El phishing sigue siendo, año tras año, la principal puerta de entrada de las fugas de información en las empresas. No hace falta un ataque sofisticado: basta un correo bien redactado, una llamada convincente o un SMS con un enlace, para que una sola persona facilite el acceso a los sistemas de toda una organización. Esto convierte al phishing en un asunto que ya no es solo técnico, sino directamente jurídico: cuando el ataque afecta a datos personales, entran en juego el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
Este artículo explica, con fundamento legal y sin tecnicismos innecesarios, cómo detectar un intento de phishing, qué exige la normativa española y europea ante estos ataques, y cómo evitar que un correo fraudulento termine convertido en una fuga de datos personales.
Qué es el phishing y por qué es una puerta de entrada a las fugas de datos
El phishing es una técnica de ingeniería social que busca engañar a una persona para que revele credenciales, datos personales o información confidencial, o para que ejecute una acción (como abrir un archivo o hacer clic en un enlace) que compromete la seguridad de los sistemas. Existen variantes según el canal: el phishing clásico por correo electrónico, el smishing por SMS, el vishing por llamada telefónica, y el spear phishing, dirigido de forma personalizada a una persona o cargo concreto dentro de la empresa.
Marco normativo: RGPD, LOPDGDD y notificación de brechas
El artículo 5.1.f y el artículo 32 RGPD obligan a implantar medidas técnicas y organizativas adecuadas para proteger los datos personales frente a accesos no autorizados, incluidos los derivados de un ataque de phishing exitoso. Cuando el ataque llega a comprometer datos personales, se activa el régimen de los artículos 33 y 34 RGPD: el responsable debe notificar la brecha de seguridad a la Agencia Española de Protección de Datos (AEPD) en el plazo de 72 horas desde que tuvo constancia de ella, y comunicarla también a los afectados cuando exista un riesgo alto para sus derechos y libertades.
La LOPDGDD refuerza el régimen sancionador (artículos 70 a 77) y, cuando el phishing afecta a cuentas de correo corporativo o dispositivos de trabajo, entran también en juego los derechos digitales de los trabajadores reconocidos en el artículo 87 y siguientes. Según el sector, pueden aplicar además la Ley de Servicios de la Sociedad de la Información (LSSI-CE), el Esquema Nacional de Seguridad (ENS) para proveedores del sector público, y la normativa derivada de la Directiva NIS2, en proceso de transposición en España, que refuerza las obligaciones de gestión de riesgos de ciberseguridad para determinadas entidades.
Bases de legitimación para las medidas anti-phishing
Las herramientas de filtrado de correo, detección de enlaces maliciosos o bloqueo automático de adjuntos sospechosos se amparan, con carácter general, en el artículo 6.1.c RGPD (cumplimiento de una obligación legal derivada del deber de seguridad del artículo 32) y en el artículo 6.1.f (interés legítimo del responsable en proteger sus sistemas). Cuando estas herramientas implican analizar el contenido de las comunicaciones de los empleados de forma más detallada, es necesario documentar un test de ponderación (LIA) que respete el derecho a la intimidad y al secreto de las comunicaciones reconocido en el artículo 87 LOPDGDD, e informar previamente a la plantilla de los criterios de uso de estos medios digitales, conforme exige el artículo 88 LOPDGDD.
¿Es obligatoria una evaluación de impacto (EIPD) para implantar medidas anti-phishing?
Con carácter general, implantar un filtro anti-phishing estándar o realizar simulacros puntuales no exige, por sí solo, una EIPD conforme al artículo 35 RGPD. La obligación surge cuando la herramienta implica una monitorización sistemática y exhaustiva del comportamiento de los empleados, un análisis de contenido a gran escala, o el uso de sistemas de prevención de fuga de datos (DLP) con capacidad de perfilado. En estos supuestos, la EIPD debe realizarse antes de implantar la herramienta, valorando alternativas menos invasivas y documentando la proporcionalidad de la medida.
