Perú volvió a encabezar el ranking de phishing, según el último reporte anual de Kaspersky, correspondiente a 2025. El porcentaje de usuarios afectados por intentos de phishing llegó a 17,46%.
Un año antes, el país también había liderado la medición, entonces con 19,06%. El indicador no mide al conjunto de usuarios de internet del país. Se refiere a la proporción de usuarios de las soluciones de seguridad de la compañía que encontraron este tipo de amenaza.
La escena lo dice todo. Un correo anuncia el bloqueo de una cuenta. Un mensaje de texto pide validar una operación. Una llamada de un supuesto asesor dice conocer datos personales. Las formas cambian. El objetivo sigue siendo el mismo: conseguir claves, códigos de seguridad o información para entrar en cuentas ajenas.
El phishing consiste en engañar al usuario haciéndose pasar por una empresa, banco, servicio o institución conocida. La Superintendencia de Banca, Seguros y AFP, SBS, advierte que estas modalidades buscan obtener datos personales, claves, información de tarjetas o códigos de verificación.
También existen variantes. El smishing usa SMS o mensajes de WhatsApp. El vishing se basa en llamadas telefónicas. En ambos casos, el fraude busca que la víctima entregue datos antes de verificar lo que ocurre.
Una de las señales más claras es la urgencia. Muchos intentos presionan para actuar de inmediato. Hablan de cuentas bloqueadas, operaciones sospechosas, paquetes retenidos o promociones por vencer. Ese apuro suele venir acompañado de enlaces que llevan a páginas creadas para capturar información.
La SBS recomienda no ingresar a enlaces recibidos mediante mensajes sospechosos. También pide verificar cualquier alerta directamente a través de los canales oficiales de la entidad financiera. Claves, token y códigos de verificación no deben compartirse por teléfono, correo electrónico, SMS o redes sociales.
Hay seis señales que pueden revelar un intento de fraude antes de entregar datos. La primera es que el remitente no coincide con la empresa que dice representar. Los delincuentes pueden usar nombres visibles idénticos a los de un banco o compañía, mientras la dirección real del correo muestra letras adicionales, sustituciones o dominios distintos.
La segunda es la presión inmediata. Frases como «su cuenta será bloqueada», «confirme ahora» o «detectamos una operación irregular» buscan reducir el tiempo de revisión.
La tercera aparece cuando solicitan claves, códigos o datos de tarjeta. Una petición de contraseña, token u OTP por correo, SMS, WhatsApp o llamada debe levantar sospechas. La SBS señala que esa información no debe entregarse por esos canales.
La cuarta señal es una llamada en la que el supuesto asesor ya conoce datos personales. Tener nombre, DNI u otra información no demuestra que quien llama pertenezca realmente a una entidad. Ante la duda, lo indicado es cortar la comunicación y contactar directamente al banco mediante sus canales oficiales.
La quinta es más sutil. La página se parece a la original, pero la dirección web no es la misma. Los sitios de suplantación pueden copiar colores, logos y diseños. Revisar el dominio antes de introducir información es más útil que dejarse llevar por la apariencia.
La sexta es el mensaje inesperado. Un correo o texto que pide actualizar datos, desbloquear una cuenta o ingresar nuevamente a la banca digital debe verificarse por otra vía antes de abrirlo.
Desde Banco Pichincha del Perú, Diego Rodríguez, gerente de Riesgo Operacional, Tecnológico y Seguridad, señala que revisar el remitente completo y el dominio al que dirige un enlace puede ayudar a detectar intentos de suplantación. También recomienda usar contraseñas robustas y activar un segundo factor de autenticación.
«La ciberseguridad ya no depende solo de la tecnología que tiene un banco», dijo Rodríguez. «La mayoría de los incidentes no ocurren porque falló un sistema, sino por personas que cometen errores en momentos de distracción o presión». También puso el acento en la educación financiera y digital de los clientes.
El vishing añade una dificultad extra. El fraude ocurre durante una conversación. Los delincuentes pueden presentarse como trabajadores de un banco y usar información previa de la víctima para ganar credibilidad. La SBS recomienda cortar la llamada si solicitan información sensible y comunicarse directamente con la entidad financiera.
Otra señal frecuente es que el interlocutor intente mantener a la persona en línea mientras le pide acciones en la aplicación bancaria o códigos recibidos en el celular. La misma precaución se aplica al conectarse a redes Wi-Fi públicas. Para operaciones financieras, la SBS recomienda evitar redes abiertas y utilizar conexiones seguras.
Los detalles cuentan la historia. El dato duro es que Perú volvió a encabezar una medición de phishing. El desenlace práctico es más amplio: cuando el engaño depende de la distracción, la defensa empieza en el usuario, pero no termina ahí.
También hay una lección para el sistema financiero. La banca invierte en tecnología, pero el fraude se abre paso por la grieta humana. En esa trastienda, la educación digital deja de ser un complemento y pasa a ser una barrera de seguridad. Quien protege sus claves protege su dinero. Y quien descuida ese frente termina pagando el costo del descuido con dinero que no le sobra, sino que pertenece al esfuerzo de su trabajo.
