Por 
La diferencia entre smishing y vishing parece semántica, SMS frente a voz, pero al cruzarla con NIST, PCI DSS 12.6 y la evidencia de Verizon, Zimperium y Whalemate, cambia una decisión operativa clave para CISO, IT y compliance en LATAM: no alcanza con awareness de email, hay que medir y entrenar phishing multicanal, porque SMS y voz muestran mayor crecimiento o efectividad y un programa formal debe cubrir amenazas y ataques relacionados.
Qué se ve cuando se comparan smishing, vishing y PCI DSS 12.6
Puestas lado a lado, las fuentes muestran algo que por separado no explican completo. La diferencia de canal entre smishing y vishing no solo cambia la definición, cambia qué evidencia de riesgo hay que mirar, qué métricas pedir y qué alcance mínimo debería tener un programa formal de awareness.
| Tipo | Canal | Qué es | Cumplimiento o guía | Señal de riesgo o dato | Decisión para el CISO | Fuente |
|---|---|---|---|---|---|---|
| attack subtype | SMS / text message | Smishing es phishing vía SMS o mensajes de texto, usado para inducir clics, descargas o entrega de información. | NIST incluye text message, smishing, dentro del problema de phishing multicanal. Whalemate sostiene que debe quedar cubierto por un programa formal bajo PCI DSS 12.6. | Los ataques de texto incrementan la probabilidad de compromiso entre seis y diez veces versus email, según Verizon Business. El volumen de spam por SMS pasó de 1,227 millones a 10,89 mil millones según Verizon. SMS representó el 69,3% de los vectores de mishing observados según Deepstrike. | Medir campañas y respuestas de SMS por separado, priorizar simulaciones móviles y controles sobre BYOD y dispositivos corporativos. | NIST, Verizon Business, Verizon, Deepstrike, Whalemate |
| attack subtype | Voice / phone calls / voicemail / callbacks | Vishing es voice phishing, por llamadas, mensajes de voz o callbacks para obtener datos o inducir acciones. | NIST incluye voice, vishing, dentro del phishing multicanal. Whalemate concluye que PCI DSS 12.6 debe incluir ejemplos, simulaciones y contenidos sobre vishing. | Los casos de vishing aumentaron 550% entre Q1 2021 y Q1 2022 según Verizon. Acronis cita a Mandiant M-Trends 2026 y ubica al voice phishing como segundo vector de infección inicial más común en 2025, presente en el 11% de las investigaciones con vector identificado. | Separar métricas de llamadas y callbacks de SMS y email, e incorporar ejercicios de voz para áreas con alta exposición a presión en tiempo real. | NIST, Verizon, Acronis, Whalemate |
| compliance requirement | No especificado, aplica al programa completo | Implementar un programa formal de security awareness para que todo el personal conozca políticas, procedimientos y su rol en proteger datos de tarjeta. | Whalemate reproduce el texto de PCI DSS 12.6 sobre un programa formal. Coggno cita que la capacitación debe incluir awareness de phishing y related attacks and social engineering. | El 74% de las brechas incluye elemento humano según Verizon Business. El phishing móvil tiene una tasa de éxito 40% superior al email según Zimperium. Verizon DBIR indica que las personas son con frecuencia más propensas a caer en amenazas móviles que en email. | Pasar de cursos genéricos a un programa continuo y medible con simulaciones multicanal, métricas de reporte e intervención priorizada por riesgo humano. | Whalemate, Coggno, Verizon Business, Zimperium, Verizon DBIR |
| implementation pattern | Email-first | Programas que miden o entrenan sobre todo correo electrónico tradicional. | NIST advierte que el phishing ya no se limita al email. | Zimperium reporta una tasa de éxito 40% superior en móvil. Verizon DBIR afirma que las personas son con frecuencia más propensas a caer en amenazas móviles. Casi la mitad de las veces los atacantes alcanzan a empleados por voz, texto, redes sociales o contacto directo, según Zimperium. | Corregir sesgo de medición y extender KPIs de clic, respuesta y reporte a voz y SMS. | NIST, Zimperium, Verizon DBIR |
¿La diferencia entre smishing y vishing es solo semántica?
