- El phishing de clonación copia correos legítimos y solo altera enlaces o adjuntos para robar datos o instalar malware.
- Se apoya en la familiaridad del mensaje, la urgencia y pequeños cambios en remitentes y URLs para engañar a la víctima.
- La combinación de formación, verificación manual de enlaces, MFA y soluciones de seguridad de correo reduce drásticamente el riesgo.
- En empresas, un solo correo clonado exitoso puede abrir la puerta a robos de credenciales, ransomware y accesos no autorizados.
En los últimos años, con la digitalización hasta para hacer la compra, los ciberdelincuentes han afinado muchísimo sus tácticas y el phishing de clonación se ha convertido en una de las más peligrosas. No solo intenta engañarte para que des tus datos, sino que lo hace aprovechando mensajes que te resultan familiares, casi calcados a correos auténticos que ya has visto antes.
Este tipo de ataque destaca porque camufla enlaces o archivos con malware dentro de correos aparentemente legítimos, lo que complica bastante detectarlo a simple vista. Por eso, entender bien cómo funciona, en qué se diferencia de otros tipos de phishing y qué señales debes vigilar es clave para no terminar instalando un virus o regalando tus credenciales al primero que pasa.
¿Qué es exactamente el phishing de clonación?
Cuando hablamos de phishing de clonación (clone phishing), nos referimos a una modalidad en la que el atacante copia casi al milímetro un correo electrónico real que el usuario ha recibido antes o que una empresa envía de forma habitual, y solo modifica los elementos críticos: los enlaces y/o los archivos adjuntos.
A diferencia del phishing clásico, donde el delincuente crea un mensaje desde cero haciéndose pasar por un banco, una tienda online u otra entidad, en el phishing de clonación se parte de un mensaje auténtico que el usuario reconoce. El ciberdelincuente imita el asunto, el cuerpo del texto, el formato, los logotipos y el estilo de comunicación para que el correo parezca totalmente legítimo.
La trampa está en que los enlaces ya no llevan a la web real, sino a un sitio malicioso, o bien el adjunto que antes era un documento normal ahora contiene ransomware, troyanos, keyloggers o cualquier otro tipo de malware. El objetivo es el mismo de siempre: robar credenciales, datos de tarjetas, información personal o instalar software malicioso para controlar el dispositivo.
En muchos casos, el atacante aprovecha flujos habituales de trabajo, como procesos de firma de documentos, comunicaciones de atención al cliente o correos de bienvenida a nuevos usuarios. Intercepta o copia estos mensajes y, al responder o reenviar el correo manipulado, tiene muchas más opciones de pasar los filtros y engañar a la víctima.
Las consecuencias de un ataque exitoso de phishing de clonación pueden ir desde el robo de identidad y el fraude financiero hasta el acceso a redes corporativas enteras, generando daños económicos, pérdida de datos y un impacto reputacional serio tanto para personas como para empresas.
¿Cómo funciona un ataque de phishing de clonación paso a paso?
Para que este tipo de ataque funcione, el ciberdelincuente necesita primero hacerse con una copia de un mensaje legítimo que la víctima haya recibido o que reciba de forma periódica. A partir de ahí, el proceso suele seguir una serie de fases bastante habituales.
En primer lugar, el atacante selecciona un correo que tenga sentido replicar: puede ser un aviso de un banco, una confirmación de pedido, un seguimiento de envío o una newsletter que una marca manda de forma recurrente. Cuanto más conocido y rutinario sea el mensaje, más fácil será que el usuario baje la guardia.
A continuación, se clona el contenido. Esto implica copiar el texto, las imágenes, los logotipos y el diseño del mensaje original. Incluso se mimetizan detalles como la firma, la maquetación y el tono del lenguaje. El objetivo es que el correo clonado sea indistinguible del real a primera vista.
El siguiente paso es el más delicado: sustituir los enlaces legítimos por URLs que apuntan a sitios fraudulentos, o reemplazar adjuntos genuinos (por ejemplo, un PDF para firmar) por archivos infectados con malware. El resto del mensaje permanece idéntico, para no levantar sospechas.
