Casi la mitad del tráfico mundial de correo electrónico en 2025 fue spam —un 44,99%. Y sin embargo, seguimos usándolo todos los días para las cosas más críticas del negocio.
El 80% de las personas revisa su correo electrónico debido a que recibe mensajes de trabajo críticos, según datos de Zero Bounce citados por Internovatec (datos actualizados). El 88% lo utiliza a diario y el 80% lo revisa porque recibe mensajes de trabajo urgentes.
Ahí está la paradoja: la herramienta que sostiene la operación diaria es también la puerta de entrada favorita de los atacantes.
Un correo corporativo mal configurado no es un descuido técnico aislado; es una invitación abierta al phishing, a la fuga de datos y, en última instancia, a la pérdida de confianza de tus clientes.
Un canal crítico convertido en superficie de ataque
El correo no es solo texto. Es la llave que da acceso a identidades, flujos de pago, conversaciones con clientes y documentos sensibles. Por eso los atacantes lo explotan sin descanso.
En 2025, los usuarios se toparon con más de 144 millones de adjuntos maliciosos o no deseados, un 15% más que el año anterior.
Y no hablamos solo de malware genérico: uno de cada diez ataques a empresas empieza con un correo de phishing, y una parte importante corresponde a amenazas avanzadas persistentes.
La escala no para de crecer. El APWG registró 4,8 millones de ataques de phishing en 2024, el nivel más alto desde que el organismo empezó a contar en 2003, un 20% más que en 2023.
Mientras tanto, en 2025 los ataques de phishing contra usuarios corporativos se multiplicaron hasta triplicar la incidencia de los basados en malware, según datos de SpyCloud. El buzón de entrada se ha convertido en una zona de combate.
El coste de ignorar el correo: phishing, BEC y daño reputacional
Phishing: el vector inicial que rompe la cadena de confianza
El phishing no es un juego de principiantes. Sigue siendo el vector de ataque inicial más común por cuarto año consecutivo, según el informe de IBM sobre el coste de las filtraciones en 2026. Es responsable del 16% de todas las brechas de datos y cuesta a las organizaciones 4,88 millones de dólares de media por incidente.
El 60% de las brechas de seguridad están relacionadas con el factor humano, según The Network Installers (2025). Y el factor humano sigue siendo el eslabón más débil. El DBIR 2025 de Verizon revela que el 60% de las filtraciones se debieron a intervención humana, y el phishing representó el 23% de todas las brechas.
Un solo clic en un enlace falso puede abrir la puerta a una crisis que dure meses.
BEC: el correo como arma de fraude financiero directo
Si el phishing genérico es preocupante, el Business Email Compromise (BEC) es directamente devastador. Hablamos de ataques en los que los delincuentes usan identidades comprometidas, suplantadas o impersonadas para engañar a una organización y conseguir transferencias de dinero, cambios en los datos de pago o información sensible.
El FBI IC3 recibió 24.768 quejas por BEC en 2025, con unas pérdidas declaradas de 3.050 millones de dólares, muy por encima de los 2.770 millones de 2024. Aunque el BEC solo representa el 2% de las amenazas observadas, acapara el 21% de los resultados de ataque, según Microsoft.
En Estados Unidos, el 76% de las organizaciones sufrió intentos o ataques reales de fraude de pagos en 2025, y cerca del 74% fue víctima de BEC, de acuerdo con la encuesta AFP 2026.
Los incidentes de suplantación en el correo empresarial crecieron un 13% en 2024, y la plataforma Trend Vision One bloqueó casi 57 millones de amenazas de alto riesgo, un 27% más que el año anterior, según Trend Micro. El BEC no es ruido: es un impacto financiero directo y creciente.
Daño reputacional y recuperación lenta
El dinero no lo es todo. La factura reputacional puede ser aún más difícil de pagar. El coste medio global de una filtración de datos alcanzó los 4,99 millones de dólares en 2026, un 12% más que en 2025, según IBM.
Y la recuperación no es automática: solo el 42% de las organizaciones se había recuperado por completo en el momento de la investigación.
Datos más recientes indican que el 46% de las empresas que sufren una filtración padece daños reputacionales a largo plazo, según un informe de Forbes Insight. La confianza se gana en años y se pierde en un solo correo mal gestionado.
Por qué el correo corporativo sigue desprotegido
DMARC: registros que no protegen de verdad
SPF, DKIM y DMARC son los protocolos de autenticación que ayudan a verificar quién envía realmente un correo y a prevenir la suplantación. Cloudflare explica que DMARC une SPF y DKIM y define qué hacer cuando un email falla la autenticación: desde no hacer nada hasta rechazarlo de plano.
La teoría es sólida. La realidad, otra: de los 937.931 dominios con un registro DMARC válido en 2026, 525.996 siguen en política p=none, es decir, solo monitoreando, sin bloquear nada. Solo 159.691 dominios —apenas un 9% del total— han dado el paso definitivo hacia p=reject con informes RUA, según el DMARC Report.
La brecha entre grandes y medianas empresas es abismal: casi cuatro veces más empresas Fortune 500 (62,7%) que compañías Inc. 5000 (15,2%) han alcanzado p=reject. Mientras, el gobierno central del Reino Unido bloqueó más de 80 millones de correos falsificados en un solo mes. Tener DMARC no basta; hay que ponerlo a trabajar.
Cifrado y errores humanos: brechas evitables
La desprotección no solo está en los protocolos. El 53% de las organizaciones afectadas por una filtraci\u00f3n no hab\u00eda cifrado los datos sensibles, ni en reposo ni en tr\u00e1nsito, seg\u00fan IBM 2026.
