Artículo actualizado el 13 de octubre de 2026. Se publicó en septiembre de 2023. Lo hemos rehecho por completo porque la inteligencia artificial ha cambiado las reglas: mensajes sin una falta, webs falsas creadas en minutos, voces clonadas, códigos QR trampa y kits que se saltan el doble factor.
Durante años, el consejo fue sencillo: si el correo tiene faltas de ortografía, es un engaño. Ese consejo ya no sirve. En 2026, el phishing llega en un castellano perfecto, con tu nombre, en el mismo hilo de SMS que usa tu banco y, a veces, con la voz de alguien que conoces. Te explicamos qué ha cambiado, qué disfraces usan ahora los estafadores en España, qué señales siguen delatándolos y qué hacer si ya has picado.
En 30 segundos
- El phishing fue el fraude online más común que gestionó el INCIBE en 2025: 25.133 casos.
- Hay menos campañas masivas, pero más precisas: la IA permite personalizar cada engaño.
- Las técnicas que más crecen: QR trampa, SMS colados en el hilo del banco, voces clonadas y falsos «captcha».
- El doble factor por SMS ya no basta: hay kits que roban la sesión en tiempo real. Las llaves de acceso (passkeys) sí resisten.
- Si has picado: cambia contraseñas, llama a tu banco por su número oficial, denuncia y pide ayuda gratis en el 017.
Qué es el phishing y por qué sigue funcionando
La tecnología cambia cada mes. El truco de fondo es el mismo desde hace veinte años: hacerse pasar por alguien de confianza y meterte prisa.
El phishing es un engaño en el que alguien se hace pasar por una empresa, un organismo o una persona de confianza para que le entregues tus datos, tus contraseñas o tu dinero, o para que instales un programa malicioso. Llega por correo, por SMS (smishing), por llamada (vishing), por WhatsApp, por redes sociales o con un código QR (quishing). El INCIBE lo define como una técnica para obtener información confidencial suplantando a empresas u organizaciones.
Funciona porque no ataca a los ordenadores, sino a las personas. Juega con el miedo («tu cuenta será bloqueada»), con la codicia («tienes una devolución pendiente»), con la urgencia («tienes 24 horas») o con la autoridad («Policía Nacional: citación judicial»). Y es la puerta de entrada de casi todo lo demás: el robo de cuentas, el carding, las transferencias fraudulentas y muchos ataques de ransomware contra empresas.
En el mundo de la empresa, el phishing ha vuelto a ser la vía de entrada favorita. Según Cisco Talos, recogido por Kiteworks, en el primer trimestre de 2026 fue el origen de más de un tercio de los incidentes en los que se pudo saber cómo entró el atacante. Es la primera vez en un año que encabeza esa lista.
El phishing en cifras: menos ruido, más puntería
Los datos de 2025 y 2026 cuentan una historia curiosa: hay menos campañas masivas, pero cada ataque está mejor hecho.
Infografía · Phishing en España
Lo que dicen los datos de 2025 y 2026
25.133
casos de phishing gestionados por el INCIBE en 2025, el fraude online más común
142.767
consultas al 017 en 2025 (+44,9 %); el 28 %, por phishing, vishing o smishing
429.677
estafas informáticas registradas en España en 2025, el 88 % de los ciberdelitos
-53 %
de impactos de phishing en España en 2025, aunque seguimos entre los 10 países más atacados
2.º
puesto mundial de España en detecciones de phishing con QR (17 %), según ESET
4.600
dominios .es potencialmente fraudulentos cerrados en 2025 por el INCIBE y Red.es
Fuentes: INCIBE, balance 2025 (febrero 2026); Ministerio del Interior, Informe sobre la Cibercriminalidad 2025 (julio 2026); Zscaler ThreatLabz, vía Europa Press (junio 2026); ESET Threat Report primer semestre 2026 (julio 2026). Elaboración: Proseguridad.info.
