Entradas de blog etiquetadas con ' #phishingscam '

¿Cuál es la amenaza?

ConnectWise Cloud Backup utiliza una identidad de aplicación de Microsoft 365 para acceder a los datos de los clientes y realizar copias de seguridad. Según investigadores de seguridad y ConnectWise, los atacantes comprometieron las credenciales vinculadas a esta aplicación y las utilizaron para obtener tokens de autenticación en los entornos de Microsoft 365 de clientes y socios.

Los permisos actuales de la aplicación podrían permitir a los atacantes acceder a los datos del buzón, archivos, contenido de Teams e información del directorio. Dado que el acceso está vinculado a la aplicación y no a una cuenta de usuario, cambiar la contraseña por sí solo podría no eliminar el riesgo.

¿Por qué es digno de mención?

Este incidente es relevante porque involucra una aplicación de terceros de confianza con acceso previo a entornos de Microsoft 365. Los atacantes podrían usar esos permisos para obtener tokens de Microsoft Graph y acceder a datos en los inquilinos afectados.

El monitoreo de seguridad ha detectado inicios de sesión no autorizados vinculados a credenciales comprometidas en múltiples entornos de clientes y socios. Este incidente pone de manifiesto los riesgos asociados con identidades de aplicaciones comprometidas e integraciones en la nube de confianza.

¿Cuál es la exposición o riesgo?

Las organizaciones que utilizan ConnectWise Cloud Backup podrían sufrir accesos no autorizados a los datos de Microsoft 365, dependiendo de los permisos otorgados a la aplicación. Los datos expuestos podrían incluir mensajes de correo electrónico, archivos adjuntos, archivos de OneDrive y SharePoint, datos de Teams e información de directorio.

Dado que la vulnerabilidad implica el acceso a través de la aplicación, los atacantes podrían mantener el acceso incluso después de que los administradores cambien las contraseñas de los usuarios. En el peor de los casos, las organizaciones podrían sufrir la filtración de datos, la exposición de comunicaciones confidenciales y otras actividades maliciosas a través de los permisos delegados de la aplicación.

¿Cuáles son las recomendaciones?

1. Deshabilitar el acceso a la aplicación ConnectWise Cloud Backup

En el Centro de administración de Microsoft Entra, localice la aplicación SkyKick / ConnectWise Cloud Backup (ID de aplicación: 506e08f9-6e9a-4da4-942b-a099a03644ae) y deshabilite el acceso de inicio de sesión de usuario. No elimine la aplicación.

2. Revisar la actividad de inicio de sesión del principal de servicio

Revisar los registros de inicio de sesión del principal de servicio para el ID de aplicación afectado e investigar la actividad originada desde las siguientes direcciones IP: "144.172.64.128, 144.172.64[.]99, 144.172.64[.]60", o asociada con agentes de usuario de Python como "Python-urllib/3.12 y python-requests/2.31".

3. Investigue la actividad basada en aplicaciones.

Revise la actividad de las aplicaciones y los servicios de Microsoft 365 en busca de indicios de acceso no autorizado. No se fíe únicamente de los registros de inicio de sesión interactivos de los usuarios.

4. Revocar el acceso no autorizado

Si se detecta actividad sospechosa, revoque las sesiones y tokens activos y elimine los permisos o consentimientos no autorizados asociados con la aplicación afectada.

5. Implemente el bloqueo de red cuando sea apropiado.

Considere bloquear las direcciones IP "144.172.64.128, 144.172.64[.]99 y 144.172.64[.]60" como medida de seguridad adicional. Sin embargo, el bloqueo de red por sí solo podría no impedir la autenticación entre nubes.

Servicio XDR

Justo ahí se encuentra el problema

Los ciberdelincuentes están aprovechando la familiaridad de los CAPTCHA para construir campañas de phishing más convincentes. En lugar de limitarse a presentar una página falsa para robar contraseñas, ahora pueden utilizar estas supuestas verificaciones como parte de una cadena de ataque diseñada para engañar al usuario, ocultar contenido malicioso y facilitar la instalación de malware.

El peligro no está en el CAPTCHA legítimo, sino en lo que puede esconder una página diseñada para imitarlo.

