Recibir una notificación sobre filtraciones de datos solía ser algo poco común. Sin embargo, con las brechas de datos alcanzando cifras récord, estos avisos ya no resultan tan sorprendentes como antes.
Sólo en Estados Unidos se informaron el año pasado 3,322 filtraciones, que derivaron en casi 280 millones de notificaciones enviadas por email a las víctimas. En Europa, los incidentes diarios crecieron un 22 % interanual en 2025, hasta alcanzar un promedio de 443 por día. ESET advierte que este escenario representa una oportunidad cada vez mayor para los estafadores, ya que saben que muchas personas están atentas a este tipo de notificaciones y que, al recibir una, pueden estar más predispuestas a seguir las instrucciones que contiene.
“Es importante aclarar algo: las filtraciones reales ocurren todos los días, e ignorar una notificación legítima puede ser tan peligroso como hacer clic en una falsa. El objetivo es dejar de reaccionar de forma automática y aprender a distinguir una alerta auténtica de una fraudulenta. Tomarse un momento para familiarizarse con las estafas que usan como excusa las filtraciones de datos, y estar mejor preparado cuando la próxima llegue a la bandeja de entrada”, aclara Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica.
Existen dos tácticas principales que utilizan las estafas que simulan notificaciones de filtración de datos:
Los estafadores esperan a que ocurra una filtración real y aprovechan la noticia para enviar notificaciones falsas. En este escenario, es más probable que las víctimas crean el engaño, ya que esperan recibir un aviso legítimo.
Inventan una filtración inexistente y envían una notificación falsa con supuestos detalles del incidente. Por lo general, el mensaje se hace pasar por una marca conocida y popular para resultar relevante y generar confianza. En otros casos, los estafadores pueden suplantar al área de sistemas o IT del propio lugar de trabajo de la víctima.
En ambos casos desde ESET destacan que los estafadores recurren cada vez más a kits de phishing y herramientas de inteligencia artificial para automatizar y mejorar la creación de estas notificaciones falsas. La IA resulta especialmente eficaz para crear mensajes muy similares a los reales, en el idioma local y con el mismo tono y estilo. También suelen incluir logotipos y elementos visuales oficiales para reforzar la apariencia de legitimidad.
“Todo esto puede hacerse en cuestión de minutos, lo que permite enviar notificaciones falsas de forma masiva poco después de que se haga pública una filtración, o incluso de un evento completamente inventado. El objetivo final puede ser engañarte para que hagas clic en un enlace malicioso o abras un archivo adjunto peligroso, lo que podría instalar malware diseñado para robar información. En otros casos, el mensaje sirve como excusa para obtener tus datos personales, financieros o tus contraseñas”, agrega Micucci.
Las notificaciones falsas suelen ser fáciles de identificar si se sabe qué buscar. Desde ESET recomiendan tener en cuenta estas señales de advertencia:
Solicitud de acción inmediata: los estafadores utilizan técnicas clásicas de ingeniería social para apurar a su víctima a compartir información personal o hacer clic en enlaces maliciosos. Esto suele incluir mensajes alarmistas que advierten que los datos están en riesgo si no se actúa de inmediato, por ejemplo, cambiando una contraseña o confirmando información personal.
Remitente de correo inusual: es común que se falsifique la dirección del remitente para que parezca provenir de la organización legítima. Prestar atención a errores tipográficos en el nombre del dominio y revisar la dirección real pasando el cursor sobre el remitente.
Errores de ortografía y gramática: aunque esto es menos frecuente ahora que muchos actores maliciosos usan IA generativa, sigue siendo una señal útil para una primera verificación.
Enlaces y archivos adjuntos sospechosos: muchos de estos correos contienen enlaces a sitios de phishing diseñados para robar datos personales o financieros, o incluyen archivos adjuntos que aparentan ser notificaciones oficiales, pero instalan malware.
Poca información específica: las empresas que han sufrido una filtración real suelen incluir datos concretos, como parte de la información de cuenta. Los estafadores no cuentan con esos datos, por lo que sus mensajes suelen ser vagos y poco detallados.