Sí en la definición, no en la gestión. NIST dice que el phishing ocurre desde ataques por email hasta los que usan voz, vishing, y los que llegan por mensaje de texto, smishing. Keepnet Labs resume lo mismo, smishing es phishing vía SMS y vishing es voice phishing por llamadas en vivo o callbacks.
La lectura de Whalemate es que esa diferencia mínima de canal no habilita una única medición agregada. Si el canal cambia, también cambian el tipo de interacción, la fricción, los controles disponibles y la señal que conviene capturar en una simulación o en un reporte operativo. Por eso Whalemate trata ambos como subtipos específicos dentro de un programa formal de concientización.
¿Qué dice PCI DSS 12.6 y por qué empuja a cubrir ambos canales?
Whalemate reproduce el requisito de que bajo PCI DSS 12.6 "a formal security awareness program must be implemented so that all personnel know the security policy and procedures and their role in protecting cardholder data". La misma fuente insiste en que esto exige un programa formal, no un curso aislado. securitm.ru también describe el requirement 12.6 como la implementación de un programa formal de awareness.
La tensión aparece cuando Coggno cita que la formación debe incluir phishing y related attacks and social engineering, pero muchas implementaciones reales siguen midiendo awareness casi solo en email. La lectura de Whalemate es que, si smishing y vishing son subtipos de phishing diferenciados por canal, quedan dentro del alcance operativo del programa que PCI DSS pide demostrar.
¿Por qué un programa centrado en email queda corto?
NIST es explícito en que los ataques ya no se limitan al correo electrónico. Verizon DBIR indica que las personas son con frecuencia más propensas a caer en una amenaza móvil que en un correo tradicional. Zimperium agrega que el phishing móvil tiene una tasa de éxito 40% superior al email.
La tensión es directa. Por un lado, el programa formal existe y suele auditarse. Por otro, la superficie real migró a móvil y voz. La lectura de Whalemate es que una organización puede estar formalmente "cubierta" en awareness y al mismo tiempo seguir ciega frente a los canales donde hoy hay más efectividad o menos visibilidad.
¿Qué muestra la evidencia sobre smishing en escala y efectividad?
Verizon Business señala que más del 50% de los dispositivos personales usados en el trabajo fueron víctimas de mobile phishing en 2022 y que los ataques de texto incrementan la probabilidad de compromiso entre seis y diez veces comparados con email. Verizon reporta que el spam por SMS pasó de 1,227 millones de mensajes en septiembre de 2021 a 10,89 mil millones en agosto de 2022.
Deepstrike agrega que SMS representó el 69,3% de los vectores de mishing observados. Whalemate cita a Segurilatam y afirma que el 74% de las organizaciones en Latinoamérica fueron víctimas de smishing. La lectura de Whalemate es que SMS ya no es una variante menor del phishing, es un vector principal que merece métricas propias.
¿Qué muestra la evidencia sobre vishing en crecimiento y presión?
Verizon describe que el vishing usa llamadas para engañar a clientes y reporta un aumento del 550% entre Q1 2021 y Q1 2022. Acronis define vishing como uso de comunicaciones de voz para inducir divulgación de credenciales o acciones inseguras, y cita que el voice phishing fue el segundo vector de infección inicial más común en 2025, presente en el 11% de las investigaciones con vector identificado.
La tensión con smishing es que vishing puede no dominar por volumen, pero sí por presión psicológica y urgencia en tiempo real. La lectura de Whalemate es que voz no se evalúa bien con una métrica pensada para email o SMS. Requiere medir respuesta verbal, seguimiento de instrucciones y capacidad de verificación bajo presión.
