Estafas que parecen reales: claves cognitivas, emocionales y contextuales para reconocer el phishing y la ingeniería social

Introducción: por qué los mensajes fraudulentos resultan creíbles

El phishing no depende exclusivamente de errores lingüísticos ni de imitaciones visuales deficientes. Un mensaje fraudulento puede parecer verosímil cuando encaja con una actividad esperada, activa una preocupación inmediata o utiliza información personal para reducir la distancia entre atacante y destinatario. La credibilidad surge, por tanto, de la relación entre el contenido del mensaje, el contexto de recepción y el estado cognitivo de quien decide. La revisión de 70 estudios identifica 47 constructos distribuidos entre procesamiento cognitivo, rasgos personales, contexto, experiencia, técnicas de influencia y características del mensaje (Luo et al., 2025).

La evidencia reciente desplaza la explicación desde una vulnerabilidad estable hacia una decisión situada. La misma persona puede distinguir correctamente un correo en condiciones tranquilas y aceptar otro durante una tarea urgente, una búsqueda laboral o una reorganización empresarial. El análisis debe conectar las señales observables con las emociones, los objetivos activos y las condiciones organizacionales; solo así puede explicar por qué reconocer el phishing exige más que memorizar una lista de indicios.

Las señales de persuasión que construyen la apariencia de legitimidad

Urgencia, autoridad, reciprocidad y escasez como recursos de ingeniería social

Las estafas emplean principios de persuasión para orientar la interpretación antes de que el destinatario compruebe el enlace o la identidad del remitente. La autoridad puede presentarse mediante una figura directiva, la escasez mediante una ventana temporal limitada, la reciprocidad mediante una solicitud que aparenta corresponder a un favor previo y la prueba social mediante la referencia a compañeros o procedimientos compartidos. En una muestra de 2.300 correos universitarios recopilados entre 2010 y 2023, autoridad y escasez fueron recursos frecuentes, mientras que los errores ortográficos disminuyeron con el tiempo (Morrow, 2024).

Los experimentos muestran que la frecuencia de una técnica no determina por sí sola su capacidad de engaño. En una tarea con 200 participantes, los mensajes que contenían escasez o prueba social se detectaron mejor que otros mensajes, y la presión temporal redujo la detección general, aunque no modificó de forma estadísticamente significativa el efecto específico de esas técnicas (Auton & Sturman, 2025). Esta aparente paradoja indica que una señal persuasiva puede llamar la atención porque resulta saliente, mientras que otra puede integrarse en una situación cotidiana y pasar inadvertida.

La ingeniería social combina así dos operaciones: ofrece una interpretación plausible y reduce la motivación para verificarla. Un correo sobre la llegada de una nueva persona directora puede resultar creíble porque coincide con expectativas internas, incluso entre empleados conscientes de la seguridad (Hable et al., 2025). La autoridad no actúa de manera aislada; adquiere fuerza cuando el contexto organizacional la hace pertinente.

Rasgos lingüísticos, visuales y contextuales de los correos de phishing

Los rasgos lingüísticos permiten detectar formas de ambigüedad que una lectura rápida puede aceptar como naturales. Los modelos de clasificación que incorporan vaguedad y subjetividad superaron a clasificadores de referencia en la puntuación F, porque los mensajes fraudulentos tendían a usar formulaciones ambiguas, opiniones, emociones o afirmaciones exageradas (Shovo & Valecha, 2025). Este resultado no convierte toda vaguedad en prueba de fraude: un correo legítimo también puede ser impreciso, y una estafa bien redactada puede evitar errores visibles.

La apariencia visual debe interpretarse junto con el contenido y la situación. Las ayudas visuales produjeron mejoras modestas en un estudio con 55 participantes, pero también aumentaron la clasificación errónea de mensajes legítimos; la retroalimentación explicativa posterior elevó la exactitud global hasta el 70% en una tarea nueva (Champa et al., 2025). La señal visual aislada, por tanto, no garantiza una decisión correcta.