De acuerdo con un análisis de Barracuda, el abuso de CAPTCHA apareció en el 43 % de los ataques con kits de phishing examinados durante 2025. Este dato refleja cómo una herramienta asociada con la seguridad puede convertirse en un recurso para aumentar la credibilidad de los engaños digitales.

Y hay algo todavía más preocupante: algunas campañas ya no esperan que la víctima introduzca su contraseña. Buscan que ella misma realice las acciones necesarias para poner en marcha la infección.

De una verificación aparentemente inofensiva a una trampa digital

El funcionamiento de un ataque puede comenzar con un correo electrónico que parece formar parte de la rutina laboral. El mensaje solicita revisar una factura, consultar un contrato, abrir un documento compartido o acceder a un archivo supuestamente protegido.

El usuario hace clic en el enlace y llega a una página que presenta una verificación CAPTCHA. Todo parece normal: una casilla, una instrucción breve y la promesa de continuar hacia el documento solicitado.

Sin embargo, esa pantalla puede formar parte de una infraestructura de phishing.

Después de completar la supuesta verificación, la víctima podría ser redirigida a una página de inicio de sesión falsa, diseñada para capturar sus credenciales. En otros casos, el proceso puede conducir a descargas maliciosas o solicitudes para habilitar notificaciones del navegador que después se utilizan para distribuir contenido engañoso.

La trampa funciona porque el atacante no necesita que el usuario confíe ciegamente en un correo sospechoso. Le basta con construir una secuencia de pasos que parezcan razonables y familiares.

Además, algunos CAPTCHA falsos se utilizan para dificultar el análisis automatizado. Los sistemas de seguridad pueden encontrar obstáculos para avanzar por la página, mientras que una persona que completa la prueba sí consigue llegar al siguiente paso del ataque.

Así, una verificación aparentemente sencilla puede servir para filtrar visitantes, ocultar el contenido malicioso y aumentar las probabilidades de que el engaño tenga éxito.

ClickFix: cuando la víctima termina ejecutando el ataque

Entre las variantes más preocupantes se encuentra la combinación de CAPTCHA falsos con una técnica conocida como ClickFix.

En este tipo de ataque, la página no se limita a solicitar que el usuario marque una casilla. En su lugar, le presenta un supuesto problema técnico y le ofrece instrucciones para solucionarlo.

Por ejemplo, podría mostrar un mensaje que simula un error al abrir un documento, un fallo del navegador o un problema con una actualización. A continuación, indica que es necesario seguir determinados pasos para completar la verificación o recuperar el acceso.

El engaño puede incluir instrucciones para abrir una herramienta del sistema, pegar contenido del portapapeles y ejecutarlo. En algunas variantes, una interacción con la página copia un comando malicioso sin que el usuario lo advierta.

Si la víctima sigue las instrucciones, puede terminar ejecutando el código que inicia la infección del dispositivo.

El cambio es importante: el atacante ya no intenta únicamente convencerte de que reveles información; intenta convencerte de que hagas el trabajo por él.

Esta técnica aprovecha la confianza en las instrucciones que aparecen en pantalla y la tendencia a resolver rápidamente los problemas que interrumpen una tarea laboral.

Por eso, la concientización en ciberseguridad debe ir más allá de enseñar a reconocer correos sospechosos. También es necesario explicar por qué nunca se deben ejecutar comandos, pegar instrucciones desconocidas en herramientas del sistema o instalar programas únicamente porque una página web lo solicita.

Los ataques son cada vez más convincentes y personalizados

Los CAPTCHA falsos forman parte de una evolución más amplia del phishing: campañas que combinan diferentes técnicas para que cada etapa parezca legítima.

Las herramientas de inteligencia artificial y las plataformas de desarrollo accesibles facilitan la creación de páginas visualmente convincentes, formularios de inicio de sesión y recorridos de navegación adaptados a distintos usuarios.

En algunos escenarios, los atacantes encadenan referencias a varias marcas conocidas. La víctima puede recibir un mensaje sobre un documento compartido, completar una supuesta verificación, visualizar una pantalla que imita un servicio de documentos y terminar frente a una página falsa de inicio de sesión corporativo.

