El correo electrónico ha dejado de ser un simple canal de comunicación para convertirse en la llave de acceso a gran parte de nuestra vida digital. Es donde recibimos los enlaces para restablecer contraseñas, los códigos de verificación de un solo uso, las confirmaciones de reservas, las facturas o las alertas de seguridad de multitud de servicios. Precisamente por concentrar tanta información personal y profesional, las cuentas de correo se han convertido en uno de los principales objetivos de los ciberdelincuentes.
Esta tendencia continúa al alza. De hecho, la telemetría de ESET, compañía líder en ciberseguridad, registró un incremento del 36 % en la detección de correos electrónicos maliciosos durante el segundo semestre de 2025 con respecto a los seis meses anteriores, una muestra de que el phishing y otras amenazas distribuidas por correo electrónico siguen siendo una de las principales vías de ataque utilizadas por los delincuentes.
Evolución de las detecciones de correos electrónicos maliciosos durante 2025 (Fuente: ESET Threat Report H2 2025
"Muchas personas siguen viendo el correo electrónico únicamente como un buzón donde reciben mensajes, cuando en realidad es la puerta de entrada a buena parte de su identidad digital. Si un ciberdelincuente consigue acceder a esa cuenta, es muy probable que también pueda intentar hacerse con el control de muchos otros servicios asociados", explica Josep Albors, director de Investigación y Concienciación de ESET España.
Mucho más que una cuenta de correo
Una cuenta de correo electrónico comprometida puede ofrecer a los atacantes mucho más que acceso a los mensajes almacenados. En muchos casos, permite restablecer contraseñas de otros servicios, interceptar códigos de autenticación enviados por bancos o plataformas online e incluso mantener el acceso configurando reglas de reenvío automático o aprovechando sesiones ya iniciadas sin que el usuario sea consciente de ello.
Además, el correo suele almacenar años de información personal y profesional: reservas de viajes, facturas, contratos, documentación fiscal, historiales de compras o copias digitalizadas de documentos de identidad. Toda esta información puede utilizarse para preparar campañas de phishing mucho más creíbles, cometer fraudes de identidad o extorsionar a las víctimas.
Las consecuencias pueden ser todavía mayores en el ámbito empresarial. Si un atacante consigue acceder a una cuenta de correo corporativa, podría obtener acceso a aplicaciones en la nube, documentos compartidos, sistemas internos o comunicaciones confidenciales entre empleados y clientes. En muchos casos, el compromiso de una cuenta de correo constituye el primer paso hacia incidentes de mayor alcance, como brechas de datos, ataques de ransomware o campañas de ciberespionaje.
El phishing sigue aprovechando el factor humano
El correo electrónico continúa siendo uno de los canales preferidos por los ciberdelincuentes porque forma parte de la rutina diaria de millones de personas. Facturas, avisos de entrega, solicitudes de clientes, invitaciones a reuniones o enlaces para recuperar contraseñas llegan continuamente a la bandeja de entrada, lo que facilita que un mensaje fraudulento pase desapercibido, especialmente cuando se recibe con prisas o en momentos de mayor carga de trabajo.
A ello se suma el uso creciente de herramientas de inteligencia artificial generativa, que permiten crear campañas de phishing con mensajes cada vez más convincentes, sin errores ortográficos o gramaticales y adaptados al contexto de cada víctima. Según el Verizon Data Breach Investigations Report 2025, el factor humano estuvo presente en el 62 % de las brechas de seguridad analizadas durante el último año, mientras que la ingeniería social representó el 16 % de los patrones de ataque detectados.
"Los atacantes ya no necesitan desarrollar técnicas especialmente sofisticadas si consiguen engañar al usuario para que haga clic en un enlace, facilite sus credenciales o apruebe una solicitud de autenticación. La mejor defensa sigue siendo combinar hábitos de seguridad adecuados con herramientas capaces de detectar este tipo de amenazas antes de que lleguen al usuario", añade Albors.
Cómo proteger tu bandeja de entrada
Para reducir el riesgo de que una cuenta de correo sea comprometida, los expertos de ESET recomiendan:
- Utilizar una contraseña única y robusta para tu correo electrónico o apostar por métodos de autenticación sin contraseña, como las passkeys.
- Activar la autenticación multifactor (MFA) siempre que el servicio lo permita.
- Revisar periódicamente la configuración de tu cuenta, comprobando que no existan reglas de reenvío desconocidas, aplicaciones conectadas o dispositivos que no reconozcas.
- Desconfiar de correos electrónicos inesperados, especialmente si incluyen enlaces, archivos adjuntos o solicitan realizar un pago o facilitar credenciales.
- No aprobar solicitudes de autenticación que no hayas iniciado tú y verificar cualquier petición urgente a través de un canal alternativo.
- Proteger tus dispositivos con una solución de seguridad capaz de detectar correos maliciosos, bloquear archivos peligrosos y evitar el robo de información.
"El correo electrónico seguirá siendo uno de los principales objetivos de los ciberdelincuentes porque concentra una enorme cantidad de información personal y profesional. Proteger la bandeja de entrada significa proteger buena parte de nuestra identidad digital, y unas medidas básicas de seguridad pueden marcar la diferencia entre un intento de phishing frustrado y un incidente con consecuencias mucho mayores", concluye Josep Albors.