El 66% de los trabajadores participantes en una simulación de phishing en México hizo clic en un correo electrónico fraudulento que prometía premios relacionados con la selección nacional de fútbol, de acuerdo con un análisis de Kaspersky. El resultado evidencia cómo los ciberdelincuentes pueden aprovechar intereses cotidianos para engañar a los empleados y comprometer la seguridad de las empresas.
El estudio, basado en más de 150,000 correos electrónicos simulados enviados a trabajadores de 120 países entre enero y septiembre de 2026, identificó que los mensajes relacionados con tecnología, inteligencia artificial, beneficios laborales y promociones son algunos de los recursos más efectivos para provocar interacciones con enlaces sospechosos.
La investigación también muestra que los engaños digitales se adaptan a las características culturales y laborales de cada mercado. Mientras en México el fútbol fue utilizado como gancho, en Colombia destacaron las falsas notificaciones sobre prestaciones laborales y en Brasil las promociones comerciales.
Para las organizaciones, estos resultados representan una advertencia sobre la importancia de fortalecer la capacitación en ciberseguridad empresarial, especialmente porque un correo fraudulento puede convertirse en el punto de entrada para ataques de mayor alcance.
Phishing en México: 66% hizo clic en un correo falso sobre fútbol
De acuerdo con Kaspersky, una simulación realizada en México utilizó un mensaje que prometía premios relacionados con la selección nacional de fútbol.
El correo buscaba despertar el interés de los trabajadores mediante un tema popular y aparentemente ajeno a los riesgos informáticos.
El resultado fue que 66% de los participantes de esa prueba específica interactuó con el mensaje fraudulento.
Esta cifra no representa la proporción de todos los trabajadores mexicanos que han sido víctimas de phishing, sino el resultado de una simulación concreta realizada por la empresa de ciberseguridad.
Sin embargo, permite identificar cómo los atacantes pueden aprovechar acontecimientos deportivos, promociones y otros temas de interés para conseguir que las personas abran enlaces potencialmente peligrosos.
El riesgo para las empresas aparece cuando los mensajes fraudulentos se reciben desde cuentas corporativas o dispositivos conectados a sus sistemas.
Un trabajador que confía en una comunicación aparentemente legítima puede proporcionar información, ingresar credenciales en páginas falsas o facilitar involuntariamente el acceso a recursos de la organización.
México registra la mayor tasa de clics entre cuatro simulaciones latinoamericanas
El análisis de Kaspersky incluyó ejemplos de campañas simuladas en distintos países de América Latina, con mensajes adaptados a intereses y situaciones locales.
| País | Engaño utilizado en la simulación | Tasa de clics |
|---|---|---|
| México | Premios relacionados con la selección nacional de fútbol | 66% |
| Colombia | Falsa notificación sobre disponibilidad de cesantías | 33% |
| Chile | Supuestos problemas con el correo corporativo | 20% |
| Brasil | Promoción de huevos de Pascua | 15% |
Fuente: Kaspersky, simulaciones de phishing reportadas en noviembre de 2026.
En Colombia, una falsa notificación sobre la disponibilidad de cesantías, una prestación laboral vinculada con el ahorro de los trabajadores, consiguió que 33% de los participantes hiciera clic.
En Chile, una alerta sobre supuestos problemas con el correo electrónico de la empresa alcanzó una tasa de 20%.
Por su parte, una promoción de huevos de Pascua utilizada en Brasil registró 15%.
Aunque México presentó el porcentaje más elevado entre estos cuatro ejemplos, las cifras corresponden a simulaciones diferentes y no constituyen una clasificación general de vulnerabilidad entre países.
Los resultados muestran que los mensajes fraudulentos pueden ser más persuasivos cuando se relacionan con intereses personales, beneficios económicos o situaciones habituales del entorno laboral.
Inteligencia artificial y tecnología generan más clics en correos fraudulentos
El estudio global también identificó las temáticas que generan mayores tasas promedio de interacción con correos simulados.
Los mensajes relacionados con tecnología e inteligencia artificial encabezaron los resultados, con una tasa promedio de clics de 45%.
En segundo lugar se ubicaron los correos vinculados con salud y seguros, seguidos de las políticas internas de tecnología de la información.
Las principales categorías fueron:
- Tecnología e inteligencia artificial: 45% de clics en promedio.
- Salud y seguros: 28%.
- Políticas internas de tecnologías de la información: 26%.
- Regalos y promociones: 24%.
- Comunicaciones de recursos humanos: 22%.
Estas cifras muestran que los ciberdelincuentes pueden aprovechar temas relacionados con las actividades profesionales para generar confianza y motivar respuestas.
Una supuesta actualización de herramientas tecnológicas, un cambio en las políticas de seguridad o una notificación sobre prestaciones laborales pueden parecer comunicaciones habituales dentro de una organización.
