El 38 % y el 88 % responden a preguntas distintas
Según el Cyber Security Breaches Survey 2025/2026, el 38 % del conjunto de empresas británicas identificó phishing. Entre las empresas que identificaron algún ataque o vulneración de seguridad, el porcentaje fue del 88 %. Son dos lecturas de la misma encuesta, con denominadores diferentes.
El informe, publicado el 30 de abril de 2026, se basa en una encuesta ponderada a 2.112 empresas, realizada entre agosto y diciembre de 2025 sobre los doce meses anteriores. Un ataque identificado no implica una intrusión exitosa; la actividad no detectada queda fuera. Los datos corresponden al Reino Unido. La pregunta práctica es qué acción podría provocar un mensaje sospechoso en su empresa. [1]
del conjunto de empresas británicas
de las empresas que identificaron al menos un ataque o una vulneración de seguridad
Identificado no significa exitoso
Los datos incluyen ataques de phishing identificados, también intentos. No son tasas de éxito de los atacantes ni estimaciones de empresas alemanas o de todo el mundo.
Fuente: DSIT · Cyber Security Breaches Survey 2025/2026 · publicado el 30 de abril de 2026
Muestra: 2.112 empresas; subgrupo que identificó algún ataque o vulneración de seguridad: 1.026. Resultados ponderados.
Reino Unido · trabajo de campo de agosto a diciembre de 2025
Porcentaje de empresas que identificaron phishing en los doce meses anteriores a su entrevista. Los denominadores son distintos: los porcentajes no se suman ni representan una evolución temporal.
Proteger el dominio limita una forma de suplantación
SPF, DKIM y DMARC ayudan a los servicios receptores a comprobar si un mensaje está autorizado a utilizar un dominio. DMARC relaciona el dominio visible del remitente con una comprobación SPF o DKIM alineada y publica cómo se solicita tratar los fallos. Una política de rechazo aplicada dificulta la suplantación de ese dominio exacto. No demuestra quién escribió el mensaje ni que su contenido sea verdadero.
Empiece por los remitentes legítimos: buzones, software de facturación, boletines y servicios externos. Revise su autenticación antes de endurecer la política. Un dominio parecido registrado por otra persona queda fuera de su regla DMARC. Los mensajes enviados desde un buzón real comprometido también pueden superar la comprobación del dominio. [2] [3] [5]
El buzón necesita su propio control de acceso
La autenticación multifactor protege el acceso a la cuenta. CISA recomienda métodos resistentes al phishing, como FIDO2/WebAuthn, que vinculan la autenticación al servicio previsto. Un código de un solo uso no ofrece la misma resistencia.
La comprobación debe ir más allá de si la MFA está activada. ¿Qué cuentas cubre? ¿Qué métodos de inicio de sesión siguen permitidos? ¿Cómo funciona la recuperación? Empiece por administradores y cuentas que manejan facturas o datos sensibles. Asigne a cada excepción un responsable y una fecha de eliminación. Incluso un inicio de sesión bien protegido no permite confirmar que una factura sea correcta. [4]
Una cuenta bancaria nueva exige confirmación independiente
Cuando cambian los datos bancarios, el control decisivo está en el proceso de pago. El FBI recomienda verificar estos cambios directamente con quien los solicita. Utilice un teléfono ya conocido o una vía de contacto distinta acordada previamente. El número incluido en el correo dudoso no es una fuente independiente.
Responder en el mismo hilo tampoco basta si alguien controla el buzón. Recomendamos registrar la comprobación antes de modificar los datos y separar la verificación de la autorización del pago cuando el tamaño del equipo lo permita. La urgencia no debe anular la regla. De lo contrario, la excepción se convierte en la vía más sencilla para eludir el control. [5] [6]
Elegir el control según la vía de ataque
Los controles se complementan. Esta distinción ayuda a resolver una carencia concreta sin esperar que un único ajuste ofrezca una protección completa. [2] [3] [4] [5] [6]
Deslice la tabla horizontalmente para leerla.
| Vía de ataque | Control adecuado | Límite |
|---|---|---|
| Suplantación exacta de su dominio | SPF/DKIM con DMARC aplicado | No protege dominios parecidos independientes |
| Acceso a un buzón real obtenido mediante phishing | MFA resistente al phishing | No valida el contenido de una factura |
| Dominio parecido o nombre visible conocido | Filtrado y comprobación por otra vía | Un nombre familiar no acredita la identidad |
| Datos bancarios modificados en una solicitud | Confirmación independiente antes de autorizar | Las excepciones también deben comprobarse |
Informática y contabilidad deben revisar la misma solicitud
Para una revisión interna breve, utilice una solicitud expresamente ficticia de cambio de cuenta bancaria de un proveedor. Informática explica qué comprobaciones del remitente serían visibles. Contabilidad muestra dónde encontraría un teléfono fiable para devolver la llamada y quién autorizaría el cambio. No modifique datos de pago reales.
Anote cada responsabilidad sin asignar y la siguiente acción concreta. Un inventario incompleto de remitentes, un acceso sin protección y un cambio bancario sin verificar son tareas distintas. Separarlas convierte una petición general de mejorar la protección contra el phishing en trabajo que alguien puede asumir y completar.
Fuentes
- DSIT · Cyber security breaches survey 2025/2026 · 30 April 2026
- NCSC UK · Email security and anti-spoofing
- NCSC Netherlands · Protect domains against phishing · version 2.0
- CISA · Implementing Phishing-Resistant MFA
- FBI · Business Email Compromise
- NCSC UK · Phishing attacks: defending your organisation