El balance del INCIBE refleja 122.223 incidentes gestionados en 2025, un 26 % más que el año anterior. El fraude online supuso cuatro de cada diez, y el phishing fue su forma más frecuente. Y el informe de Interior sitúa ya el ciberdelito en casi el 20 % de toda la criminalidad en España.
¿Y esa caída del 53 %? El informe de Zscaler que recoge Europa Press lo explica: no es que haya menos riesgo, es que el phishing ha cambiado de estrategia. En lugar de millones de correos genéricos, los delincuentes mandan menos mensajes, pero muy bien dirigidos, imitando facturas, renovaciones o avisos de soporte que la víctima espera recibir. Las marcas más suplantadas siguen siendo Microsoft y Google.
Las nuevas técnicas de phishing en 2026
La inteligencia artificial ha quitado al estafador sus dos grandes límites: el idioma y el tiempo. Estas son las técnicas que más están creciendo.
✉️ Mensajes escritos por IA
Qué es: correos y SMS sin faltas, en tu idioma, con tu nombre, tu empresa o tu último pedido. Imitan facturas y avisos que esperas recibir.
Cómo pillarlo: no mires la ortografía. Mira el remitente real, el enlace y lo que te piden.
🌐 Webs falsas en minutos
Qué es: herramientas de IA que crean una web completa a partir de una frase. Copias idénticas de tu banco, de Correos o de Hacienda.
Cómo pillarlo: entra siempre escribiendo tú la dirección o desde la app oficial. Nunca desde el enlace.
📲 SMS en el hilo de tu banco
Qué es: el mensaje falso aparece junto a los avisos reales de tu banco, porque falsifican el nombre del remitente. Te piden llamar a un número.
Cómo pillarlo: que esté en el hilo no prueba nada. Llama tú al número de la web o de tu tarjeta.
🎙️ Voz clonada y deepfakes
Qué es: llamadas o audios con la voz de tu jefe, de un familiar o de un «empleado del banco». En empresas, incluso videollamadas falsas.
Cómo pillarlo: ante cualquier petición de dinero, cuelga y verifica por otro canal. Acordad una palabra clave.
🔳 Quishing (QR trampa)
Qué es: un código QR en un correo, una pegatina en un parquímetro o una carta falsa. Te lleva al móvil, donde es más difícil ver la dirección real.
Cómo pillarlo: antes de abrir, mira la dirección que muestra la cámara. Desconfía de pegatinas sobre otro código.
🧩 Falsos «no soy un robot»
Qué es: una web te pide «verificar que eres humano» pulsando unas teclas y pegando un texto. En realidad instalas tú mismo un programa espía. Se conoce como ClickFix.
Cómo pillarlo: ningún captcha real te pide abrir ventanas del sistema ni pegar comandos.
🔓 Robo de sesión (salta el 2FA)
Qué es: la web falsa hace de intermediaria con la real. Escribes tu contraseña y tu código, y el atacante se queda con tu sesión abierta.
Cómo pillarlo: usa llaves de acceso (passkeys) o un gestor de contraseñas: no rellenan nada en webs falsas.
🔑 «Autoriza esta aplicación»
Qué es: en vez de tu contraseña, te piden que des permiso a una «app» para acceder a tu cuenta de Microsoft o Google. Con ese permiso entran sin claves.
Cómo pillarlo: lee qué permisos pides conceder. Revisa y quita las apps conectadas que no reconozcas.
Infografía: ocho técnicas de phishing que crecen en 2026 y cómo detectarlas. Elaboración: Proseguridad.info con información de INCIBE, Policía Nacional, ESET y Zscaler.
Dos de estas técnicas merecen atención especial. La del SMS en el hilo del banco la alertó la Policía Nacional en agosto de 2026, según Xataka Móvil: el mensaje avisa de un cargo extraño, te da un teléfono y, al llamar, un falso empleado te pide los códigos. Es la antesala de la estafa del «acerca la tarjeta al móvil» que explicamos en nuestra guía sobre carding.