Por último, el atacante envía el mensaje desde una dirección de correo muy similar a la real o, en algunos casos, desde una cuenta comprometida auténtica. Al tratarse de una respuesta o de un hilo ya existente, los filtros antispam pueden confiar más en ese mensaje y dejarlo pasar, y el usuario tiende a confiar en una comunicación que reconoce.
Cuando la víctima hace clic en el enlace malicioso, suele ser redirigida a un sitio web que copia el aspecto de la página oficial del banco, tienda o servicio. Allí se le pide que introduzca usuario, contraseña, PIN o datos de tarjeta. Si en lugar de un enlace se abre un adjunto malicioso, el efecto suele ser la instalación silenciosa de malware que permitirá al atacante robar datos o controlar el equipo.
Diferencias entre phishing de clonación, phishing tradicional y spear phishing
Dentro del mundo del phishing hay varias modalidades que se parecen mucho entre sí, pero cada una tiene matices importantes que conviene conocer para poder identificarlas mejor.
En el phishing tradicional, el delincuente envía correos masivos a una gran cantidad de usuarios, simulando ser una organización legítima (bancos, plataformas de comercio electrónico, proveedores de servicios, etc.). El contenido suele pedir que la víctima haga algo urgente: verificar su cuenta, actualizar datos de pago, descargar una factura, etc.
El phishing de clonación, por su parte, no crea el mensaje desde cero, sino que parte de un correo auténtico que el usuario ya conoce. Esa sensación de familiaridad hace que resulte más creíble, porque el destinatario puede incluso recordar haber visto un correo casi idéntico anteriormente.
El spear phishing (phishing dirigido) funciona de otra manera: el atacante investiga a una persona u organización concreta y construye un mensaje muy personalizado, usando datos reales del objetivo (nombre, puesto, proyectos, proveedores, etc.). El correo parece tan específico y detallado que la víctima piensa que tiene que ser legítimo.
En niveles todavía más altos está la caza de ballenas (whaling), donde los objetivos son directivos de alto nivel y perfiles con acceso a información crítica. Estos ataques buscan transferencias fraudulentas, datos muy sensibles o acceso a sistemas estratégicos.
Aun con sus diferencias, todas estas técnicas comparten un fin común: engañar al usuario para robar datos o comprometer dispositivos. Lo que cambia es el grado de personalización, el volumen de correos enviados y el punto de partida del mensaje (clonado, genérico o hiperpersonalizado).
Evolución del phishing y papel del phishing de clonación
Los ataques de phishing empezaron en los años 90 como correos bastante burdos y fáciles de detectar, llenos de errores y promesas surrealistas. Con el tiempo, la cosa ha cambiado radicalmente: hoy los delincuentes investigan a fondo a sus objetivos y aprovechan toda la información pública disponible.
Esta evolución ha dado lugar a técnicas como el spear phishing, el smishing (mensajes SMS fraudulentos), el vishing (llamadas de voz suplantando a bancos o administraciones) y, por supuesto, el phishing de clonación, que refina la suplantación al máximo al copiar comunicaciones legítimas casi al detalle.
La aparición de kits de phishing listos para usar ha facilitado aún más las cosas a los actores maliciosos. Estos kits incluyen plantillas de páginas web falsas, scripts para envío masivo de correos y herramientas para recopilar datos robados, de forma que incluso atacantes poco experimentados pueden montar campañas sofisticadas.
Este contexto hace que el phishing de clonación resulte tan peligroso: al apoyarse en mensajes reales y en canales aparentemente confiables, consigue esquivar muchos de los mecanismos tradicionales de defensa y explota las debilidades humanas en lugar de fallos técnicos.
Ejemplos prácticos de phishing de clonación
Uno de los ejemplos más ilustrativos es el de un banco que envía regularmente avisos por correo electrónico a sus clientes sobre movimientos, actualizaciones de seguridad o validaciones de datos. El atacante copia uno de esos mensajes, mantiene el logo, el formato y la redacción, pero cambia el enlace de “Acceder a tu cuenta” por una URL de una web falsa.
Cuando el cliente recibe ese correo clonado, lo reconoce porque se parece a los que recibe cada mes. Si hace clic en el botón, es redirigido a una página que imita la banca online oficial. Al introducir usuario y contraseña, el delincuente captura las credenciales al instante y puede acceder a la cuenta real.