Cómo detectar un intento de phishing
- Remitente que imita a una entidad conocida pero con un dominio ligeramente distinto o extraño.
- Sensación de urgencia o amenaza: «tu cuenta será bloqueada», «pago pendiente inmediato».
- Enlaces acortados o que, al pasar el cursor por encima, muestran una URL distinta a la que aparenta el texto.
- Errores ortográficos o de traducción poco habituales en comunicaciones oficiales.
- Solicitud directa de credenciales, contraseñas o datos bancarios por correo, SMS o llamada.
- Archivos adjuntos inesperados, especialmente con extensiones ejecutables o macros.
Cómo evitar fugas de información derivadas de phishing
- Autenticación multifactor en todos los accesos críticos, para que una contraseña filtrada no sea suficiente.
- Formación periódica y simulacros de phishing, informados previamente en la política interna de uso de medios digitales.
- Filtrado de correo y bloqueo de enlaces y adjuntos maliciosos a nivel técnico.
- Segmentación de accesos bajo el principio de mínimo privilegio, para limitar el alcance de un compromiso puntual.
- Plan de respuesta ante incidentes que incluya el aislamiento inmediato del equipo afectado y el cambio de credenciales.
- Procedimiento claro de notificación de brechas de seguridad, con responsables designados y plazos internos que permitan cumplir el límite de 72 horas del RGPD.
Qué hacer si ya has sido víctima de un phishing
- Aislar el dispositivo o cuenta comprometida de la red corporativa.
- Cambiar de inmediato las credenciales afectadas y las de cualquier servicio que las reutilice.
- Valorar, junto con el delegado de protección de datos, si el incidente constituye una brecha de seguridad conforme al RGPD.
- Notificar a la AEPD en el plazo de 72 horas si procede, y comunicar a los afectados cuando exista un riesgo alto para sus derechos.
- Documentar el incidente y las medidas adoptadas, aunque finalmente no sea necesario notificarlo, conforme exige el principio de responsabilidad proactiva.
Beneficios y riesgos de estas medidas
Los beneficios son evidentes: menor probabilidad de sufrir una fuga de datos, cumplimiento del deber de seguridad del RGPD y una respuesta más rápida y ordenada ante un incidente real. El riesgo a vigilar es distinto: los simulacros de phishing y las herramientas de monitorización de correo pueden generar tensión con la plantilla si no se aplican con transparencia y proporcionalidad. Un simulacro no informado o excesivamente frecuente puede vulnerar el derecho a la intimidad de los trabajadores y generar, paradójicamente, un riesgo legal nuevo.
Proporcionalidad: adaptar las medidas al tamaño y al riesgo real
El artículo 24 RGPD exige que las medidas sean proporcionadas al riesgo real del tratamiento y al tamaño de la organización. Una pyme no necesita el mismo despliegue de herramientas DLP que una gran corporación, pero sí necesita, como mínimo, autenticación multifactor, formación básica y un procedimiento claro de respuesta ante incidentes, documentado y revisado periódicamente.
El phishing no se combate solo con tecnología: se combate con formación, procedimientos claros y un marco legal bien aplicado. En SIPY ayudamos a empresas a implantar estas medidas de forma proporcionada, a diseñar simulacros respetuosos con los derechos digitales de los trabajadores y a responder con garantías ante un incidente real. Si quieres saber qué te falta por cubrir, hablemos.
#Phishing #RGPD #LOPDGDD #Ciberseguridad #ProtecciónDeDatos #sipylopd #SIPY
Este contenido tiene finalidad divulgativa. No sustituye un asesoramiento legal específico adaptado a cada organización. La necesidad concreta de una evaluación de impacto, la base de legitimación aplicable a un tratamiento determinado, la calificación de un incidente como brecha de seguridad notificable o las medidas de seguridad exigibles en cada caso deben valorarse de forma individualizada. Para ese análisis específico, recomendamos una consulta directa con nuestro equipo de protección de datos y ciberseguridad.