Cada paso refuerza la credibilidad del siguiente.

El usuario puede interpretar toda la secuencia como un procedimiento habitual de trabajo, especialmente cuando los mensajes utilizan nombres, diseños o referencias relacionados con su organización.

También existen páginas que modifican su comportamiento según el dispositivo, la ubicación, la actividad del visitante o el momento en que se accede. Algunas permanecen disponibles durante poco tiempo, lo que dificulta que los equipos de seguridad puedan examinarlas después.

Esto significa que reconocer una amenaza únicamente por su apariencia resulta cada vez menos fiable. Una página puede parecer profesional y utilizar elementos visuales familiares sin ser segura.

Las señales que no debes ignorar

Aunque estos ataques se perfeccionan, hay comportamientos que deberían despertar sospechas.

Un CAPTCHA legítimo no debería exigirte ejecutar comandos en tu computadora. Tampoco debería pedirte instalar software inesperado, habilitar notificaciones del navegador como condición sospechosa para continuar o introducir contraseñas y códigos de autenticación dentro de la propia verificación.

Presta atención a estas señales:

• Solicitudes inesperadas: un correo te pide abrir urgentemente una factura, contrato o documento que no esperabas recibir.
• Direcciones web sospechosas: el dominio contiene errores ortográficos, subdominios extraños o no guarda relación clara con el servicio que supuestamente estás utilizando.
• Instrucciones fuera de lo normal: una página te pide abrir herramientas del sistema, pegar contenido del portapapeles o ejecutar comandos.
• Descargas inesperadas: la supuesta verificación inicia la descarga de archivos o solicita instalar programas sin una razón clara.
• Presión para actuar de inmediato: aparecen advertencias sobre la suspensión de una cuenta, la pérdida de información o un supuesto fallo que debes resolver cuanto antes.
• Solicitudes de información sensible: la página exige credenciales o códigos de un solo uso como parte de una verificación que debería ser sencilla.

Un punto importante: el hecho de que una página utilice HTTPS o muestre un candado en el navegador no garantiza que sea legítima. El cifrado protege la conexión, pero no demuestra que el sitio pertenezca a la empresa que afirma representar.

Ante cualquier duda, evita continuar desde el enlace recibido y verifica la solicitud mediante un canal independiente y confiable.

¿Cómo pueden protegerse las empresas frente a esta amenaza?

Combatir el phishing basado en CAPTCHA requiere una estrategia que combine tecnología, procedimientos y capacitación. Confiar únicamente en que los empleados identifiquen cada engaño no es suficiente, especialmente cuando las campañas están diseñadas para imitar procesos cotidianos.

Estas son algunas medidas que pueden ayudar a reducir el riesgo:

1.  Reforzar la seguridad del correo electrónico. Las soluciones de protección deben analizar mensajes, enlaces, archivos adjuntos y redirecciones sospechosas para identificar amenazas antes de que lleguen al usuario o provoquen un incidente.
2. Proteger los dispositivos y detectar comportamientos maliciosos. La seguridad de endpoints ayuda a identificar actividades sospechosas, intentos de ejecución de malware y otros indicadores de compromiso. Esto resulta especialmente importante cuando un usuario interactúa con una página maliciosa.
3. Capacitar a los colaboradores con ejemplos reales. Los usuarios deben aprender a reconocer no solo los correos fraudulentos, sino también las instrucciones sospechosas que pueden aparecer después de abrir un enlace.
4. Fortalecer la protección de las identidades. La autenticación multifactor sigue siendo una medida esencial para reducir el impacto del robo de contraseñas. Sin embargo, debe complementarse con controles de acceso, supervisión de sesiones y mecanismos para detectar actividades anómalas.
5. Mantener una estrategia de defensa por capas. La combinación de protección del correo, análisis de URL, inteligencia de amenazas, seguridad de endpoints y supervisión de actividad permite abordar diferentes etapas de un ataque, en lugar de depender de una única barrera.
6. Definir un procedimiento de respuesta. Si un usuario sospecha que ha seguido instrucciones maliciosas, debe informar inmediatamente al equipo de TI o de seguridad. La organización podrá evaluar si es necesario aislar el dispositivo, investigar la actividad, revocar sesiones o credenciales comprometidas y determinar el alcance del incidente.