El contexto cambia qué señales parecen normales. Los correos dirigidos a universidades han evolucionado desde mensajes centrados en seguridad hacia imitaciones de la vida institucional, como ofertas de empleo (Morrow, 2024). En consecuencia, la evaluación debe preguntar qué acción solicita el mensaje, por qué llega ahora y si el canal corresponde al procedimiento habitual, en lugar de depender de la ortografía, el logotipo o el tono.

La personalización y el papel emergente de los modelos de lenguaje

Los modelos de lenguaje permiten producir mensajes adaptados a unos pocos datos sobre la persona destinataria, lo que reduce el coste de preparar campañas de spear phishing (Heiding et al., 2024). En un experimento con 112 participantes, los correos generados por GPT-4 alcanzaron tasas de clic del 30-44%, frente al 19-28% de los mensajes genéricos; los mensajes diseñados mediante reglas de persuasión obtuvieron 69-79%, y la combinación de GPT-4 con esas reglas alcanzó 43-81% (Heiding et al., 2024). Las cifras muestran que la automatización puede aumentar la escala y la adecuación aparente, aunque el rango amplio también revela diferencias entre destinatarios.

La personalización no tiene un efecto uniforme cuando se controla el tipo general de estafa. En un experimento repetido con 102 participantes y 2.294 correos, la clase de estafa explicó el 6% de la variación en la susceptibilidad a enlaces y el 3% en la ejecución de código; una vez controlada esa clase, no aparecieron relaciones robustas entre adaptación, técnicas de influencia y susceptibilidad (Sommestad & Karlzén, 2024). Los modelos de lenguaje pueden producir mensajes persuasivos, pero su eficacia sigue dependiendo del escenario concreto y de la decisión que se solicita.

Cómo intervienen el conocimiento, las emociones y la carga cognitiva

Estilos de decisión, uso de indicios y conocimiento sobre phishing

La detección exige algo más que declarar que la seguridad importa. En un estudio con 145 participantes, la utilización de indicios fue el único predictor que explicó de forma exclusiva la capacidad de distinguir correos fraudulentos de correos genuinos; el conocimiento sobre phishing se asoció con una mayor detección, pero también con una tendencia a clasificar todos los mensajes como fraudulentos (Sturman et al., 2024). La preferencia por decisiones intuitivas predijo una detección menor, principalmente porque aumentó la clasificación de mensajes genuinos.

Otro estudio, con 291 participantes, observó que la conciencia sobre seguridad de la información se relacionaba con mejores intenciones conductuales directamente y mediante una menor preferencia por decisiones intuitivas (Sturman, Bell, et al., 2024). Estas relaciones fueron más fuertes cuando el conocimiento específico sobre phishing era bajo, y la conciencia predijo mejor discriminación cuando dicho conocimiento era medio o alto, pero no cuando era bajo (Sturman, Bell, et al., 2024). La conciencia general parece necesitar asociaciones concretas para convertirse en una revisión efectiva.

La distinción entre conocimiento declarativo y uso de indicios orienta el diseño formativo. Saber que la urgencia puede ser sospechosa no equivale a reconocer cómo se combina con un dominio, una solicitud y una identidad concretos. La formación debe practicar asociaciones entre señales y decisiones, sin premiar una estrategia de rechazo indiscriminado que bloquee también mensajes legítimos. Esta conclusión enlaza con la influencia de las emociones, que puede alterar qué indicios reciben atención.

Miedo, confianza, implicación del mensaje y sesgos de optimismo

Las emociones modifican la interpretación del mensaje antes de que se complete una comprobación racional. En un experimento con 474 participantes, los mensajes que inducían valencia positiva y baja certeza produjeron mayor susceptibilidad al phishing (Tian et al., 2024). Este resultado amplía los modelos centrados en el razonamiento analítico: una emoción agradable o ambigua puede reducir la vigilancia sin necesidad de provocar miedo explícito.

La implicación del mensaje también puede aumentar el riesgo. En una encuesta basada en un escenario de búsqueda de empleo con unas 232 personas, la implicación elevó la susceptibilidad, mientras que la sospecha contrarrestó parcialmente esa asociación (Li & Chua, 2025). La conciencia sobre phishing tuvo un efecto doble: disuadió respuestas, pero hizo que participantes informados fueran menos vigilantes ante mensajes que consideraban personalmente atractivos (Li & Chua, 2025). El conocimiento, por tanto, no opera como protección automática cuando la relevancia personal confirma lo que el destinatario desea que sea cierto.