La de los QR afecta mucho a España. El informe de ESET del primer semestre de 2026 sitúa a nuestro país como el segundo del mundo en detecciones de phishing con códigos QR, solo detrás de Estados Unidos. Alrededor del 11 % de los correos de phishing que detectó ESET incluían un QR. El mismo informe describe cómo ClickFix se ha extendido a páginas que imitan ayudas sobre inteligencia artificial.
Y en las empresas, el caso que todos los responsables de seguridad conocen: en 2024, un empleado de la ingeniería Arup en Hong Kong transfirió unos 25 millones de dólares tras una videollamada en la que el director financiero y otros compañeros eran, en realidad, imágenes y voces falsas. La propia empresa confirmó el uso de deepfakes, según Fortune. Contamos más sobre voces y caras falsas en nuestro artículo sobre las estafas en citas online con IA.
Los disfraces favoritos del phishing en España
Cambian con el calendario: Hacienda en primavera, paquetería en Navidad, el banco todo el año.
- Hacienda. Durante la campaña de la renta de 2026, Maldita.es recopiló SMS de «notificación pendiente», correos de «reembolso», webs de «devolución de expediente» y hasta exigencias de pago en criptomonedas. La Agencia Tributaria no pide datos bancarios por SMS ni por correo, y mantiene una página con los casos de 2026.
- Policía, Guardia Civil e INCIBE. En julio de 2026, el INCIBE avisó de correos que suplantan a los tres a la vez, te acusan de un delito y amenazan con detenerte si no respondes en 48 horas. Ningún cuerpo policial te cita por correo electrónico con logotipos de varios organismos.
- Tu banco. El clásico: acceso sospechoso, cargo no reconocido o «actualiza tus datos». Ahora, con SMS colados en el hilo real y llamadas de falsos empleados.
- Paquetería y multas. «Tu envío está retenido», «tienes una multa de tráfico pendiente». Lo explicamos en el caso del SMS falso de paquetería.
- Microsoft, Google y las apps del trabajo. Avisos de buzón lleno, documentos compartidos o renovaciones de licencia. Son las marcas más suplantadas del mundo, según Zscaler.
Operaciones recientes contra el phishing en España
Detrás de muchos SMS falsos hay organizaciones con reparto de tareas: quien envía, quien llama, quien pone la cuenta y quien blanquea.
Castellón, julio de 2026. Operación Fragmenta. La Guardia Civil desarticuló una red que enviaba SMS masivos haciéndose pasar por bancos y después llamaba a las víctimas para sacarles los códigos. Con ellos hacían transferencias y pedían préstamos preconcedidos a su nombre. Hubo 13 detenidos y 5 investigados, y los agentes intervinieron una base de datos con información de unas 500.000 personas, según Estrella Digital.
Seis provincias, septiembre de 2026. La Policía Nacional detuvo a 44 personas por llamadas y SMS falsos de bancos, páginas de phishing, falsos alquileres y venta fraudulenta de entradas. Al menos 146 víctimas y más de 430.000 euros. El dinero pasaba por «mulas» y se convertía en criptomonedas, según La Noción.
Todas las personas detenidas o investigadas gozan de la presunción de inocencia mientras no haya sentencia firme.
⚠️ Cuidado con las ofertas de «trabajo fácil»
Estas redes necesitan cuentas bancarias de terceros para mover el dinero robado. Si alguien te ofrece dinero por recibir y reenviar transferencias, o por «prestar» tu cuenta, te están captando como mula. Aunque no sepas de dónde viene el dinero, puedes acabar investigado por blanqueo (art. 301 del Código Penal).
Lo que ya ha cambiado para frenar el phishing
Las autoridades también se mueven. Algunas medidas ya están en vigor y otras están en camino.
📵 Bloqueo de llamadas y SMS falsos
Desde 2025, las operadoras deben bloquear las llamadas y SMS con números no asignados y las llamadas desde el extranjero que se disfrazan con un número español. Las empresas ya no pueden usar móviles para llamadas comerciales (Orden TDF/149/2025).