La velocidad de respuesta importa. Cuanto antes se identifique un comportamiento sospechoso, mayores serán las posibilidades de contener el problema antes de que afecte a otros sistemas o usuarios.

La seguridad comienza antes de hacer clic en “Verificar”

Los CAPTCHA falsos demuestran que las amenazas digitales no siempre llegan con archivos adjuntos sospechosos o mensajes evidentemente fraudulentos. En ocasiones, se presentan como una parte normal de la experiencia de navegación.

El verdadero riesgo aparece cuando esa familiaridad se utiliza para manipular al usuario, robar sus credenciales o inducirlo a ejecutar acciones que comprometen su propio dispositivo.

Para las empresas, el desafío consiste en anticiparse a estas técnicas y proteger cada etapa del proceso: desde la recepción de un correo hasta la navegación, el acceso a las aplicaciones y la actividad que ocurre en los dispositivos.

Porque una estrategia de seguridad efectiva no debe depender únicamente de que un usuario sepa distinguir una página falsa de una verdadera. También necesita herramientas capaces de detectar amenazas, reducir las oportunidades de ataque y facilitar una respuesta oportuna.

La próxima vez que una página te pida demostrar que no eres un robot, recuerda algo: superar una verificación no significa que el sitio sea seguro.

Phishing en tu correo electrónico

Tu contraseña ya no es el único objetivo: así secuestran los ciberdelincuentes tu identidad digital

Durante mucho tiempo, proteger una cuenta parecía relativamente sencillo: utilizar una contraseña segura, activar la autenticación multifactor (MFA) y evitar compartir información confidencial. Sin embargo, las técnicas de los ciberdelincuentes han evolucionado y hoy existe un problema que va mucho más allá de descubrir una contraseña.

Ahora, los atacantes buscan apropiarse de algo mucho más valioso: la identidad digital completa de una persona.

Para conseguirlo, recurren a programas maliciosos capaces de extraer credenciales almacenadas en el navegador, cookies de sesión, tokens de autenticación y otros datos que permiten acceder a servicios empresariales, plataformas en la nube y cuentas personales.

El riesgo es considerable. Si un atacante consigue reutilizar una sesión autenticada, podría acceder a determinados servicios haciéndose pasar por un usuario legítimo, incluso cuando esa cuenta cuenta con mecanismos adicionales de seguridad.

Y lo más preocupante es que este modelo de ciberdelincuencia no depende de una sola herramienta. El resurgimiento de Lumma Stealer y la aparición de nuevas amenazas como Acreed demuestran que el robo de identidades digitales se ha convertido en un negocio que continúa evolucionando.

Lumma Stealer: una amenaza que demuestra que los ciberdelincuentes saben regresar

En 2025, las autoridades y sus socios tecnológicos interrumpieron parte de la infraestructura utilizada por Lumma Stealer, uno de los programas de robo de información más conocidos del ecosistema criminal. Sin embargo, las interrupciones no significaron necesariamente el final de la amenaza.

Los informes posteriores señalaron la reconstrucción de sus operaciones y la aparición de nuevas campañas de distribución.

Lumma Stealer pertenece a la categoría de los infostealers: programas maliciosos diseñados para recopilar información valiosa de los dispositivos comprometidos. Entre sus objetivos se encuentran las contraseñas guardadas en navegadores, las cookies de sesión, los tokens de autenticación y otros datos que pueden facilitar el acceso a cuentas digitales.

Para llegar a sus víctimas, los atacantes recurren a diferentes técnicas de ingeniería social. Algunas campañas utilizan páginas CAPTCHA falsas que invitan al usuario a seguir instrucciones aparentemente legítimas. Otras recurren a descargas maliciosas o engaños que inducen a las personas a ejecutar comandos en sus propios equipos, una modalidad de ataque conocida como ClickFix.

El engaño funciona porque aprovecha una reacción habitual: cuando una página parece legítima y solicita completar una verificación o corregir un supuesto problema, el usuario puede bajar la guardia.

