En resumen: los mensajes de phishing bloqueados por Infobip crecieron un 94% en 2025 y ya suponen casi la mitad de todo el contenido malicioso que detecta. Lo relevante para tu negocio no es que puedan atacarte: es que pueden hacerse pasar por ti ante tus clientes, por email, por SMS y por WhatsApp. Y las defensas contra eso —autenticación del dominio, canales verificados, coherencia de marca— no son trabajo de un antivirus, son trabajo de marketing.
¿Qué dice exactamente el informe de Infobip sobre el phishing?
El Fraud & Security Trends 2026 de Infobip registra un aumento del 94% en mensajes de phishing bloqueados durante 2025, y un 77% más de mensajes dañinos detectados en el conjunto de su plataforma.
Conviene precisar qué mide ese dato, porque casi ningún medio lo hace. No es un censo mundial del fraude: son los mensajes que una plataforma concreta bloqueó, analizando miles de millones de interacciones a través de SMS, voz, email, WhatsApp y RCS. El propio informe advierte de que ese 77% refleja dos cosas a la vez, más actividad delictiva y más capacidad de detección. Aun así, el dato importante es de proporción, no de volumen: el phishing pasó de representar el 45% del contenido dañino bloqueado en 2024 al 49% en 2025.
Es decir, casi uno de cada dos mensajes maliciosos es un intento de suplantación. El informe lo atribuye a la industrialización de las campañas de robo de credenciales.
| Tipo de contenido bloqueado | Cuota en 2025 |
|---|---|
| Phishing (robo de credenciales, suplantación, secuestro de cuentas) | 49,0% |
| Apuestas sin licencia | 26,4% |
| Otras estafas (fraude financiero, soporte técnico falso) | 16,0% |
| Incumplimientos normativos | 7,3% |
| Contenido explícito | 1,3% |
Un apunte de contexto para no perder de vista la escala del canal: el SMS supuso el 62% de todo el tráfico de la plataforma en 2025. Buena parte de este fraude no llega por correo, llega al móvil.
¿Por qué los consejos de siempre para detectar phishing ya no funcionan?
Porque casi todas las señales que enseñábamos a detectar —faltas de ortografía, diseño descuidado, traducciones raras— eran consecuencia de que el atacante escribía mal. La automatización ha eliminado exactamente esas señales.
Hay un dato del informe que lo ilustra mejor que cualquier explicación: la detección de fraude oculto dentro de imágenes creció un 628% en un solo año. Los atacantes han empezado a meter el contenido malicioso dentro de una imagen precisamente para esquivar los filtros que analizan texto. Si el propio sistema de filtrado tiene que aprender a mirar dentro de las imágenes, la idea de que tu cliente va a detectar el engaño leyendo con atención se sostiene poco.
| Señal clásica | Por qué ya no sirve | Qué la sustituye |
|---|---|---|
| Faltas de ortografía y gramática | La IA redacta sin errores en cualquier idioma | Verificar el remitente, no el texto |
| Diseño pobre o desalineado | Clonar una plantilla es trivial | Coherencia con lo que esa marca suele enviar |
| Saludo genérico tipo «Estimado cliente» | La personalización está automatizada | Que el mensaje responda a algo que tú iniciaste |
| Texto sospechoso a simple vista | El contenido se esconde dentro de imágenes | Autenticación técnica del canal |
| Urgencia exagerada | Sigue siendo válida, pero muchas marcas reales abusan de ella | Canales de contacto declarados por la empresa |
Fíjate en la columna de la derecha. Ninguna de esas defensas depende de que el cliente sea listo o esté atento. Todas dependen de que tú, como empresa, hayas hecho tu trabajo antes.
¿Qué es la suplantación de marca y por qué te afecta aunque no te hackeen?
La suplantación de marca consiste en usar tu nombre, tu logotipo y tus canales para engañar a tus clientes. No necesitan entrar en tus sistemas: les basta con parecerse a ti lo suficiente.
