Phishing en 2026: cómo te protege Google Workspace (y qué falta por tu parte)

El phishing de toda la vida -el correo mal escrito de un «príncipe nigeriano»- prácticamente ha desaparecido. Lo que ha ocupado su lugar en 2026 es mucho más difícil de detectar: correos generados con IA que imitan perfectamente el tono de tu proveedor habitual, tu banco o tu propio jefe, sin faltas de ortografía ni frases raras. La IA generativa ha bajado el coste de hacer una campaña de phishing convincente prácticamente a cero, y eso ha disparado el volumen y la calidad de los ataques que reciben las pymes españolas cada día.

La buena noticia es que la defensa también ha evolucionado. Como partners de Google, en Millennials Consulting configuramos Google Workspace para nuestros clientes precisamente pensando en este escenario, así que te cuento qué hace Google de serie, qué deberías activar tú mismo, y qué sigue dependiendo del criterio de las personas de tu equipo.

Qué ha cambiado en el phishing con la IA generativa

Los ataques ya no dependen de enviar el mismo correo genérico a miles de direcciones. Ahora es habitual que un atacante use IA para investigar a una empresa concreta, redactar un correo que suena exactamente como lo haría un proveedor real, y suplantar la identidad de una persona de confianza dentro de la propia organización (lo que se conoce como Business Email Compromise o BEC). Este tipo de ataque suele buscar una sola cosa: que alguien de administración haga una transferencia o comparta unas credenciales pensando que responde a un compañero o a un cliente habitual.

Esto hace que fijarse en las faltas de ortografía o en un diseño torpe, el consejo clásico de hace unos años, ya no sea suficiente. El criterio ahora tiene que apoyarse en señales técnicas (remitente real, dominio, enlaces) y en procesos internos, no solo en la intuición.

Cómo protege Google Workspace tu correo de serie

Google ya bloquea automáticamente con IA más del 99,9% del spam, phishing y malware antes de que llegue a la bandeja de entrada. Es una cifra alta, pero no es una excusa para no configurar nada: gran parte de la protección adicional de Google Workspace no viene activada por defecto y hay que encenderla desde la consola de administración. Las piezas que recomiendo revisar en cualquier cuenta de empresa son:

• Protección avanzada contra phishing y malware: permite decidir qué hacer con correos de remitentes sin historial previo o con reputación baja (ponerlos en cuarentena, marcarlos, etc.), en lugar de dejar la configuración por defecto.
• Enhanced Safe Browsing en Gmail: añade una capa extra de comprobación de enlaces y contenido antes de que el correo llegue al usuario.
• SPF, DKIM y DMARC en tu dominio: son los tres registros que impiden que alguien envíe correos haciéndose pasar por tu propio dominio. Si solo tienes SPF configurado (lo más habitual), te falta la parte que realmente frena la suplantación: DMARC en modo cuarentena o rechazo.
• Prevención de pérdida de datos (DLP): disponible en los planes Enterprise, evita que información sensible (datos de clientes, cifras financieras) salga de la empresa por correo o Drive, incluso si alguien cae en un enlace malicioso.
• Reporte de phishing desde Gmail: cualquier persona del equipo puede reportar un correo sospechoso con un clic; revisar esos reportes cada semana es la forma más barata de saber qué está intentando entrar en tu empresa.

Cinco pasos que le recomiendo a cualquier pyme

1. Verifica en un minuto el estado de SPF, DKIM y DMARC de tu dominio con el Admin Toolbox de Google; es gratuito y no requiere conocimientos técnicos avanzados.
2. Activa la protección avanzada contra phishing y malware en la consola de administración, no solo la configuración por defecto.
3. Establece la autenticación en dos pasos como obligatoria, empezando por las cuentas de administrador y de finanzas.
4. Define un protocolo simple para pagos y cambios de datos bancarios: ninguna transferencia se autoriza solo por email, siempre hay una segunda verificación (llamada, mensaje por otro canal).
5. Forma al equipo, en concreto a quien gestiona pagos o datos de clientes, en reconocer un intento de suplantación de identidad basado en IA, no solo en el phishing genérico de hace cinco años.

Mi conclusión

Google Workspace te da una base de seguridad muy sólida, y en 2026 esa base es más necesaria que nunca porque la IA ha profesionalizado el phishing del lado del atacante. Pero la herramienta por sí sola no basta: la diferencia entre una empresa protegida y una vulnerable está en si alguien se ha sentado a configurar SPF, DKIM y DMARC, y a definir un protocolo claro para pagos y datos sensibles. Como partners de Google, en Millennials Consulting hacemos esa auditoría de seguridad como parte de cualquier implantación de Workspace.