Una vez que el dispositivo queda comprometido, la información recopilada puede utilizarse para intentar acceder a otros servicios, venderse en mercados clandestinos o facilitar ataques posteriores.

La lección es clara: una amenaza puede cambiar de infraestructura y de estrategia sin perder su objetivo principal. Por eso, las organizaciones necesitan detectar tanto las infecciones como las actividades sospechosas que pueden producirse después.

El verdadero botín: sesiones activas y credenciales empresariales

Imagina que un colaborador inicia sesión en el correo corporativo, accede a sus aplicaciones de trabajo y consulta documentos almacenados en la nube. Durante ese proceso, el navegador y los servicios utilizados gestionan información que permite mantener la sesión autenticada.

Si un atacante consigue robar y reutilizar determinados elementos de esa sesión, podría intentar acceder a los servicios correspondientes sin repetir todo el proceso de autenticación.

Aquí aparece uno de los riesgos más importantes del robo moderno de información: el atacante no siempre necesita conocer la contraseña si logra apropiarse de una sesión válida.

Las cookies de sesión y los tokens de autenticación cumplen funciones legítimas: permiten que los servicios reconozcan a un usuario y mantengan su acceso. El problema surge cuando estos elementos caen en manos equivocadas y pueden reutilizarse fuera del contexto previsto.

En determinadas circunstancias, esto puede reducir la eficacia de la autenticación multifactor. Aunque la MFA sigue siendo una medida de seguridad fundamental, no impide por sí sola todos los escenarios de secuestro de sesión.

El impacto puede extenderse rápidamente dentro de una organización. Una cuenta comprometida podría convertirse en el punto de partida para consultar información confidencial, acceder a aplicaciones empresariales, enviar correos fraudulentos o intentar alcanzar otros recursos corporativos.

Por eso, proteger una identidad digital exige mirar más allá de la contraseña: también es necesario vigilar las sesiones, los dispositivos desde los que se accede y los comportamientos que se producen después de iniciar sesión.

Un mercado clandestino que convierte las identidades en mercancía

El robo de información no termina cuando el malware extrae los datos de un dispositivo. En muchos casos, ese es apenas el comienzo de una cadena de actividades criminales.

Los registros robados pueden reunir contraseñas, información de autocompletado, perfiles de navegación, cookies y otros elementos relacionados con las cuentas de una víctima. Después, estos datos pueden comercializarse, intercambiarse o utilizarse para preparar nuevos ataques.

La existencia de grandes conjuntos de credenciales y datos de navegación robados demuestra la escala que puede alcanzar este ecosistema. Para los delincuentes, disponer de información previamente recopilada puede reducir el esfuerzo necesario para preparar campañas de fraude o intentar tomar el control de cuentas.

En el entorno empresarial, las consecuencias pueden ser especialmente graves. Una cuenta corporativa comprometida puede utilizarse para suplantar a un empleado, engañar a proveedores, distribuir mensajes de phishing o intentar acceder a información protegida.

El riesgo aumenta cuando una misma identidad permite entrar en diferentes aplicaciones conectadas, especialmente si existen permisos excesivos o controles insuficientes sobre los accesos.

En otras palabras, el valor de los datos robados no se limita a lo que contienen, sino también a las puertas que pueden abrir.

Acreed: otra señal de la evolución del robo de información

Lumma Stealer no es el único ejemplo de esta tendencia. Acreed es otra familia de malware diseñada para recopilar información sensible, con especial atención a las credenciales almacenadas en navegadores y otros datos que pueden aprovecharse para comprometer identidades digitales.

Entre la información que puede buscar se encuentran contraseñas, datos de autocompletado, cookies de autenticación y datos relacionados con monederos de criptomonedas.

Su aparición refleja una dinámica habitual del cibercrimen: mientras algunas amenazas pierden presencia o se enfrentan a interrupciones, otras herramientas aparecen para atender la demanda de quienes buscan robar y comercializar información.

Esto dificulta el panorama de seguridad para las organizaciones. No basta con identificar una familia de malware y asumir que el problema desaparecerá cuando deje de ser noticia. Las herramientas cambian, los métodos de distribución se adaptan y los datos obtenidos mediante una infección pueden seguir teniendo valor mucho después del compromiso inicial.