Otro caso muy habitual se da en entornos empresariales. Imagina una empresa que envía contratos o documentos en PDF para que el cliente los firme y devuelva. Un ciberdelincuente inicia una conversación con el departamento correspondiente o intercepta un correo de ese flujo y, al responder, adjunta un archivo modificado que en lugar del documento legítimo contiene un virus.
Si un empleado abre ese PDF malicioso, puede instalarse en su equipo un ransomware que cifre todos los archivos, un rootkit que dé control remoto al atacante o un keylogger que registre todo lo que teclea, incluidas contraseñas. A partir de ahí, la red interna de la organización puede quedar totalmente comprometida.
También son muy comunes los clones de newsletters o correos automáticos de bienvenida, seguimiento de pedidos o soporte técnico. El usuario reconoce el estilo y el remitente, por lo que es más probable que no se fije en pequeños detalles sospechosos, como una ligera variación en la dirección de correo o un enlace que apunta a un dominio distinto.
Cómo detectar un correo de phishing de clonación
Aunque los correos clonados son difíciles de identificar, hay una serie de pistas que pueden ayudarte a sospechar y evitar caer en la trampa antes de hacer clic. No existe una señal infalible, pero la combinación de varias suele ser muy reveladora.
Una primera pista es la sensación de déjà vu: si recibes dos correos casi idénticos sobre el mismo asunto, con poco tiempo de diferencia, conviene revisar con lupa. Puede que uno de ellos sea el original y el otro, un clon con enlaces modificados.
También es importante fijarse en la dirección del remitente. A menudo, el atacante utiliza un correo que parece legítimo pero tiene pequeñas variaciones: un dominio ligeramente distinto, letras cambiadas por números (como “0” en vez de “o”), subdominios raros o cadenas de números añadidas.
Otro signo clásico es la urgencia artificial. Muchos correos de phishing de clonación incluyen mensajes del tipo “tu cuenta se cerrará en 24 horas” o “último aviso antes de bloquear el servicio”, buscando que actúes sin pensar demasiado. Esa presión es una bandera roja importante.
Además, debes sospechar siempre que se te pida introducir datos muy sensibles como credenciales completas, PIN, códigos de verificación o números de tarjeta a través de un enlace incluido en el correo. Los bancos y muchas empresas serias evitan solicitar este tipo de información por email.
Por último, revisa detalles visuales: logotipos pixelados, tipografías que no encajan con la imagen de marca, errores de ortografía o gramática, saludos demasiado genéricos del tipo “Estimado cliente” cuando la empresa suele dirigirse a ti por tu nombre. Un pequeño fallo de este tipo, combinado con otros indicios, puede destapar un ataque.
Señales técnicas y buenas prácticas para detectar clones
A nivel más técnico, hay mecanismos como SPF, DKIM y DMARC que ayudan a verificar si un servidor está autorizado a enviar correos en nombre de un dominio. Cuando una organización tiene DMARC correctamente configurado, muchos correos suplantados fallan esa autenticación.
Aunque el usuario medio no revise cabeceras ni registros detallados, algunos clientes de correo ya muestran avisos cuando un mensaje no supera ciertas comprobaciones de autenticación. Ver un aviso de este tipo en un correo que parece de tu banco o de un proveedor importante debería disparar las alarmas.
Los filtros de correo avanzado y las soluciones de seguridad específicas para email también pueden analizar los enlaces y adjuntos en busca de patrones de malware o URLs sospechosas. Sin embargo, ningún sistema es perfecto, y los ataques más nuevos pueden colarse antes de ser catalogados.
Por eso, conviene combinar la tecnología con la formación de los usuarios. Entender que incluso un correo aparentemente impecable puede estar manipulado y contener un enlace peligroso es el primer paso para mirar los mensajes con un punto sano de desconfianza.
Consejos para prevenir el phishing de clonación
Reducir el riesgo de caer en un ataque de phishing de clonación pasa por adoptar una serie de buenas prácticas en el uso diario del correo electrónico y la navegación web. No son complicadas, pero requieren constancia y algo de atención.
Antes de nada, acostúmbrate a comprobar con detalle la dirección del remitente: dominio, estructura, posibles faltas de ortografía o caracteres extraños. Un simple vistazo atento puede evitar muchos disgustos.