El sesgo de optimismo añade una disposición general a subestimar el riesgo propio. En 226 respuestas de una organización financiera sudafricana, los empleados con mayor optimismo irreal mostraron una inclinación hacia conductas inseguras, mientras que actitud y confianza se asociaron con la intención de comportarse de manera segura (Owen et al., 2024). Este diseño correlacional no demuestra que el optimismo cause cada respuesta, pero identifica una condición que la formación debería abordar explícitamente.

Presión temporal, multitarea y activación de objetivos

La presión temporal modifica la cantidad de información que puede revisarse. En un experimento con 200 participantes, quienes dispusieron de 15 segundos detectaron mejor los correos fraudulentos y los enlaces inseguros que quienes dispusieron de 7 segundos (Auton & Sturman, 2025). El efecto específico de los principios persuasivos no dependió estadísticamente del límite temporal, lo que sugiere que la restricción afecta la revisión general más que una técnica concreta.

La multitarea aproxima el experimento a la actividad cotidiana. Dos experimentos sobre detección con carga de memoria de trabajo mostraron que el aumento de esa carga redujo la exactitud, mientras que la activación de un objetivo de detección la mejoró y atenuó el efecto negativo de la carga (Lu et al., 2025). La activación del objetivo fue más relevante ante mensajes formulados como ganancias que ante mensajes formulados como pérdidas (Lu et al., 2025). Una instrucción breve que recuerde el objetivo puede ayudar, pero no sustituye la reducción de demandas concurrentes.

El contexto emocional y el cognitivo se refuerzan mutuamente. Un mensaje atractivo puede ocupar recursos que deberían dedicarse a comprobar el remitente, mientras una tarea urgente puede impedir que una persona aplique conocimientos que posee. Por ello, la conducta observable debe analizarse como el resultado de indicios, emociones, objetivos y carga mental, no como una propiedad fija del usuario.

Una vulnerabilidad variable: contexto organizacional, automatización e imprevisibilidad

Por qué la misma persona no responde igual ante todos los mensajes

La susceptibilidad variable cuestiona las clasificaciones simples de usuarios prudentes y usuarios descuidados. La variación depende del tipo de estafa, de la acción solicitada y de la correspondencia entre el mensaje y las expectativas del destinatario. El experimento repetido de 102 participantes atribuyó más variación a la clase general de estafa que a la adaptación o a las técnicas de influencia una vez controlado ese factor (Sommestad & Karlzén, 2024). Esto limita las conclusiones basadas en un único correo o una única puntuación individual.

La personalización puede aumentar la plausibilidad, pero no siempre explica la respuesta. Una oferta laboral, una petición administrativa y una comunicación sobre una dirección pueden activar objetivos distintos. El modelo integrador de 70 estudios agrupa características del mensaje con factores cognitivos, personales, experienciales y contextuales, lo que permite entender la susceptibilidad como una configuración de condiciones (Luo et al., 2025). Esta perspectiva evita convertir un resultado experimental en una regla universal.

Factores organizacionales y situaciones que favorecen la susceptibilidad

El contexto organizacional modifica qué mensajes parecen coherentes. Un estudio cualitativo que combinó una campaña realista con entrevistas encontró que la expectativa de la llegada de una nueva persona directora podía aumentar la credibilidad y favorecer un procesamiento heurístico incluso entre empleados conscientes de la seguridad (Hable et al., 2025). La carga de trabajo produjo resultados menos lineales: podía inducir procesamiento heurístico, pero también evaluación aplazada y procesamiento más sistemático, con menor susceptibilidad en ciertas situaciones (Hable et al., 2025).

El análisis cualitativo comparativo en una empresa manufacturera europea se diseñó para examinar configuraciones entre contexto organizacional, condiciones ambientales y características del ataque (Hable et al., 2024). Estos estudios desplazan la responsabilidad desde la persona aislada hacia las rutinas, los cambios institucionales y la disponibilidad real para verificar. Una defensa contextual debe considerar cuándo se envían las solicitudes, qué canales de confirmación existen y cuánto tiempo permite la organización para revisar una acción.