Por ello, la defensa debe centrarse en capacidades que permitan detectar comportamientos maliciosos, contener dispositivos afectados e identificar posibles accesos indebidos, incluso cuando la amenaza utiliza herramientas nuevas o poco conocidas.

¿Cómo pueden protegerse las empresas frente al secuestro de identidades digitales?

La evolución de estas amenazas exige adoptar una estrategia de seguridad que considere la identidad como una parte esencial de la superficie de ataque.

Estas son algunas medidas prioritarias:

1. Reforzar la seguridad de los dispositivos. Mantener los sistemas actualizados, utilizar herramientas de protección de endpoints y vigilar los comportamientos sospechosos ayuda a reducir el riesgo de que un infostealer se ejecute y recopile información.

2. Proteger las sesiones y los accesos. Aplicar políticas de acceso condicional, evaluar el contexto de los inicios de sesión y utilizar mecanismos de revocación de sesiones y tokens cuando exista una sospecha de compromiso puede ayudar a limitar el acceso no autorizado.

3. Mantener la autenticación multifactor. La MFA sigue siendo indispensable. Siempre que sea viable, conviene priorizar métodos resistentes al phishing y complementar su uso con controles que permitan identificar sesiones o accesos anómalos.

4. Supervisar la actividad de las cuentas. Los accesos desde ubicaciones o dispositivos inusuales, los cambios inesperados de comportamiento y las acciones anómalas sobre aplicaciones empresariales pueden revelar un compromiso que no sería evidente al revisar únicamente las contraseñas.

5. Prepararse para responder con rapidez. Cuando se detecta un posible robo de información, es importante aislar el dispositivo afectado, investigar el alcance del incidente, revocar las sesiones comprometidas, cambiar las credenciales cuando corresponda y revisar las cuentas y los servicios potencialmente expuestos.

6. Capacitar a los usuarios contra nuevas técnicas de engaño. Las páginas CAPTCHA falsas, las descargas sospechosas y las instrucciones que solicitan ejecutar comandos deben formar parte de los escenarios de concientización en ciberseguridad.

Ninguna medida aislada elimina todos los riesgos. La protección más sólida surge de combinar prevención, visibilidad, controles de identidad y capacidad de respuesta.

La seguridad ya no termina en el dispositivo: también debe proteger la identidad

El resurgimiento de Lumma Stealer y la aparición de herramientas como Acreed reflejan una transformación importante: los ciberdelincuentes no necesitan limitarse a robar archivos o instalar ransomware. También pueden buscar los elementos que permiten a una persona acceder a sus cuentas y servicios digitales.

Esto cambia la forma de entender la protección empresarial. Los dispositivos siguen siendo fundamentales, pero las organizaciones también deben prestar atención a las credenciales, las sesiones activas, los tokens y el comportamiento de los usuarios dentro de sus aplicaciones.

En este escenario, contar con capacidades de protección de endpoints, detección de amenazas y respuesta ante incidentes puede ayudar a identificar compromisos y reducir su impacto. Soluciones como los servicios de seguridad gestionada y XDR permiten integrar señales de diferentes fuentes para investigar actividades sospechosas.

Phishing en tu correo electrónico

Cuando una contraseña comprometida abre la puerta a toda una organización

No todos los ciberataques comienzan con una vulnerabilidad de software. En ocasiones, basta con una contraseña robada, una cuenta comprometida o un acceso privilegiado que termina en las manos equivocadas.

Los ciberdelincuentes han perfeccionado sus técnicas para obtener credenciales mediante campañas de phishing, ingeniería social y ataques cada vez más convincentes, potenciados por la inteligencia artificial. Una vez dentro, pueden aprovechar los permisos de una cuenta legítima para acceder a información sensible, desplazarse entre sistemas o realizar actividades maliciosas sin levantar sospechas inmediatas.

El problema es especialmente relevante para los proveedores de servicios gestionados (MSP), responsables de administrar la infraestructura y la seguridad de múltiples organizaciones. Un acceso comprometido no solo puede poner en riesgo a un cliente: dependiendo de los permisos y las conexiones involucradas, también puede convertirse en una vía de entrada hacia otros sistemas bajo su administración.

