd.es/guias/guia-privacidad-y-seguridad-en-internet.pdf

INCIBE — Cómo denunciar si has sido víctima de un fraude o delito
Dónde presentar una denuncia.
https://www.incibe.es/ciudadania/ayuda/denuncia

INCIBE — Tu Ayuda en Ciberseguridad
Servicio nacional del 017 y sus canales de contacto.
https://www.incibe.es/linea-de-ayuda-en-ciberseguridad

Herramientas y documentación de las plataformas

Have I Been Pwned — FAQs
Qué hace el servicio y cómo trata las búsquedas. En inglés.
https://haveibeenpwned.com/FAQs

Ayuda de Búsqueda de Google — Buscar y retirar información de contacto personal de los resultados de la Búsqueda de Google
Cómo pedir que se retiren de los resultados tu teléfono, dirección o correo, y qué sigue en la web de origen.
https://support.google.com/websearch/answer/12719076?hl=es

Enlaces comprobados en octubre de 2026. Si una dirección cambia, buscar el título en el sitio del organismo suele ayudar a encontrarla.

F. El Framework Cyber Welfare: Competencias, Conciencia, Comportamiento Seguro

Este recurso se apoya en el pilar Conciencia, en el nivel FL2 – Iniciado: entender cómo se puede usar lo que se sabe de ti y elegir qué dejar a la vista.

Competencias

• Comprobar si tu correo ha aparecido en una brecha conocida.
• Ver tus perfiles más o menos como los ve una persona desconocida.
• Seguir con calma la lista corta de pasos después de un clic.

Conciencia

• Reconocer que un mensaje que sabe cosas ciertas de ti se ha montado.
• Saber de dónde salen esos detalles: publicaciones públicas y filtraciones antiguas.
• Ver el phishing como recogida de datos.

Comportamiento Seguro

• Comprobar una petición inesperada por un canal que hayas encontrado tú.
• Cambiar una contraseña expuesta en todas las cuentas donde la uses.
• Dejar público solo lo que tengas un motivo para mostrar.

G. Preguntas para detenerte a pensar

• ¿Qué tres detalles tuyos harían más convincente un mensaje fraudulento y dónde puede encontrarlos una persona ajena?
• ¿Alguna cuenta antigua que ya no usas comparte contraseña con algo importante?
• Cuando un mensaje sabe algo cierto de ti, ¿cuál es tu primera comprobación?

H. Qué hacer ahora

Las recomendaciones (R) y las medidas de seguridad (MS) de la base de datos de Cyber Welfare que se aplican más directamente a este tema.

1. Antes de actuar ante un mensaje

• R16 — Desconfía de los correos que se hacen pasar por el banco: al banco se entra por la puerta que conoces: si un mensaje te pide datos, contacta con la organización por los medios que ya tienes.
• R17 — No abrir adjuntos desconocidos: antes, averigua quién te los envía y por qué, incluso cuando el mensaje use tu nombre.
• R23 — Seguir solo a personas conocidas en redes sociales: tu círculo decide quién te ve: las personas desconocidas no ven los detalles que compartes con tus contactos.

Compromiso mínimo: la próxima vez que un mensaje sepa algo cierto de ti y te pida actuar, compruébalo por un canal que hayas encontrado tú.

2. Que los datos recogidos valgan menos

• R4 — Proteger las cuentas con un segundo factor: la defensa que aguanta cuando la contraseña cede: empieza por tu correo principal. INCIBE lo resume así: «tendrían tu contraseña, pero no podrían acceder al servicio sin ese segundo factor».
• R29 — Mensajes enviados en tu nombre: qué hacer cuando un contacto te avisa: si una cuenta tuya cae en manos ajenas, pide a tus contactos que desconfíen de los mensajes recientes que salgan de ella.

Compromiso mínimo: comprueba tu correo principal en un servicio de comprobación de brechas y cambia cada contraseña expuesta que sigas usando.

En breve

• El spear phishing usa detalles ciertos sobre ti para parecer familiar: la familiaridad se ha montado, no se ha ganado.
• Esos detalles pueden venir de lo que se encuentra en línea y de filtraciones antiguas.
• Puedes comprobar tu correo en las brechas conocidas y elegir qué queda público.
• Si has hecho clic, actúa sobre lo que compartiste: cambia las contraseñas, avisa al banco o al servicio afectado y denuncia. El 017 puede orientarte.

Recursos relacionados en este curso

• Llamadas spam: de dónde sale tu número y cómo reducirlas
• Estafas con voz clonada: cómo los deepfakes usan lo que publicas
• Palabra clave familiar: cómo frenar estafas con voz clonada
• Privacidad en redes sociales: revisa tus ajustes en 10 minutos

Descubre más recursos complementarios de los cursos en línea del Programa Protege tu Privacidad Digital.