El debate sobre la complacencia ante los filtros automáticos

La complacencia ante la automatización aparece cuando la clasificación técnica sustituye la evaluación humana. En un experimento con 50 clasificaciones de correo, quienes creían que el filtro tenía alta fiabilidad tendieron a seguir su decisión y mostraron peor capacidad de clasificación cuando esa fiabilidad se presentaba como elevada (Sarno et al., 2024). El resultado respalda una relación entre confianza en el filtro y dependencia de su etiqueta, aunque no permite afirmar que toda automatización produzca pasividad.

La conclusión práctica no es retirar los filtros, sino diseñar una división de responsabilidades. Las herramientas pueden apartar amenazas, pero deben mostrar por qué un mensaje merece revisión y qué incertidumbre permanece. La necesidad de combinar controles técnicos con conocimiento, indicios y objetivos activos conduce directamente a las intervenciones formativas y a los avisos explicables.

De la concienciación a la resiliencia: intervenciones para mejorar la detección

Juegos serios y entrenamiento basado en la práctica

La formación basada en la práctica intenta convertir reglas abstractas en decisiones observables. El juego serio “PhishDefend Quest”, que incorporó códigos QR y actividades sobre phishing y divulgación excesiva de información, mostró mejoras en la comprensión de las amenazas y de sus métodos de detección mediante encuestas, observaciones, discusiones y evaluación de URL (Yasin et al., 2024). La evidencia apoya la viabilidad pedagógica del formato, aunque el resumen no establece cuánto duran los efectos ni si se transfieren a campañas reales.

La práctica debe incluir mensajes genuinos y fraudulentos, porque el objetivo no es marcar todo como sospechoso. Los estudios sobre estilos de decisión indican que el conocimiento puede aumentar tanto la detección como el sesgo hacia clasificar cualquier mensaje como phishing (Sturman et al., 2024). Los ejercicios deberían exigir justificar el indicio utilizado, comparar hipótesis y decidir qué acción de verificación corresponde al contexto.

Avisos digitales, explicaciones y retroalimentación visual

Los avisos explicables pueden mejorar la decisión sin trasladar toda la carga al usuario. Un experimento comparó un aviso basado en inteligencia artificial explicable con un aviso existente y una condición sin aviso; el aviso explicable aumentó la exactitud de detección en un 10,1% y redujo la carga cognitiva intrínseca y germana (Mason et al., 2025). La explicación resulta más útil cuando identifica la señal concreta que motivó la alerta, en lugar de mostrar una etiqueta opaca.

La retroalimentación posterior también puede modificar el rendimiento. En el estudio de 55 participantes, las ayudas visuales elevaron la exactitud de 58,18% a 68,73%, pero sin una ganancia estadísticamente significativa y con más errores ante mensajes legítimos; después de recibir explicaciones, la exactitud global llegó al 70% (Champa et al., 2025). La diferencia entre una marca visual y una explicación indica que aprender el motivo de una clasificación puede ser más provechoso que recibir una señal adicional.

Límites de las intervenciones centradas exclusivamente en el usuario

Las intervenciones individuales encuentran límites cuando la organización mantiene presión temporal, procedimientos ambiguos o canales difíciles de verificar. La carga de memoria de trabajo reduce la detección, mientras la activación del objetivo la mejora, por lo que el entorno de trabajo puede facilitar o impedir la aplicación del entrenamiento (Lu et al., 2025). Del mismo modo, los filtros de alta fiabilidad pueden inducir dependencia y reducir la clasificación independiente (Sarno et al., 2024).

La formación tampoco resuelve por sí sola la variabilidad de las estafas. La clase general del mensaje explicó una parte mayor de la susceptibilidad que la adaptación y las técnicas de influencia en un experimento repetido (Sommestad & Karlzén, 2024). Las defensas deben combinar entrenamiento, avisos comprensibles, filtros revisables y procedimientos organizacionales que permitan confirmar solicitudes sin penalizar la demora prudente.