Por eso, proteger la identidad ya no consiste únicamente en establecer contraseñas seguras. Se necesita controlar quién accede a cada recurso, limitar los privilegios, identificar comportamientos sospechosos y responder cuando una cuenta presenta señales de compromiso.

Evo Security: una apuesta por reforzar la resiliencia de identidad

Ante este escenario, Barracuda anunció la adquisición de Evo Security, una compañía especializada en gestión de identidades y accesos (IAM), diseñada específicamente para las necesidades operativas de los MSP.

La integración amplía las capacidades de BarracudaONE, la plataforma de ciberresiliencia de Barracuda, con un enfoque que busca fortalecer la protección de identidad sin añadir una complejidad innecesaria a la gestión de múltiples clientes.

¿La importancia de este movimiento? La seguridad de identidad deja de verse como una función aislada y pasa a formar parte de una estrategia más amplia de protección, detección y respuesta ante amenazas.

Entre las capacidades que aporta Evo Security destacan:

• Gestión de acceso privilegiado (PAM): ayuda a controlar los accesos con permisos elevados, reduciendo la exposición asociada a cuentas que pueden administrar sistemas o información crítica.
• Control de acceso: permite gestionar quién puede acceder a los recursos y bajo qué condiciones, de acuerdo con las políticas establecidas.
• Protección de identidades: contribuye a fortalecer los controles sobre las cuentas y los accesos que forman parte de los entornos administrados.
• Detección y respuesta ante amenazas de identidad (ITDR): permite abordar las amenazas que afectan a las identidades digitales mediante capacidades orientadas a identificar y responder ante actividades sospechosas.

Estas funciones atienden distintas etapas del riesgo: desde reducir las oportunidades de acceso indebido hasta mejorar la capacidad de detectar y responder cuando una identidad se convierte en el punto de entrada de un ataque.

¿Por qué es especialmente importante para los MSP?

Administrar la seguridad de una sola organización ya puede representar un reto considerable. Hacerlo para decenas o cientos de clientes exige herramientas capaces de escalar sin multiplicar proporcionalmente el trabajo operativo.

Aquí es donde destaca el enfoque de Evo Security: su arquitectura multiusuario está diseñada para facilitar la administración de identidades y accesos en distintos entornos de clientes desde una operación orientada a los MSP.

Esto resulta relevante por tres razones:

• Más control sobre los accesos críticos.

Los MSP necesitan administrar cuentas técnicas, usuarios y privilegios que permiten mantener la operación de sus clientes. Cuanto mayor sea la cantidad de accesos, más importante resulta establecer controles que reduzcan el riesgo de uso indebido.

• Menos fragmentación en la gestión de seguridad.

Trabajar con herramientas desconectadas puede dificultar la administración diaria y obligar a los equipos a cambiar constantemente entre plataformas. La evolución de BarracudaONE apunta a reunir más capacidades de protección dentro de una experiencia de seguridad integrada.

• Mayor capacidad para escalar los servicios.

Una solución diseñada para MSP debe considerar la administración de múltiples clientes como parte central de su arquitectura. Este enfoque ayuda a los proveedores a estructurar sus operaciones de seguridad y a ampliar sus servicios sin depender exclusivamente de procesos manuales.

El objetivo no es únicamente incorporar nuevas funciones, sino ayudar a los MSP a gestionar mejor el riesgo de identidad dentro de una operación que debe ser eficiente, repetible y escalable.

De proteger sistemas a proteger quién tiene acceso a ellos

Durante mucho tiempo, las estrategias de seguridad se concentraron en defender redes, dispositivos, servidores y aplicaciones. Estas capas siguen siendo fundamentales, pero no son suficientes cuando un atacante puede utilizar credenciales legítimas para operar dentro de un entorno.

La resiliencia de identidad busca responder precisamente a ese desafío: proteger las identidades, controlar sus accesos, detectar amenazas relacionadas con ellas y mejorar la capacidad de respuesta ante un compromiso.

La incorporación de Evo Security refuerza la visión de Barracuda de desarrollar una plataforma de ciberresiliencia más amplia, que conecte diferentes necesidades de protección en lugar de depender exclusivamente de soluciones independientes.

