--- title: "APWG y PCI DSS: smishing en alza | Whalemate" description: "Smishing crece en el canal móvil mientras PCI DSS v4.0 exige concientización anual y contenido explícito sobre phishing y social engineering." url: https://www.whalemate.com/recursos/blog/apwg-pci-dss-smishing-alza/ lang: es updated: 2026-10-30 alternates: en: https://www.whalemate.com/en/resources/blog/apwg-pci-dss-smishing-rising/ pt-BR: https://www.whalemate.com/br/recursos/blog/apwg-pci-dss-smishing-alta/ index: https://www.whalemate.com/llms.txt --- [Volver al blog](https://www.whalemate.com/recursos/blog/) Blog # APWG y PCI DSS: smishing en alza Smishing crece en el canal móvil mientras PCI DSS v4.0 exige concientización anual y contenido explícito sobre phishing y social engineering. 30 de oct de 2026 Por [Federico Hombre](https://www.whalemate.com/recursos/blog/autor/federico-hombre/) 7 min de lectura [HRM](https://www.whalemate.com/recursos/blog/tema/hrm/) ![APWG y PCI DSS: smishing en alza](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/apwg-pci-dss-smishing-alza.webp) En este artículo 1. [Comparación de fuentes](#s1) 2. [¿Qué dice IBM sobre smishing?](#s2) 3. [¿Qué agrega Proofpoint sobre el vector?](#s3) 4. [¿Por qué Kaspersky y Descope ponen el foco en la confianza humana?](#s4) 5. [¿Qué cambia cuando se separa smishing de mobile phishing?](#s5) 6. [¿Qué muestran las cifras de crecimiento?](#s6) 7. [¿Qué exige PCI DSS v4.0 en concientización?](#s7) 8. [¿Qué implica la lectura de Whalemate para LATAM?](#s8) 9. [Consecuencia operativa](#s9) 10. [¿Qué leer después?](#s10) Para un CISO, IT o compliance en LATAM, la lectura útil de smishing y phishing no es semántica, es operativa: el canal móvil ya funciona como superficie de ataque en expansión y PCI DSS v4.0 obliga a sostener un programa anual de concientización que incluya phishing, ataques relacionados y social engineering. Si además se mira la tasa de fallo humano, la decisión deja de ser teórica y pasa a simulaciones SMS, [métricas de exposición](https://www.whalemate.com/recursos/blog/smishing-vishing-medir-pci-dss/) y evidencia de cumplimiento. Poner las fuentes juntas muestra una tensión que ninguna cubre sola: unas explican qué es el ataque, otras muestran que el canal crece, y PCI fija qué hay que entrenar y cada cuánto. APWG registró 1.069.681 ataques de phishing en el segundo trimestre de 2026, frente a 971.181 en el primer trimestre, un aumento del 10,1%. Eso deja un hueco claro entre definición, riesgo y control, justo donde un equipo de seguridad tiene que decidir qué medir mañana. ## Comparación de fuentes Al cruzarlas, aparece una diferencia entre descripción del ataque, evidencia de crecimiento y exigencia de control. APWG contabilizó 425.808 ataques de phishing en junio de 2026, el total mensual más alto observado desde abril de 2023. Esa combinación es la que permite pasar de una explicación de diccionario a una decisión de programa. [Vídeo](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/dGEdc8mVc5E-4.mp4) · Subtítulos: [Español](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/dGEdc8mVc5E-4.es.vtt), [English](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/dGEdc8mVc5E-4.en.vtt), [Português](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/dGEdc8mVc5E-4.br.vtt) Phishing, Vishing, and SMiShing |Phishing attacks |Cyber security awareness video |Security Quotient, Security Quotient. [Ver el original](https://www.youtube.com/watch?v=dGEdc8mVc5E&t=4s) | Fuente | Concepto | Canal o vector | Crecimiento | Cumplimiento | Revisión | Ejemplos | | --- | --- | --- | --- | --- | --- | --- | | IBM | Ataque de ingeniería social que [usa mensajes de texto móviles falsos](https://www.ibm.com/think/topics/smishing) | SMS, mensajes de texto móviles | No especificado | No especificado | No especificado | Descargar malware, compartir información sensible o enviar dinero | | Proofpoint | [Ciberataque por SMS](https://www.proofpoint.com/us/threat-reference/smishing) que aparenta venir de una fuente de confianza | SMS, mensajes de texto | No especificado | No especificado | No especificado | Compartir información personal o financiera, hacer clic en enlaces maliciosos, descargar software dañino | | Kaspersky | [Phishing mediante mensajería móvil](https://usa.kaspersky.com/resource-center/threats/what-is-smishing-and-how-to-defend-against-it), basado en confianza humana | Mensajería móvil, SMS | No especificado | No especificado | No especificado | No especificado | | ConnectWise | [Ingeniería social por mensajes de texto](https://www.connectwise.com/cybersecurity-center/glossary/smishing) | Mensajes de texto | No especificado | No especificado | No especificado | Bancos, entregas de paquetes, RRHH | | Deepstrike | [Smishing es phishing vía SMS](https://deepstrike.io/blog/smishing-statistics), mobile phishing es más amplio | SMS, chat, navegadores móviles, QR, PDF, redirecciones | No especificado | No especificado | No especificado | Text scam y fraudes no necesariamente de phishing | | FTC | Fraudes con mensajes de texto medidos por reportes de consumidores y pérdidas | Mensajes de texto | Pérdidas de [USD 470 millones en 2024](https://search.ftc.gov/system/files/ftc_gov/pdf/spotlight-top-text-scams.pdf), más de cinco veces las de 2020 | No especificado | No especificado | Entregas falsas, empleos falsos, alertas bancarias falsas, peajes | | APWG | Smishing como parte del fraude telefónico y móvil | SMS, mensajes de texto | [+40 % entre Q1 y Q2](https://apwg.org/trendreports) de 2026 | No especificado | No especificado | Superficie de ataque móvil en expansión | | PCI Security Standards Council | [Programa de concientización para el personal](https://listings.pcisecuritystandards.org/documents/PCI-DSS-v3-2-1-to-v4-0-Summary-of-Changes-r1.pdf) con foco en amenazas al CDE | Phishing, ataques relacionados, social engineering | No especificado | Programa revisado y actualizado al menos cada 12 meses | Al menos cada 12 meses | Phishing and related attacks, social engineering | ## ¿Qué dice IBM sobre smishing? IBM lo define como un ataque de ingeniería social que usa mensajes de texto móviles falsos para engañar a las personas y lograr que descarguen malware, compartan información sensible o envíen dinero. La clave no es el canal solo, sino la combinación entre mensaje breve, urgencia y confianza aparente. Ese encuadre sirve para explicar el mecanismo, pero no alcanza para priorizar control ni entrenamiento. ## ¿Qué agrega Proofpoint sobre el vector? Proofpoint lo describe como un ciberataque dirigido a individuos a través de SMS o mensajes de texto, con mensajes que aparentan venir de una fuente confiable. La diferencia práctica es que baja el fenómeno al terreno del engaño cotidiano, con resultados concretos, compartir información personal o financiera, hacer clic en enlaces maliciosos o descargar software dañino. Para Whalemate, ese nivel de concreción es útil porque traduce el riesgo en conductas observables. ## ¿Por qué Kaspersky y Descope ponen el foco en la confianza humana? Kaspersky y Descope coinciden en que smishing explota la confianza humana más que vulnerabilidades técnicas. Kaspersky lo nombra como [phishing por mensajería móvil](https://usa.kaspersky.com/resource-center/threats/what-is-smishing-and-how-to-defend-against-it), y Descope lo vincula a la idea de que la persona entrega [información sensible](https://www.descope.com/learn/post/smishing) sin advertir el engaño. Esa lectura importa porque desplaza la respuesta desde la higiene técnica aislada hacia el entrenamiento continuo y la medición del comportamiento. [Vídeo](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/XByR413U58o-72.mp4) · Subtítulos: [Español](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/XByR413U58o-72.es.vtt), [English](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/XByR413U58o-72.en.vtt), [Português](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/XByR413U58o-72.br.vtt) How New Phishing Scams Trick You, KristoferYee. [Ver el original](https://www.youtube.com/watch?v=XByR413U58o&t=72s) Whalemate ¿Querés ver Whalemate en tu organización? Agendá una demo. Vemos cómo quedan las simulaciones de correo y QRishing en tu equipo, y qué puede decidir CISO, IT o compliance a partir de eso. [Agendar una demo](https://www.whalemate.com/demo/) ## ¿Qué cambia cuando se separa smishing de mobile phishing? DeepStrike marca una frontera útil: smishing es phishing vía SMS o mensajes de texto, mientras que mobile phishing abarca también apps de chat, navegadores móviles, códigos QR, señuelos en PDF y redirecciones basadas en aplicaciones. Esa distinción evita subestimar el alcance del canal móvil, porque un programa que solo mire SMS puede dejar afuera otros señuelos que llegan al mismo usuario por el mismo dispositivo. ## ¿Qué muestran las cifras de crecimiento? La FTC informa que las pérdidas reportadas por fraudes con mensajes de texto llegaron a [USD 470 millones en 2024](https://search.ftc.gov/system/files/ftc_gov/pdf/spotlight-top-text-scams.pdf), más de cinco veces la cifra de 2020, y advierte que el número probablemente refleja solo una fracción del daño real. Esas pérdidas subieron aunque la cantidad de reportes bajó, y la proporción de reportes con dinero perdido pasó de 5% en 2020 a 11% en 2024. Entre las campañas más reportadas están las falsas entregas de paquetes, las ofertas de empleo falsas, las falsas alertas de fraude de bancos y los avisos de peajes impagos. APWG agrega que el smishing aumentó [40 % entre Q1 y Q2](https://apwg.org/trendreports) de 2026. APWG registró 971.181 ataques de phishing en el primer trimestre de 2026, frente a 853.244 en el cuarto trimestre de 2025, un aumento del 13,8%. Leídas juntas, las cifras muestran un canal que crece en volumen según APWG y en pérdidas según la FTC, no un caso aislado. ## ¿Qué exige PCI DSS v4.0 en concientización? El resumen de cambios de PCI DSS v4.0 dice que el programa de concientización debe revisarse y actualizarse al menos cada 12 meses, y que el contenido tiene que cubrir amenazas y vulnerabilidades que impacten la seguridad del CDE, incluyendo phishing and related attacks and social engineering. [12.6.1, 12.6.2 y 12.6.3](https://www.baitandphish.com/blog/pci-dss-phishing-training) exigen programa formal, revisión anual y capacitación al ingreso y cada 12 meses. Desde el 31 de marzo de 2025 la formación debe cubrir explícitamente phishing e ingeniería social en [12.6.3.1](https://cyberaware.com/blog/how-to-align-security-awareness-training-with-pci-dss). ## ¿Qué implica la lectura de Whalemate para LATAM? La implicancia es directa: si el canal móvil crece y PCI pide concientización anual con foco explícito en phishing y social engineering, entonces el programa no debería quedarse en un curso. Whalemate plantea un modelo de Human Risk Management que simula, entrena, mide, interviene y reporta, con risk score para priorizar intervenciones, no para disciplinar. Eso habilita una decisión concreta para CISO, IT y compliance, usar simulaciones SMS, consolidar señales de cursos, reportes y comportamiento, y documentar evidencia de reducción de exposición. ## Consecuencia operativa Mañana mismo, un equipo de seguridad puede decidir tres cosas. Primero, tratar el móvil como superficie prioritaria dentro del programa de concientización. Segundo, medir clics y reportes en simulaciones SMS como señal de fallo humano, junto con completitud de capacitación y reincidencia. Tercero, usar esa evidencia para sostener cumplimiento de PCI DSS v4.0 y priorizar colectivos expuestos, sin convertir el score en una herramienta disciplinaria. [Vídeo](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/XByR413U58o-73.mp4) · Subtítulos: [Español](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/XByR413U58o-73.es.vtt), [English](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/XByR413U58o-73.en.vtt), [Português](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/dc594443-e65a-49d9-ab97-4f664416e6c7/XByR413U58o-73.br.vtt) How New Phishing Scams Trick You, KristoferYee. [Ver el original](https://www.youtube.com/watch?v=XByR413U58o&t=73s) ## ¿Qué leer después? - [Human Risk Management en la plataforma](https://www.whalemate.com/plataforma-de-riesgo-humano/) - [Security awareness: medir clic y no curso](https://www.whalemate.com/recursos/blog/security-awareness-medir-clic-curso/) - [Plataforma de Human Risk Management](https://www.whalemate.com/recursos/blog/whalemate-hrm-security-awareness/) [Ver la guía completa del tema](https://www.whalemate.com/plataforma-de-riesgo-humano/) Preguntas ## Preguntas frecuentes **¿Smishing y phishing son lo mismo?** No. Smishing es una forma de phishing que usa SMS o mensajes de texto, mientras que phishing es el paraguas más amplio. DeepStrike separa además mobile phishing, que incluye otros canales móviles como apps de chat, QR y navegadores. Esa diferencia importa porque un programa que solo mide correo puede dejar afuera el vector móvil. **¿Qué ejemplos concretos de smishing aparecen en el material?** ConnectWise menciona mensajes que suplantan bancos, entregas de paquetes y RRHH. También da ejemplos textuales como “Your account has been suspended. Click here to reactivate” y “FedEx: Your package delivery failed. Reschedule here”. El patrón es siempre el mismo, urgencia, confianza aparente y un enlace o pedido de datos. **¿Qué dice PCI DSS v4.0 sobre phishing y social engineering?