El phishing es uno de los delitos informáticos más extendidos y persistentes en la actualidad. Consiste en la creación de sitios web falsos que imitan páginas legítimas para engañar a los usuarios y robar o bien sus credenciales, su información financiera o datos personales. Aunque el uso de tecnologías avanzadas de detección permite bloquear millones de sitios fraudulentos al mes, el phishing evoluciona muy rápidamente, lo que hace difícil detectarlo. Los atacantes automatizan campañas con kits prefabricados que se despliegan fácilmente, aprovechan dominios comprometidos y replican interfaces de sitios web legítimos con una rapidez que supera la capacidad de detección de muchos de los sistemas actuales. Detectar estos sitios no es solo un problema técnico, sino que también viene condicionado por lo similares a la realidad que son los datos con los que se entrenan los modelos de inteligencia artificial que los combaten.
En estudios recientes hemos analizado este fenómeno desde distintas perspectivas y con un propósito común: mejorar la detección automática de sitios de phishing mediante datos representativos, actualizados y verificables.
Los trabajos que abordan este problema estudian o proponen soluciones basadas en la identificación de sesgos en los modelos tradicionales, la creación de conjuntos de datos realistas, el estudio de los kits de ataque y el análisis de la degradación en el rendimiento de los modelos. En conjunto, en estos estudios se revisa en profundidad el enfoque clásico utilizado para su detección, demostrando que para poder detectar las variantes de phishing que van apareciendo, los sistemas deben aprender de páginas reales de inicio de sesión, incorporar información estructural y tecnológica de las páginas web que se analizan y considerar la procedencia de los ataques.
Los límites de los detectores tradicionales
Uno de los principales problemas que limitan la detección de phishing es que, con frecuencia, los sistemas automáticos de detección de phishing se entrenan con conjuntos de datos poco representativos, compuestos principalmente por páginas principales legítimas (homepages) y direcciones maliciosas muy obvias. Este enfoque ignora que la mayoría de los ataques se producen en páginas de inicio de sesión o formularios donde el usuario introduce sus credenciales.
En nuestro estudio Phishing URL Detection: A Real-Case Scenario Through Login URLs (IEEE Access, 2022), se comprobó que los detectores entrenados con homepages reducen notablemente su precisión cuando se enfrentan a páginas reales de inicio de sesión donde la precisión puede caer hasta un 30 %. La explicación es sencilla. Las páginas de inicio de sesión legítimas suelen parecerse estructuralmente a las de phishing: contienen formularios, enlaces a recursos externos y cadenas de texto que imitan los patrones de ataque. Al usar estas páginas para el entrenamiento, se logra una reducción de falsos positivos y una mejora significativa en la fiabilidad.
El conjunto de datos PILU-90K, creado en este trabajo, permitió comparar ambos escenarios y evidenciar que los modelos basados solo en URLs necesitan ser reentrenados con datos más cercanos a la realidad. Esto marcó un cambio en la forma de concebir la detección automática.
Modelos que envejecen con rapidez
La segunda cuestión que abordamos fue cómo el rendimiento de los modelos de aprendizaje automático se reduce ante las estrategias cambiantes de los atacantes que se van produciendo con el paso del tiempo. En Impact of Current Phishing Strategies in ML Models for Phishing Detection (CISIS, 2020), se demostró que los modelos entrenados con datos de años anteriores pierden precisión cuando se aplican a ataques recientes, incluso sin modificar su arquitectura. La complejidad de los modelos puede seguir siendo suficiente, pero los datos se quedan obsoletos ante nuevas tácticas de los atacantes como el uso de certificados SSL, dominios temporales o subdominios gratuitos.
Para evaluar este fenómeno, se diseñaron varios subconjuntos del dataset PILU-60K, diferenciando entre páginas de inicio y de login. Los resultados mostraron que actualizar regularmente los conjuntos de datos es tan importante como el propio modelo. El modelo Support Vector Machines (SVM) resultó el algoritmo más resistente a la degradación, mientras que Random Forest ofreció el mejor equilibrio entre rendimiento y estabilidad. El estudio puso de manifiesto que la efectividad de la detección depende más de la actualización y diversidad de los datos que del tipo de modelo empleado.
La estructura y la tecnología del sitio: factores clave a tener en cuenta
La evolución de esta línea de trabajo llevó al desarrollo de un nuevo conjunto de datos multipropósito, PILWD-134K, presentado en la revista Expert Systems with Applications (2022). Este conjunto incorpora no solo URLs, sino también código HTML, capturas de pantalla, tecnologías utilizadas y metadatos completos. El objetivo fue crear un entorno de prueba más realista que permitiera a los modelos aprender de la estructura interna del sitio, y no solo de su dirección web.