🏷️ Registro de remitentes de SMS
Desde el 15 de mayo de 2026 funciona un registro de los nombres que usan las empresas como remitente de SMS, gestionado por la CNMC, para dificultar que un estafador firme como tu banco.
🏦 Comprobación del beneficiario
Desde octubre de 2025, al hacer una transferencia en euros tu banco comprueba si el nombre del destinatario coincide con el titular de la cuenta y te avisa si no (Reglamento (UE) 2024/886).
🤖 Etiquetas para la IA
Desde agosto de 2026, la ley europea de IA obliga a avisar cuando hablas con una máquina y a marcar las voces, vídeos e imágenes generados (art. 50). Los estafadores no lo cumplirán, pero facilita retirar contenidos y perseguir a quien los difunde.
Infografía: medidas en vigor contra el phishing en España y la UE. Elaboración: Proseguridad.info con información de La Moncloa y EUR-Lex.
El plan contra las estafas por teléfono y SMS lo detalló La Moncloa en febrero de 2025. La comprobación del beneficiario viene del reglamento europeo de transferencias inmediatas, y te protege sobre todo cuando un estafador te pide que pases tu dinero a una «cuenta segura». Sobre la IA, tienes los detalles en nuestras guías de la ley europea de IA y de sus próximas fases.
Lo que está por llegar: el nuevo Reglamento de Servicios de Pago de la UE, pactado en noviembre de 2025 y pendiente de aprobación definitiva, prevé que el banco devuelva el dinero a quien sea engañado por un falso empleado de su propia entidad. Se espera que se aplique hacia 2028. Lo explicamos más abajo, en el apartado sobre qué hacer si has picado.
Cómo protegerte del phishing en 2026
La regla de oro no ha cambiado: si te llega un mensaje, no actúes desde ese mensaje. Ve tú por tu cuenta.
Infografía · Prevención
Escudo antiphishing: en casa y en el trabajo
Para ti
✅ Nunca entres al banco, a Hacienda o a una tienda desde un enlace. Usa la app o escribe la dirección.
✅ Nunca des un código por teléfono, SMS o chat. Ningún banco ni organismo te lo pedirá.
✅ ¿Llamada urgente? Cuelga y llama tú al número oficial.
✅ Activa las llaves de acceso (passkeys) donde puedas, o usa un gestor de contraseñas.
✅ Acuerda una palabra clave con tu familia para emergencias por teléfono.
✅ Mira la dirección antes de abrir un QR y desconfía de pegatinas sobre otro código.
Para tu empresa
✅ Ningún pago ni cambio de cuenta bancaria sin confirmarlo por un segundo canal, aunque lo pida el director.
✅ Autenticación resistente al phishing (passkeys o llaves físicas) para el correo y los accesos críticos.
✅ Limita qué apps pueden pedir permisos a las cuentas corporativas.
✅ Configura SPF, DKIM y DMARC en tu dominio para que no lo puedan suplantar.
✅ Forma a la plantilla con simulacros reales, también de voz y QR.
✅ Un canal sencillo para avisar de mensajes sospechosos, sin culpas.
Fuentes: INCIBE, Policía Nacional y Agencia Tributaria. Elaboración: Proseguridad.info.
Una idea importante sobre el doble factor. Recibir un código por SMS es mejor que nada, pero ya no es un muro: los kits de robo de sesión capturan el código en tiempo real. Las llaves de acceso funcionan de otra forma: van unidas a la web auténtica y no se activan en una copia, por muy perfecta que sea. Si tu banco, tu correo o tus redes las ofrecen, actívalas.
Qué hacer si has picado en un phishing
Le pasa a cualquiera, también a expertos. Lo importante es actuar rápido y sin vergüenza.
- Si diste datos bancarios o códigos: llama ya a tu banco por su número oficial y bloquea tarjetas y accesos. Pide la devolución de lo que no autorizaste.
- Si diste una contraseña: cámbiala en esa web y en todas donde la repitieras. Cierra las sesiones abiertas y revisa las apps conectadas a tu cuenta.