** El resumen de cambios indica que la concientización debe revisarse al menos cada 12 meses y cubrir amenazas que impacten el CDE, incluyendo phishing and related attacks and social engineering. CyberAware agrega que desde el 31 de marzo de 2025 la formación debe cubrir explícitamente phishing e ingeniería social en 12.6.3.1. La exigencia no es un curso aislado, sino un programa documentado y recurrente. **¿Qué deberían medir CISO, IT o compliance?** Deberían medir exposición y respuesta, no solo asistencia. Eso incluye clics en simulaciones SMS, reportes oportunos, finalización de capacitación, reincidencia y evolución por segmento de usuarios. El material también sugiere consolidar esas señales en un risk score para priorizar intervenciones, porque la utilidad real está en decidir dónde reforzar controles y entrenamiento. **¿Por qué esta lectura es relevante para LATAM?** Porque combina una presión regulatoria concreta con un vector que ya crece y pega en usuarios móviles. En LATAM, donde los equipos suelen convivir con muchas responsabilidades y programas fragmentados, esto obliga a ordenar prioridades, documentar evidencia y evitar que concientización quede reducida a una campaña anual sin medición de comportamiento. Whalemate ¿Este riesgo está en tu programa? Si el artículo describe algo que ya te pasó —o que el directorio te pide explicar— agendá una demo. [Agendar una demo](https://www.whalemate.com/demo/) ## ¿Le gustaría profundizar en este tema? Abra este artículo directamente en Claude o ChatGPT: haga preguntas, pida un resumen o explore ideas relacionadas. - [Abrir con Claude](https://claude.ai/new?q=Estoy%20leyendo%20un%20art%C3%ADculo%20de%20Whalemate%20titulado%20%E2%80%9CAPWG%20y%20PCI%20DSS%3A%20smishing%20en%20alza%E2%80%9D.%20Explicame%20las%20ideas%20clave%20y%20qu%C3%A9%20deber%C3%ADa%20hacer%20un%20equipo%20de%20IT%20o%20un%20CISO.%20Respond%C3%A9%20en%20espa%C3%B1ol%2C%20de%20forma%20clara%20y%20accionable.) - [Abrir con ChatGPT](https://chatgpt.com/?q=Estoy%20leyendo%20un%20art%C3%ADculo%20de%20Whalemate%20titulado%20%E2%80%9CAPWG%20y%20PCI%20DSS%3A%20smishing%20en%20alza%E2%80%9D.%20Explicame%20las%20ideas%20clave%20y%20qu%C3%A9%20deber%C3%ADa%20hacer%20un%20equipo%20de%20IT%20o%20un%20CISO.%20Respond%C3%A9%20en%20espa%C3%B1ol%2C%20de%20forma%20clara%20y%20accionable.) En este artículo 1. [Comparación de fuentes](#s1) 2. [¿Qué dice IBM sobre smishing?](#s2) 3. [¿Qué agrega Proofpoint sobre el vector?](#s3) 4. [¿Por qué Kaspersky y Descope ponen el foco en la confianza humana?](#s4) 5. [¿Qué cambia cuando se separa smishing de mobile phishing?](#s5) 6. [¿Qué muestran las cifras de crecimiento?](#s6) 7. [¿Qué exige PCI DSS v4.0 en concientización?](#s7) 8. [¿Qué implica la lectura de Whalemate para LATAM?](#s8) 9. [Consecuencia operativa](#s9) 10. [¿Qué leer después?](#s10) Whalemate ¿Este riesgo está en tu programa? [Agendar una demo](https://www.whalemate.com/demo/) ## Artículos relacionados [!\[Fortinet FortiSAT: medir awareness más allá de finalización\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/fortinet-medir-awareness-alla-finalizacion.webp)](https://www.whalemate.com/recursos/blog/fortinet-medir-awareness-alla-finalizacion/) HRM 7 de oct de 2026 Por Federico Hombre ### Fortinet FortiSAT: medir awareness más allá de finalización Fortinet FortiSAT y FortiPhish permiten medir conducta, finalización y remediación por evento, mientras NIST y la encuesta 2025 muestran la brecha. Leer más [!\[PCI DSS y HRM en LATAM: qué medir\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/latam-mide-empresa-human-risk.webp)](https://www.whalemate.com/recursos/blog/latam-mide-empresa-human-risk/) HRM 5 de oct de 2026 Por Federico Hombre ### PCI DSS y HRM en LATAM: qué medir Cómo una empresa de human risk management mide conductas continuas, convierte riesgo humano en evidencia y sostiene programas PCI DSS en LATAM. Leer más [!\[ISO 27001: software de gestión del riesgo humano\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/iso-27001-plataforma-gestao-risco.webp)](https://www.whalemate.com/recursos/blog/iso-27001-plataforma-gestao-risco/) HRM 2 de oct de 2026 Por Federico Hombre ### ISO 27001: software de gestión del riesgo humano Software de gestión del riesgo humano para ISO/IEC 27001:2022, con métricas de comportamiento, evidencia operativa y reporting para dirección. Leer más [Ver todos los artículos](https://www.whalemate.com/recursos/blog/)