El análisis incluyó 54 características distribuidas en cuatro grupos: URL, HTML, híbridas y tecnológicas. El último grupo representó una innovación clave. A través de diferentes herramientas, como por ejemplo Wappalyzer, se identificaron las tecnologías web utilizadas por cada sitio.
Las páginas legítimas suelen utilizar múltiples frameworks y servicios de análisis, mientras que las fraudulentas suelen ser más simples y carecer de integraciones. Al incorporar estas variables, los modelos lograron una precisión del 97,95 % con LightGBM, un algoritmo ligero y rápido apto para entornos en tiempo real.
Este resultado confirmó que la coherencia estructural y tecnológica de una página es un indicador fiable de legitimidad. Además, los modelos entrenados con páginas de inicio de sesión legítimas mantuvieron un rendimiento alto incluso frente a páginas principales genéricas, lo que refuerza la importancia de entrenar con ejemplos representativos del punto de ataque real.
Del sitio falso al origen del ataque: los kits de phishing
El siguiente paso consistió en ir más allá del contenido visible de las páginas y analizar su origen técnico. En PhiKitA: Phishing Kit Attacks Dataset for Phishing Websites Identification (IEEE Access, 2023), se presentó por primera vez un conjunto de datos que vincula directamente los kits de phishing con los sitios desplegados a partir de ellos. Los kits son paquetes de archivos que permiten a los ciberdelincuentes lanzar campañas de forma masiva, con escaso esfuerzo técnico y en muy poco tiempo. Hasta entonces, no existía una base pública que relacionara ambos elementos: el kit y el sitio generado.
El dataset PhiKitA-500 contiene 510 kits, 859 sitios de phishing y 1.141 muestras legítimas. Con esta información se probaron varios métodos de clasificación, que van desde huellas MD5 hasta representaciones gráficas del código HTML.
El mejor rendimiento en detección binaria fue del 92,5 %, mientras que el reconocimiento multiclase —atribuir cada sitio a su kit de origen— obtuvo una puntuación F1 del 39,5 %, lo que muestra la dificultad de lograr una atribución exacta. Sin embargo, el análisis reveló un hallazgo clave: una sola familia de siete kits generó más del 20 % de los ataques detectados, todos dirigidos a la misma entidad bancaria. Esto indica que detectar los kits de phishing pronto puede permitir anticipar campañas completas y convertirse en una herramienta preventiva para las agencias de ciberseguridad.
Un cambio de paradigma en la detección del phishing
En conjunto, estos estudios demuestran que la detección efectiva del phishing requiere realismo, actualización y contexto. Ya no basta con observar la URL; es necesario tener en cuenta señales del entorno técnico, el contenido de la página y el origen del ataque. Los datasets desarrollados a lo largo de esta línea de investigación —PILU, PILWD y PhiKitA— constituyen un marco de referencia para estudiar el phishing desde sus distintas capas: la dirección, la estructura, la tecnología y la fuente.
Este enfoque permite avanzar hacia modelos más sólidos, capaces de detectar ataques desconocidos, adaptarse a los cambios y contribuir a identificar el origen de las campañas. La combinación de datos actualizados y análisis estructural reduce falsos positivos, mejora la velocidad de detección y abre nuevas vías para identificar patrones entre familias de kits o grupos de atacantes. En una era en la que el fraude digital se industrializa y se hace más inteligente, la defensa también debe evolucionar al mismo ritmo.
Referencias
- M. Sánchez-Paniagua, E. F. Fernández, E. Alegre, W. Al-Nabki and V. González-Castro. (2022). Phishing URL Detection: A Real-Case Scenario Through Login URLs. IEEE. doi: 10.1109/ACCESS.2022.3168681
- Sánchez-Paniagua, M., Fidalgo, E., González-Castro, V., Alegre, E. (2021). Impact of Current Phishing Strategies in Machine Learning Models for Phishing Detection. n. 13th International Conference on Complex, Intelligent, and Software Intensive Systems (CISIS). doi: 10.1007/978-3-030-57805-3_9
- F. Castaño, E. F. Fernandez, R. Alaiz-Rodríguez and E. Alegre. (2023). PhiKitA: Phishing Kit Attacks Dataset for Phishing Websites Identification. IEEE, doi: 10.1109/ACCESS.2023.3268027
- Sánchez-Paniagua, M., Fidalgo, E., Alegre, E., & Alaiz-Rodríguez, R. (2022). Phishing websites detection using a novel multipurpose dataset and web technologies features. Expert Systems with Applications. doi: 10.1016/j.eswa.2022.118010