Síntesis crítica y lagunas de la evidencia disponible

Convergencias entre experimentos, encuestas, análisis de mensajes y modelos explicables

La literatura converge en cuatro observaciones. Primero, los indicios deben aprenderse y aplicarse en contexto, porque la utilización de claves predijo la discriminación mejor que otros factores en una tarea experimental (Sturman et al., 2024). Segundo, emociones, implicación y objetivos alteran la vigilancia (Li & Chua, 2025; Tian et al., 2024). Tercero, el entorno organizacional y la multitarea condicionan la decisión (Hable et al., 2025; Lu et al., 2025). Cuarto, las explicaciones, más que las etiquetas aisladas, pueden mejorar la respuesta (Champa et al., 2025; Mason et al., 2025).

Los métodos se complementan, pero no son equivalentes. Las tareas experimentales permiten manipular tiempo, carga o formulación; las encuestas captan actitudes y sesgos; las campañas y entrevistas muestran situaciones laborales; el análisis lingüístico clasifica mensajes. La propuesta integradora de 47 constructos organiza esas dimensiones, aunque todavía requiere pruebas empíricas que determinen qué combinaciones predicen conductas reales (Luo et al., 2025).

Resultados difíciles de generalizar y mecanismos todavía controvertidos

La generalización está limitada por muestras pequeñas en varios experimentos, escenarios simulados, tareas de clasificación y ausencia de seguimiento prolongado. El estudio de modelos de lenguaje incluyó 112 participantes (Heiding et al., 2024), mientras el de claves visuales incluyó 55 (Champa et al., 2025). Las tasas observadas no deben trasladarse directamente a todas las organizaciones, sectores o culturas.

También persisten resultados difíciles de conciliar. La adaptación y la influencia parecen relevantes en algunos diseños, pero pierden asociaciones robustas al controlar la clase de estafa (Sommestad & Karlzén, 2024). La conciencia protege en ciertas condiciones, pero puede reducir la vigilancia ante mensajes personalmente atractivos (Li & Chua, 2025). Estas diferencias pueden reflejar variación metodológica, aunque la evidencia disponible no permite identificar un mecanismo único.

Necesidad de conectar las señales observables con decisiones situadas

La agenda pendiente consiste en vincular cada señal con el estado del destinatario y con la acción solicitada. No basta con preguntar si un usuario reconoció un correo; hay que registrar qué indicio utilizó, qué objetivo estaba activo, cuánto tiempo tenía, qué alternativa de verificación existía y si el mensaje exigía hacer clic, ejecutar código o revelar información. El estudio repetido distingue precisamente entre enlaces y ejecución de código, mostrando que los endpoints de susceptibilidad no son intercambiables (Sommestad & Karlzén, 2024).

La investigación futura debería combinar campañas realistas, mediciones repetidas, explicaciones de los participantes y modelos que conserven la incertidumbre. Solo esa integración permitirá separar conocimiento genuino, rechazo indiscriminado y dependencia de filtros.

Conclusión: reconocer la manipulación sin depender de una única señal

Reconocer una estafa exige evaluar conjuntos de señales: identidad, solicitud, lenguaje, contexto, emoción y posibilidad de verificación. Ningún indicio aislado garantiza una clasificación correcta, porque los errores ortográficos pueden desaparecer, los mensajes legítimos pueden ser urgentes y las señales visuales pueden inducir falsos positivos (Champa et al., 2025; Morrow, 2024). La decisión mejora cuando el destinatario utiliza claves significativas, reduce la intuición automática y dispone de explicaciones (Mason et al., 2025; Sturman et al., 2024).

La resiliencia depende también de las condiciones de trabajo. Menos carga concurrente, objetivos explícitos, filtros revisables y procedimientos de confirmación permiten aplicar el conocimiento cuando el mensaje intenta acelerar la respuesta. El phishing se reconoce mejor cuando la persona, la tecnología y la organización comparten la responsabilidad de comprobar antes de actuar.

