Phishing: la nueva legislación sanciona el engaño, pero la educación debe prevenirlo
La reciente tipificación del phishing en la Ciudad de México representa un avance para sancionar los engaños digitales, pero no será suficiente para contener una amenaza que evoluciona al ritmo de la digitalización, plantea Fausto Escobar, especialista en ciberseguridad y CEO de HD Latinoamérica. Desde su perspectiva, la respuesta debe combinar legislación, capacitación y controles de seguridad para reducir el número de víctimas.
Desde el 23 de julio de 2026, el Código Penal de la Ciudad de México sanciona la creación o utilización de mensajes, sitios, dominios, aplicaciones o interfaces falsas destinadas a obtener contraseñas, datos personales o información financiera. Las penas contempladas van de tres a seis años de prisión, además de multas, y pueden incrementarse cuando las víctimas son menores de edad, personas adultas mayores o personas con discapacidad.
Para Escobar, uno de los principales cambios es que la conducta fraudulenta puede sancionarse aun antes de que se concrete el robo de dinero. La obtención fraudulenta de credenciales, datos financieros o mecanismos de autenticación constituye una conducta sancionable, por lo que el marco legal se acerca más a la forma en que actualmente operan los delincuentes digitales.
Sin embargo, el especialista considera que aumentar las penas no resolverá por sí solo el problema. La legislación puede contribuir a perseguir e inhibir estas conductas, pero no puede impedir que cada mensaje, llamada, código QR, sitio falso o aplicación maliciosa llegue a una posible víctima.
El phishing se vuelve más difícil de reconocer
Escobar advierte que el phishing ha dejado de responder al estereotipo de correos mal redactados o mensajes evidentemente sospechosos. Los atacantes pueden hacerse pasar por bancos, empresas de paquetería, plataformas de comercio electrónico, dependencias gubernamentales, proveedores, compañeros de trabajo o directivos, utilizando logotipos, diseños y datos obtenidos de distintas fuentes.
Además, los ataques ya no se limitan al correo electrónico. Pueden distribuirse mediante WhatsApp, SMS, códigos QR, llamadas, redes sociales, aplicaciones móviles y plataformas de colaboración empresarial. La inteligencia artificial amplía estas posibilidades al permitir generar mensajes personalizados, reproducir estilos de comunicación, traducir campañas, construir identidades sintéticas, clonar voces o fabricar imágenes y videollamadas.
El impacto potencial también es relevante en México. De acuerdo con los datos citados por Escobar, 13.5 millones de personas han sido víctimas de phishing y 23.1% de ellas perdió dinero, con una afectación promedio de 8 mil 750 pesos. Asimismo, uno de cada tres internautas mexicanos se considera poco o nada preparado para reconocer un intento de phishing.
La capacitación debe enfocarse en tomar decisiones
Ante este escenario, el especialista cuestiona que la capacitación en ciberseguridad continúe tratándose como una actividad complementaria basada en una conferencia anual, un video o un cuestionario. El problema, señala, es que conocer las recomendaciones de seguridad no garantiza que una persona sepa aplicarlas cuando recibe una solicitud aparentemente legítima y urgente.
El directivo plantea que la efectividad de la capacitación debería medirse mediante comportamientos verificables, como la capacidad de revisar una solicitud antes de responder, reportar mensajes sospechosos, reaccionar ante simulaciones y evitar entregar información ante situaciones de riesgo. La meta, apunta, no debería ser que los colaboradores simplemente aprueben un curso, sino que puedan tomar mejores decisiones bajo presión.
También considera necesario ampliar la responsabilidad más allá del área de TI. Un incidente puede comenzar en el teléfono de un vendedor, el correo de Recursos Humanos, una factura enviada a Finanzas o el dispositivo personal de alguien que trabaja desde casa, con consecuencias que pueden incluir fraude financiero, robo de identidad, acceso a bases de datos, interrupción de operaciones y exposición de información confidencial.
Hacia una formación básica y periódica
Como alternativa, Escobar propone avanzar hacia una especie de “licencia básica de seguridad digital”, entendida como una certificación sencilla, accesible y periódica que permita acreditar conocimientos mínimos de seguridad antes de conceder acceso a sistemas corporativos.
Su planteamiento contempla:
- Inducción obligatoria antes de proporcionar acceso a sistemas corporativos.
- Actualizaciones y ejercicios periódicos de capacitación.
- Formación sobre phishing mediante correo, WhatsApp, llamadas, códigos QR, redes sociales, aplicaciones falsas, videollamadas manipuladas y uso seguro de herramientas de IA.
- Preparación específica para áreas de mayor exposición, como dirección, Finanzas, Compras, Recursos Humanos, Ventas, atención al cliente y administración de sistemas.
- Protocolos de doble verificación para solicitudes urgentes de pago, cambios de cuentas bancarias, recuperación de contraseñas y entrega de información confidencial.
- Canales internos de reporte que permitan alertar rápidamente sobre posibles amenazas.
- Extensión de la capacitación a proveedores y terceros, considerando que forman parte de la cadena de seguridad de las organizaciones.
Para el especialista, las organizaciones también deben proporcionar controles tecnológicos y procedimientos que reduzcan las consecuencias de un error humano, como autenticación multifactor, canales de reporte, protocolos de verificación y mecanismos de respuesta.
La nueva legislación, señala Escobar, establece una base para sancionar a quienes construyen o utilizan estas trampas digitales. El siguiente desafío consiste en fortalecer la capacidad de las personas y organizaciones para reconocerlas, reportarlas y evitar que prosperen.
WhatsApp eSemanal 55 7360 5651