Aquí está el malentendido que hace que muchas pymes no reaccionen. Piensan en ciberseguridad como en protegerse a sí mismas: antivirus, contraseñas, copias de seguridad. Pero en un ataque de suplantación tú no eres el objetivo, eres el disfraz. El daño lo sufre tu cliente y la factura reputacional la pagas tú.
El informe de Infobip lo formula con una frase que debería estar en la pared de cualquier departamento de marketing: cuando algo falla en una comunicación, el usuario no culpa al defraudador, culpa a la marca. Da igual que técnicamente no hayas hecho nada mal. La confianza que se erosiona es la tuya.
¿Por qué el phishing de paquetería es la única categoría que está bajando?
Porque la gente ha aprendido a reconocerlo. Los mensajes que suplantan a empresas de mensajería y servicios postales cayeron un 30% interanual, el único descenso registrado dentro del phishing.
Este es el dato más esperanzador del informe y también el más útil para ti. Infobip lo interpreta de forma explícita: la concienciación sostenida del consumidor funciona, y ese mismo resultado es alcanzable en cualquier otra categoría de fraude con educación constante y adaptada al canal. Entre sus cinco recomendaciones a las empresas está educar a los clientes sobre las amenazas, y añade que hacerlo construye precisamente la confianza de marca que el fraude erosiona.
Traducido a lo práctico: explicarle a tu cliente cómo te comunicas y qué no vas a pedirle nunca no es una nota legal enterrada en el pie de página. Es una medida de seguridad con eficacia demostrada, y es contenido. O sea, marketing.
¿Qué son SPF, DKIM y DMARC?
Son tres registros DNS que certifican que un correo sale realmente de tu dominio. Sin ellos, cualquiera puede enviar emails que aparenten venir de tu empresa, y los tuyos legítimos acaban en spam.
En corto: SPF declara qué servidores tienen permiso para enviar en tu nombre. DKIM firma criptográficamente cada mensaje para demostrar que no ha sido manipulado. DMARC le dice al servidor que recibe qué hacer cuando algo no cuadra: ignorarlo, mandarlo a cuarentena o rechazarlo.
Y aquí está el motivo por el que esto es tu terreno: es exactamente el mismo trabajo que determina si tus campañas llegan a la bandeja de entrada. Gmail y Yahoo empezaron a exigir estos requisitos en febrero de 2024, Microsoft se sumó en mayo de 2025 para Outlook y Hotmail, y durante 2026 Google los ha ido extendiendo más allá de los remitentes masivos. Los dominios sin autenticar sufren peores tasas de entrega incluso en correos transaccionales.
La medida que impide que suplanten tu dominio es la misma que hace que tu newsletter no acabe en spam. Un cliente que te contrata para email marketing y otro que te contrata «por seguridad» te están pidiendo el mismo trabajo con dos nombres distintos.
¿Cómo se protege una marca en SMS y WhatsApp, donde no hay dominio que verificar?
Con canales de mensajería verificados. En SMS el destinatario no puede inspeccionar un remitente ni comprobar un enlace antes de tocarlo, así que la única defensa práctica es que tu marca sea identificable de origen.
Esto importa más de lo que parece porque, como decíamos, el SMS concentró el 62% del tráfico analizado. Y es el canal donde el consejo clásico se cae del todo: en un móvil, con un mensaje de dos líneas y un enlace acortado, no hay dominio que mirar ni ratón que pasar por encima.
El informe apunta a dos alternativas que resuelven justo eso. RCS ofrece mensajería enriquecida con identidad de remitente verificada, es decir, tu nombre y tu marca autenticados por el propio operador. WhatsApp permite comunicación empresarial verificada en los mercados donde es el canal dominante, que en España son prácticamente todos. En ambos casos el cliente ve una marca verificada, no un número desconocido.
Para una pyme la conclusión operativa es sencilla: si vas a mandar avisos, confirmaciones o recordatorios por móvil, hazlo desde un canal verificado y con un remitente estable. Un número distinto cada vez es la mejor forma de entrenar a tu cliente para que acepte cualquier número.
¿Por qué el fraude se dispara justo en Black Friday y Navidad?