References

• Auton, J. C., & Sturman, D. (2025). Persuasion under pressure: the influence of persuasion principles and time constraints on phishing email susceptibility. Information and Computer Security, 33(5), 845–859. https://doi.org/10.1108/ics-07-2024-0163
• Champa, A. I., Rabbi, M. F., Eishita, F. Z., & Zibran, M. F. (2025). Catch me if you see: Using visual cue and explanatory feedback to enhance human phishing detection. IEEE Access, 13, 193249–193272. https://doi.org/10.1109/access.2025.3631670
• Hable, F., Hooff, B. van den, & Nina-Birte, S. (2024). Contextual Influences on Phishing Susceptibility: A Qualitative Comparative Analysis. Journal of the Association for Information Systems.
• Hable, F., Nina-Birte, S., & Hooff, B. van den. (2025). Phishing Attacks in Context: Organizational Factors Shaping Phishing Susceptibility. Journal of the Association for Information Systems. https://aisel.aisnet.org/context/amcis2025/article/1519/viewcontent/1478_doc.pdf
• Heiding, F., Schneier, B., Vishwanath, A., Bernstein, J., & Park, P. S. (2024). Devising and detecting phishing emails using large language models. IEEE Access, 12, 42131–42146. https://doi.org/10.1109/access.2024.3375882
• Li, J., & Chua, A. Y. K. (2025). Message involvement increases phishing susceptibility: can suspicion and awareness make a difference? Information and Computer Security, 34(4), 663–683. https://doi.org/10.1108/ics-04-2024-0097
• Lu, X., Jiang, J., Head, M. M., & Yang, J. (2025). Phishing detection in multitasking contexts: the impact of working memory load, goal activation, and message framing cue on detection performance. European Journal of Information Systems, 35(1), 134–164. https://doi.org/10.1080/0960085x.2025.2548543
• Luo, Y., Yazdanmehr, A., & Kumar, N. (2025). An Integrative Model of Phishing Susceptibility. Journal of the Association for Information Systems. https://aisel.aisnet.org/cgi/viewcontent.cgi?article=1504&context=amcis2025
• Mason, W., Ampel, B., Hashim, M. J., & Chen, H. (2025). Email Phishing Prevention: An Explainable Nudging Approach. Journal of the Association for Information Systems. https://aisel.aisnet.org/context/wisp2025/article/1004/viewcontent/WISP2025_paper_10.pdf
• Morrow, E. (2024). Scamming higher ed: An analysis of phishing content and trends. Computers in Human Behavior, 158, 108274. https://doi.org/10.1016/j.chb.2024.108274
• Owen, M., Flowerday, S., & van der Schyff, K. (2024). Optimism bias in susceptibility to phishing attacks: an empirical study. Information and Computer Security, 32(5), 656–675. https://doi.org/10.1108/ics-02-2023-0023
• Sarno, D. M., Gendron, C., & Volante, W. G. (2024). Filtering out the user?: Are users complacent with phishing emails due to automated filters? International Journal of Human-Computer Interaction, 41(16), 9908–9917. https://doi.org/10.1080/10447318.2024.2429759
• Shovo, Md. S. N., & Valecha, R. (2025). Phishing Email Detection Using Linguistic Cues. Journal of the Association for Information Systems.
• Sommestad, T., & Karlzén, H. (2024). The unpredictability of phishing susceptibility: results from a repeated measures experiment. Journal of Cybersecurity, 10(1). https://doi.org/10.1093/cybsec/tyae021
• Sturman, D., Auton, J. C., & Morrison, B. W. (2024). Security awareness, decision style, knowledge, and phishing email detection: Moderated mediation analyses. Computers & Security, 148, 104129. https://doi.org/10.1016/j.cose.2024.104129
• Sturman, D., Bell, E. A., Auton, J. C., Breakey, G. R., & Wiggins, M. W. (2024). The roles of phishing knowledge, cue utilization, and decision styles in phishing email detection. Applied Ergonomics, 119, 104309. https://doi.org/10.1016/j.apergo.2024.104309
• Tian, C., Jensen, M. L., Bott, G. J., & Luo, X. R. (2024). The influence of affective processing on phishing susceptibility. European Journal of Information Systems, 34(3), 460–474. https://doi.org/10.1080/0960085x.2024.2351442
• Yasin, A., Fatima, R., JiangBin, Z., Afzal, W., & Raza, S. (2024). Can serious gaming tactics bolster spear-phishing and phishing resilience? : Securing the human hacking in information security. Information and Software Technology, 170, 107426. https://doi.org/10.1016/j.infsof.2024.107426