Por ello, el riesgo no se limita a los mensajes que prometen premios o descuentos, sino que también incluye comunicaciones que aparentan provenir de departamentos internos.
Kaspersky reportó además que una falsa notificación sobre una inspección sanitaria alcanzó una tasa de clics de 92% en una simulación específica, lo que demuestra que determinados mensajes pueden generar niveles particularmente elevados de interacción.
¿Por qué el phishing representa un riesgo financiero para las empresas?
El phishing es una técnica de engaño mediante la cual los atacantes intentan conseguir información confidencial, credenciales de acceso o provocar acciones que comprometan la seguridad digital.
Aunque suele comenzar con un correo electrónico, sus consecuencias pueden extenderse a distintas áreas de una organización.
Cuando un empleado interactúa con un enlace malicioso, existe el riesgo de que los atacantes obtengan información que posteriormente pueda utilizarse para acceder a cuentas, sistemas o datos empresariales.
Desde una perspectiva financiera, estos incidentes pueden generar costos asociados con la investigación del ataque, la recuperación de sistemas y la interrupción de actividades.
También pueden provocar gastos derivados de la protección de información, la atención a clientes afectados o la implementación de medidas adicionales de seguridad.
Entre las principales consecuencias potenciales para las empresas destacan:
- Robo de credenciales: exposición de usuarios y contraseñas corporativas.
- Filtración de información: acceso no autorizado a datos internos o confidenciales.
- Interrupciones operativas: afectaciones a sistemas y procesos de trabajo.
- Costos de recuperación: recursos destinados a contener incidentes y restablecer servicios.
- Riesgos reputacionales: pérdida de confianza cuando un incidente compromete información relevante.
Estas consecuencias son riesgos potenciales asociados con ataques reales; las simulaciones descritas por Kaspersky no implican que se hayan producido pérdidas económicas o filtraciones efectivas.
La inteligencia artificial hace más sofisticados los engaños digitales
Kaspersky advirtió que las campañas de phishing han evolucionado de mensajes fraudulentos aislados hacia ataques más complejos y de múltiples etapas.
En este proceso, los ciberdelincuentes pueden utilizar inteligencia artificial para elaborar comunicaciones más creíbles y personalizadas.
Estas herramientas facilitan la creación de mensajes que imitan el lenguaje de una empresa, una institución o un departamento interno.
El problema para los trabajadores es que las señales tradicionales de alerta, como errores ortográficos o mensajes poco profesionales, pueden resultar menos evidentes.
Andrés Giarletta, director de Preventas para Américas en Kaspersky, explicó que los atacantes aprovechan la confianza de los empleados en las comunicaciones que reciben durante su jornada laboral.
“El problema de estos engaños es que aprovechan la confianza de los empleados en comunicaciones que forman parte de su rutina laboral”.
El especialista señaló que un mensaje aparentemente inofensivo sobre beneficios, premios o asuntos internos puede abrir la puerta al robo de credenciales y la exposición de información corporativa.
Asimismo, destacó que las empresas no deben depender exclusivamente de herramientas tecnológicas, sino desarrollar las capacidades de sus trabajadores para reconocer amenazas.
Capacitación puede reducir la susceptibilidad al phishing del 60% a entre 5% y 7%
Uno de los hallazgos relevantes del análisis está relacionado con el impacto de los programas de capacitación.
De acuerdo con los análisis de efectividad de Kaspersky Automated Security Awareness Platform (KASAP), la formación periódica y las simulaciones pueden reducir la susceptibilidad al phishing del 60% a niveles de entre 5% y 7%.
Esto representa una disminución considerable en los resultados observados por la plataforma.
No obstante, se trata de datos de efectividad reportados por Kaspersky y no de una garantía de que todas las organizaciones conseguirán los mismos resultados.
Las simulaciones permiten recrear situaciones similares a las utilizadas por los atacantes para evaluar cómo reaccionan los trabajadores.
A partir de los resultados, las empresas pueden identificar áreas que requieren capacitación adicional y desarrollar programas específicos para distintos equipos.
Este enfoque también permite que la seguridad digital deje de concentrarse exclusivamente en los departamentos de tecnología.
Áreas como recursos humanos, finanzas, compras y administración pueden estar expuestas a comunicaciones fraudulentas relacionadas con sus actividades habituales.
Cinco medidas para proteger a las empresas de correos fraudulentos
Ante la evolución de las amenazas, Kaspersky recomienda combinar herramientas de seguridad con programas de formación continua.
Entre las principales medidas se encuentran:
- Capacitar periódicamente a los empleados. Desarrollar programas que permitan identificar enlaces sospechosos, correos fraudulentos y técnicas de manipulación utilizadas po