Porque el fraude se concentra donde se concentra el dinero. Diciembre de 2025 fue el mes con más contenido malicioso bloqueado del año, más del doble de la media mensual de principios de 2025 y un 31% por encima de diciembre de 2024.
Noviembre también mostró una subida clara, coincidiendo con Singles Day, Black Friday y Cyber Monday. En conjunto, el último trimestre se situó un 28% por encima de la media mensual del año. El informe señala además un problema operativo que va directo al núcleo de tu trabajo: en los picos de comercio, el tráfico dañino es mucho más difícil de distinguir del legítimo.
Piensa en lo que significa. La semana en la que tú mandas más emails, más SMS y más notificaciones que en todo el año es exactamente la semana en la que tu cliente recibe más intentos de suplantarte. Tu campaña y el fraude compiten en la misma bandeja de entrada, el mismo día. Si tu comunicación de Black Friday no es inmediatamente reconocible como tuya, estás compitiendo en desventaja contra alguien que lleva meses preparándose para parecerse a ti.
Lo práctico: la autenticación del dominio y los canales verificados hay que tenerlos resueltos antes de octubre, no durante la campaña.
¿Cómo ayuda tu web a distinguir lo real de lo falso?
Una web coherente, con información verificable y canales de contacto declarados, le da al cliente puntos de referencia para comparar. Sin ellos, no tiene contra qué contrastar el mensaje sospechoso.
Piénsalo desde su lado. Recibe un mensaje que dice ser tuyo y pide un pago. Va a tu web para comprobarlo. Si allí encuentra tu dirección real, tus teléfonos y una página que explica por qué canales te comunicas y qué nunca vas a pedir, tiene una respuesta en treinta segundos. Si encuentra una plantilla genérica sin datos de contacto ni páginas legales, no puede confirmar nada y decide a ciegas.
Esa página de canales oficiales cuesta veinte minutos de redacción y se convierte en la referencia a la que apuntar cuando alguien te escriba preguntando si un correo es tuyo. Es, además, la forma más barata de aplicar la recomendación de educar al cliente que el propio informe pone entre sus cinco prioridades.
Conviene rematarlo bloqueando la vía más sencilla para clonarte: registra los dominios parecidos al tuyo. Variantes con y sin guion, los errores de tecleo habituales y las extensiones más usadas de tu mercado. Cada dominio cuesta unos diez euros al año, se redirige a tu web principal y, de paso, recuperas el tráfico de quien escribe mal tu dirección.
¿Qué puede hacer una pyme sin contratar a un equipo de seguridad?
Ocho medidas concretas cubren la mayor parte del riesgo de suplantación, y ninguna requiere conocimientos de seguridad informática ni software especializado.
- Configura SPF, DKIM y DMARC en tu dominio. Empieza con DMARC en modo observación y endurece la política cuando compruebes que no bloqueas correo legítimo.
- Envía siempre desde tu propio dominio, nunca desde una dirección gratuita de Gmail o Hotmail.
- Usa canales verificados en móvil: WhatsApp Business verificado o RCS en lugar de SMS desde números anónimos que cambian cada vez.
- Fija un remitente y una plantilla estables. La consistencia es lo que permite a tu cliente notar cuando algo se sale del patrón.
- Publica una página de canales oficiales explicando cómo te comunicas y qué no vas a pedir nunca. Enlázala desde cada campaña.
- Registra los dominios parecidos al tuyo y redirígelos a tu web.
- Refuerza todo antes de octubre, para llegar al pico de campaña con la autenticación ya funcionando.
- Activa la verificación en dos pasos en el correo, el hosting, el gestor de contenidos y las redes sociales de la empresa.
Conviene decir también qué no cubre esta lista. No sustituye a un antivirus, ni a un plan de respuesta ante incidentes, ni al trabajo de un especialista si gestionas datos sensibles. Lo que cubre es la parte del problema que vive en tu marca y en tu comunicación: la que decide si un cliente tuyo puede distinguir un mensaje real de uno falso. Esa parte se descuida sistemáticamente porque cae justo entre dos sillas, la del informático y la de quien lleva tu marketing.