Y la mitad de los incidentes provocados por errores humanos en entornos corporativos se debieron a correos mal dirigidos, de acuerdo con el DBIR 2025 de Verizon. Un clic equivocado al completar el campo «Para» y la información reservada acaba en la bandeja equivocada.
Son fallos evitables que se combinan con la falta de cifrado para multiplicar el riesgo.
Una amenaza que evoluciona: IA, QR y phishing fuera del buzón
Los atacantes tampoco se han quedado quietos. Los correos de phishing generados por inteligencia artificial alcanzan una tasa de clic un 60% superior a los tradicionales, según un estudio de la Universidad de Oxford recogido por CaptainDNS.
Los ataques mediante códigos QR se dispararon un 400% entre 2023 y 2025, según Abnormal Security. Y los kits de Phishing-as-a-Service automatizan campañas capaces de sortear la autenticación multifactor usando técnicas adversario-en-el-medio que interceptan tokens de sesión, como detalla Hispasec.
Además, el phishing móvil por voz y SMS ya genera tasas de clic un 40% más altas que el correo; la amenaza ya no se limita al buzón tradicional y exige ampliar la defensa a todos los canales.
Marco práctico para evaluar y fortalecer el correo corporativo
No basta con alarmarse. Este marco de cinco criterios te permite auditar tu correo corporativo sin ser ingeniero de seguridad. Pregúntate si cada punto se cumple, se cumple a medias o no se cumple.
Criterio 1 — Autenticación del dominio
Revisa SPF, DKIM y DMARC. El objetivo es avanzar de p=none a p=reject con informes habilitados, priorizando los dominios que envían campañas y facturas.
La evidencia es tozuda: solo 159.691 dominios en todo el mundo operan con la máxima protección, según DMARC Report. Si tu dominio no está entre ellos, cualquiera puede suplantarlo.
Una forma directa de cerrar esa brecha es adoptar un correo corporativo con cifrado de extremo a extremo y políticas de seguridad robustas que faciliten llegar a p=reject sin comprometer la entregabilidad.
Criterio 2 — Filtrado de mensajes y adjuntos
No todo el phishing llega desde fuera, pero la mayor parte sí. En 2025, el sistema antiphishing de Kaspersky frustró más de 554 millones de intentos de abrir enlaces maliciosos y su antivirus de correo bloqueó casi 145 millones de adjuntos peligrosos. Un buen filtrado a nivel de servidor marca la diferencia entre un susto y un incidente grave.
Criterio 3 — MFA sin excepción
La autenticación multifactor puede bloquear más del 99,2% de los ataques de compromiso de cuentas, según Microsoft. Sin embargo, solo el 87% de las grandes empresas la ha implementado, según TheNetworkInstallers.
Activar MFA en todas las cuentas de correo corporativo es la medida de protección más rentable que existe.
Criterio 4 — Formación realista y basada en comportamiento
Las cifras hablan solas: una formación realista reduce las tasas de clics en phishing un 86% en un año, y un usuario formado tiene cuatro veces más probabilidades de identificar un correo fraudulento, según el DBIR 2025 de Verizon. No se trata de cursos anuales aburridos, sino de simulaciones periódicas y feedback inmediato.
Criterio 5 — Monitoreo, respuesta y mejora continua
En 2025, el FBI IC3 recibió por primera vez más de un millón de quejas por ciberdelitos, con pérdidas totales de 20.877 millones de dólares, un 26% más que el año anterior, y el phishing fue el crimen más reportado con 191.561 denuncias, según el DMARC Report.
La vigilancia no termina cuando activas DMARC o MFA; necesitas monitorizar qué correos se están rechazando, quién intenta suplantar tu dominio y cómo responde tu equipo.
Para profundizar en una arquitectura de defensa por capas diseñada específicamente para equipos de marketing, consulta esta guía sobre soluciones de seguridad profesionales para equipos de marketing.
Matices y contrapuntos: lo que las estadísticas no cuentan
Poner el foco solo en el correo electrónico puede generar una falsa sensación de control. El DBIR 2026 de Verizon muestra que la explotación de vulnerabilidades superó al abuso de credenciales como principal vector de acceso inicial (31% de las filtraciones), y el phishing móvil por voz y SMS produce tasas de clic un 40% más altas que el email.
Además, conviene ser prudente con las cifras: muchas provienen de informes de proveedores con metodologías diferentes, DMARC en p=reject puede afectar la entregabilidad si SPF/DKIM no están afinados, y la formación reduce clics, pero no elimina los fallos técnicos.
Por último, algunos datos sin fecha citados en este artículo deberían verificarse antes de tomar decisiones, pero la tendencia es innegable.
Conclusión: blindar el canal antes de que cueste caro
El correo corporativo sigue siendo insustituible para el negocio y, al mismo tiempo, el vector más explotado y uno de los más costosos cuando falla.
La buena noticia es que protegerlo no requiere un presupuesto descomunal: auditar la configuración, activar DMARC en política de rechazo, cifrar los datos sensibles, formar a tu equipo y desplegar MFA son pasos concretos que reducen drásticamente la superficie de ataque.
Si delegar la protección te parece abrumador, una ciberseguridad gestionada para empresas puede ayudarte a mantener el foco en lo que mejor sabes hacer mientras los expertos blindan tu canal de comunicación más valioso.
Citar este contenido
Copia fácilmente la referencia bibliográfica de esta publicación.