¿Qué es el whaling y por qué está en auge en América Latina?
Una nueva alerta de ciberseguridad sacude al mundo corporativo. TIVIT, empresa líder en tecnología y servicios digitales en la región, ha emitido un llamado urgente sobre el crecimiento del whaling, una modalidad de fraude cibernético en la que los atacantes suplantan la identidad de directivos de alto nivel, como CEOs o CFOs, para engañar a empleados y conseguir transferencias de dinero o información confidencial.
A diferencia del phishing convencional, que apunta de manera masiva a cualquier usuario, el whaling es un ataque dirigido y altamente personalizado. Los ciberdelincuentes invierten tiempo en estudiar a sus víctimas antes de actuar, lo que lo convierte en una de las modalidades más difíciles de detectar y, por tanto, de las más peligrosas para las organizaciones.
Cómo operan los ciberdelincuentes: tácticas de suplantación avanzada
La efectividad del whaling radica en su nivel de sofisticación. Según el análisis de TIVIT, los atacantes utilizan múltiples herramientas y fuentes de información para construir una suplantación creíble:
Inteligencia de fuentes abiertas
Los ciberdelincuentes rastrean los perfiles públicos de los directivos en plataformas como LinkedIn, Twitter o sitios corporativos. Con esta información, pueden conocer el estilo de comunicación del directivo, los proyectos en curso, los proveedores habituales y hasta el vocabulario técnico que utiliza. Esto les permite redactar correos o mensajes que parecen auténticos a primera vista.
Canales de comunicación múltiples
El fraude no se limita al correo electrónico. Los atacantes también operan a través de cuentas falsas de WhatsApp, mensajes de texto o llamadas telefónicas. En estos casos, utilizan números que imitan los de la empresa o del directivo suplantado, aumentando la credibilidad del engaño.
Clonación de voz con Inteligencia Artificial
Una de las tácticas más alarmantes que señala la alerta de TIVIT es el uso de inteligencia artificial para clonar la voz del directivo. Con apenas unos segundos de audio tomado de entrevistas, podcasts o videos públicos, la IA puede generar una voz sintética casi indistinguible de la original. Esto permite a los atacantes llamar a un empleado haciéndose pasar por su jefe y solicitar una transferencia urgente o el envío de documentos sensibles.
El panorama en América Latina: una región en la mira
Los datos que respaldan la alerta de TIVIT son contundentes. Según el último informe de ESET, el 27% de las empresas en América Latina sufrió al menos un ciberataque en el último año. Además, la región concentró cerca del 9% de todos los incidentes cibernéticos investigados globalmente en 2025, una cifra significativa para una región que históricamente no había sido el principal objetivo de los ciberdelincuentes organizados.
Este aumento en la actividad maliciosa en la región responde a varios factores: la acelerada digitalización de las empresas latinoamericanas, la adopción masiva de herramientas de comunicación digital y, en muchos casos, una madurez en ciberseguridad que aún no ha alcanzado el nivel de sofisticación de los ataques que enfrenta.
El costo real de un ataque de whaling
Las pérdidas por este tipo de fraude pueden ser devastadoras. A nivel global, se estima que el Business Email Compromise (BEC), categoría en la que se engloba el whaling, genera pérdidas de miles de millones de dólares al año. En Colombia y otros países de la región, varios casos han trascendido públicamente, evidenciando que ninguna empresa está exenta de riesgo, independientemente de su tamaño o sector.
Cómo proteger a su organización del whaling
Frente a esta amenaza en evolución, los expertos de TIVIT y la comunidad de ciberseguridad recomiendan implementar una serie de medidas preventivas que combinen tecnología, procesos y cultura organizacional.
Verificación de identidad en operaciones críticas
Toda solicitud de transferencia de dinero o acceso a información sensible que llegue por correo electrónico, WhatsApp o llamada debe ser verificada por un canal secundario oficial. Si el CFO envía un correo pidiendo una transferencia urgente, el empleado debe llamar directamente al número corporativo registrado del CFO antes de ejecutar cualquier acción.
Capacitación continua del equipo
La primera línea de defensa es el factor humano. Las organizaciones deben invertir en programas de capacitación regulares que incluyan simulacros de ataques de phishing y whaling, para que los empleados aprendan a identificar señales de alerta y a reaccionar correctamente ante ellas.
Implementación de autenticación multifactor
El uso de autenticación multifactor en todos los sistemas críticos dificulta que un atacante pueda completar una operación fraudulenta incluso si logra engañar inicialmente a un empleado. Esta medida, junto con el monitoreo continuo de transacciones inusuales, es fundamental en cualquier estrategia moderna de ciberseguridad corporativa.
El whaling representa una evolución inquietante en el panorama de las amenazas digitales. La combinación de ingeniería social avanzada, inteligencia artificial y el aprovechamiento de la información pública disponible en redes sociales hace de este tipo de fraude un desafío complejo para las áreas de seguridad de cualquier organización. En un entorno donde la digitalización avanza más rápido que la conciencia de sus riesgos, la prevención y la educación son las herramientas más poderosas con las que cuentan las empresas.