En cuanto a los enlaces, lo más seguro es no hacer clic directamente en los que llegan por correo cuando se trata de asuntos delicados. En su lugar, escribe tú mismo la dirección oficial en el navegador (por ejemplo, la URL de tu banco) y accede desde ahí a tu cuenta para realizar cualquier gestión.
Si decides pasar el ratón por encima del enlace, fíjate bien en la URL que aparece en la parte inferior del navegador o en el cliente de correo. Si el dominio no coincide exactamente con el oficial o ves una dirección extraña, mejor no arriesgarse.
Otra medida importante es mantener siempre el sistema operativo, el navegador, los complementos y el software antivirus actualizados con los últimos parches de seguridad. Muchos ataques de malware que se distribuyen a través de adjuntos explotan fallos ya conocidos y corregidos.
En entornos corporativos, tiene mucho sentido utilizar un gestor de contraseñas y activar la autenticación multifactor (MFA) en todos los servicios críticos. Así, aunque un atacante consiga tus credenciales mediante un correo clonado, tendrá mucho más difícil entrar sin el segundo factor.
Estrategias de protección en empresas y organizaciones
En empresas, el phishing de clonación es especialmente peligroso porque un solo empleado engañado puede comprometer toda la red. Por eso, la protección no puede recaer únicamente en la buena fe o la intuición de cada persona.
Es fundamental establecer programas periódicos de formación en ciberseguridad, donde se expliquen casos reales de phishing de clonación, ejemplos de correos fraudulentos y pautas claras de actuación. Las simulaciones internas de phishing pueden ayudar a medir el nivel de concienciación y detectar áreas de mejora.
Además, las organizaciones deberían contar con soluciones específicas de seguridad para correo electrónico que analicen en profundidad enlaces, adjuntos y patrones de comportamiento. Estas herramientas pueden poner en cuarentena mensajes sospechosos y evitar que lleguen a la bandeja de entrada de los empleados.
En paralelo, es clave aplicar controles de acceso estrictos en los sistemas internos, de forma que, incluso si un atacante consigue entrar con la cuenta de un empleado, no pueda moverse libremente por toda la infraestructura ni acceder a la información más sensible.
Por último, debe existir un procedimiento claro para que los usuarios reporten rápidamente correos sospechosos o posibles incidentes de seguridad. Cuanto antes se detecte una campaña de phishing de clonación en curso, antes se podrán tomar medidas para contenerla.
Relación entre phishing de clonación y otros ataques basados en credenciales
El phishing de clonación suele ser la puerta de entrada a otros ataques donde las credenciales robadas son la pieza central. Una vez que el delincuente tiene usuario y contraseña, puede lanzar distintas ofensivas contra sistemas y servicios.
Por ejemplo, es habitual que se utilicen listas de credenciales obtenidas en un ataque de phishing para realizar “credential stuffing”, probando esos mismos datos en numerosas webs y aplicaciones, aprovechando que mucha gente reutiliza la misma contraseña en varios sitios.
También puede combinarse con malware como keyloggers, que registran todas las pulsaciones del teclado para capturar nuevas credenciales, o con ataques man-in-the-middle, donde el atacante intercepta las comunicaciones entre el usuario y el servidor para robar información adicional, e incluso con la clonación de tarjeta SIM.
Todo esto demuestra que el phishing de clonación no suele ser el fin en sí mismo, sino el primer paso de una cadena de ataques más amplia, que puede incluir robo de identidad, fraude, extorsión con ransomware o espionaje corporativo.
Por ello, reforzar la seguridad alrededor de las credenciales (políticas de contraseñas robustas, MFA, detección de accesos anómalos, etc.) es una parte imprescindible de la defensa frente a este tipo de amenazas.
La realidad es que el phishing de clonación se aprovecha como pocas técnicas de la mezcla entre confianza y rutina: se inserta en correos que damos por buenos porque se parecen a los de siempre, fuerza situaciones de urgencia y juega con procesos empresariales cotidianos para colar enlaces o adjuntos maliciosos. Combinar formación constante, soluciones de seguridad para correo, buenas prácticas al navegar y medidas como la autenticación multifactor marca la diferencia entre ser una víctima más o frustrar el intento de estafa antes de que haga daño.