- Si instalaste algo o pegaste un comando: desconecta el equipo de internet, pásale un antivirus y, si es del trabajo, avisa enseguida al departamento de informática.
- Guarda pruebas: capturas del mensaje, el número que te llamó, la dirección de la web y los movimientos.
- Denuncia ante la Policía Nacional, la Guardia Civil o en la oficina virtual de denuncias.
- Si publicaron fotos o datos tuyos, pide su retirada urgente en el canal prioritario de la AEPD.
- Pide ayuda gratis en el 017, la línea de ayuda en ciberseguridad del INCIBE, también por WhatsApp (900 116 117) y Telegram (@INCIBE017).
Sobre el dinero: si alguien usó tus datos para pagar o transferir sin tu autorización, la ley de servicios de pago te protege, pero el banco puede negarse si entiende que actuaste con negligencia grave, por ejemplo dando tú los códigos. Cada caso es distinto. Te explicamos tus derechos con detalle en nuestra guía de carding, y si el banco no te devuelve el dinero, consulta con una asociación de consumidores o un abogado. Sobre otras llamadas sospechosas, mira también nuestro artículo de las llamadas que te cuelgan.
¿Y para el estafador? El phishing suele perseguirse como estafa (arts. 248 y 249 del Código Penal), junto a otros delitos como el acceso ilegal a sistemas (art. 197 bis), la pertenencia a organización criminal o el blanqueo.
Preguntas frecuentes sobre el phishing
¿Qué es el phishing, en pocas palabras?
Es un engaño en el que alguien se hace pasar por una empresa, un organismo o una persona de confianza para robarte datos, contraseñas o dinero. El phishing puede llegar por correo, SMS, llamada, WhatsApp, redes sociales o código QR.
¿Cómo reconozco un phishing hecho con IA si no tiene faltas?
Fíjate en lo que no puede disimular: te mete prisa, te pide datos o códigos, o te lleva a un enlace. Comprueba el remitente y la dirección web, y ante la duda entra tú por tu cuenta en la web o la app oficial.
¿El doble factor me protege del phishing?
Ayuda, pero los códigos por SMS o por app se pueden robar en tiempo real con webs intermediarias. Lo que mejor resiste el phishing son las llaves de acceso (passkeys) y las llaves físicas de seguridad.
Me ha llegado un SMS en el mismo hilo que mi banco. ¿Es real?
No lo des por hecho. Los estafadores pueden falsificar el nombre del remitente para que el SMS aparezca junto a los auténticos. No llames al número del mensaje: usa el de la web del banco o el de tu tarjeta.
¿Qué es el quishing?
Es el phishing con códigos QR. Te llevan a una web falsa desde el móvil, donde cuesta más ver la dirección. España es el segundo país del mundo en detecciones de este tipo, según ESET.
¿Dónde denuncio un phishing?
Ante la Policía Nacional o la Guardia Civil, también online. Puedes reportar el mensaje al INCIBE y pedir orientación gratuita en el 017. Si suplantan a Hacienda, la Agencia Tributaria tiene su propio formulario.
Fuentes
INCIBE: balance de ciberseguridad 2025 (febrero de 2026), aviso INCIBE-2026-478 (julio de 2026) y página de phishing para la ciudadanía. Ministerio del Interior: Informe sobre la Cibercriminalidad en España 2025 (julio de 2026). Agencia Tributaria: casos de phishing 2026. La Moncloa: plan contra estafas telefónicas y SMS (febrero de 2025). EUR-Lex: Reglamento (UE) 2024/886. BOE: Código Penal. ESET Threat Report primer semestre 2026, Zscaler ThreatLabz 2026 (vía Europa Press), Cisco Talos (vía Kiteworks), Maldita.es, Xataka Móvil, Estrella Digital, La Noción y Fortune.
Este artículo es informativo y no sustituye el asesoramiento de un abogado ni de tu entidad bancaria.