Para los MSP, esta evolución representa una oportunidad para revisar cómo administran los privilegios, cómo supervisan los accesos y qué tan preparados están para responder cuando una cuenta deja de ser confiable.

Porque una estrategia de seguridad no debería limitarse a impedir que alguien entre. También debe considerar qué puede hacer una persona o cuenta una vez que obtiene acceso, qué señales podrían revelar un abuso y cómo contener el riesgo antes de que se convierta en un incidente mayor.

BarracudaONE y Evo Security: una estrategia de protección más completa

La adquisición de Evo Security refuerza la apuesta de Barracuda por ampliar las capacidades de su plataforma y responder a los desafíos de seguridad que enfrentan los proveedores de servicios gestionados.

Al incorporar capacidades de gestión de identidades y accesos, protección de identidad, administración de privilegios y detección y respuesta ante amenazas de identidad, Barracuda avanza hacia un enfoque que considera tanto la protección de los sistemas como la seguridad de quienes acceden a ellos.

Para los MSP, el valor está en poder evolucionar hacia servicios de seguridad más completos, con herramientas pensadas para sus necesidades operativas y para la protección de múltiples entornos.

En Cobra Networks te ayudamos a conocer las soluciones de ciberseguridad de Barracuda y a identificar las tecnologías que mejor se adaptan a las necesidades de tu organización o de tus clientes. Si buscas fortalecer tu estrategia de seguridad, contacta con nuestro equipo para conocer más sobre el portafolio de Barracuda y las capacidades de su plataforma BarracudaONE.

¿Qué es Evo Security? 

Evo Security es un proveedor de soluciones de gestión de identidades y accesos diseñado para proveedores de servicios gestionados. Su enfoque contempla la administración de múltiples entornos de clientes y las necesidades operativas de los MSP.

Integración con Barracuda 

La adquisición amplía las capacidades de BarracudaONE con tecnologías centradas en la identidad, incluidos el control de acceso, la gestión de privilegios y la detección y respuesta ante amenazas de identidad.

¿Qué es la resiliencia de identidad?

Es la capacidad de proteger las identidades digitales, controlar sus accesos, identificar amenazas relacionadas con las cuentas y responder ante posibles compromisos para reducir su impacto.

¿Cómo beneficia esta integración a los MSP?

El enfoque está orientado a facilitar la administración de identidades en múltiples entornos de clientes, fortalecer los controles de acceso y ampliar las capacidades de seguridad disponibles dentro de la estrategia de plataforma de Barracuda.

¿Evo Security sustituye las demás soluciones de seguridad de Barracuda?

No debe entenderse como un reemplazo general de las demás capas de protección. La integración amplía el enfoque de BarracudaONE con capacidades centradas en la identidad, que complementan otras áreas de la ciberseguridad.

Phishing en tu correo electrónico

Cuando un correo llega a la bandeja de entrada: ¿te encuentras preparado?

Parece legítimo. El remitente es conocido. El mensaje está perfectamente redactado. La solicitud tiene sentido y el enlace conduce a una página que prácticamente no se distingue de la original.

Un empleado hace clic.

Y en cuestión de segundos, lo que parecía una acción cotidiana puede convertirse en una puerta de entrada para un atacante.

Este escenario resume uno de los principales desafíos de la ciberseguridad actual: los ciberdelincuentes ya no dependen únicamente de errores evidentes para engañar a las personas.

La inteligencia artificial les permite crear mensajes más convincentes, personalizar campañas y aumentar la escala de sus operaciones. Por eso, durante el Mes de la Concienciación sobre Ciberseguridad 2026, la conversación debe ir más allá de enseñar a los usuarios a reconocer un correo sospechoso.

2026: "No se lo pongas tan fácil"

El Mes de la Concienciación sobre Ciberseguridad se celebra cada octubre y está liderado por la National Cybersecurity Alliance y CISA. Para 2026, la campaña utiliza el lema “Don’t Make It Easy for Them”, o “No se lo pongas fácil”. El mensaje busca impulsar hábitos de seguridad que se repitan durante todo el año, no únicamente durante octubre.

La campaña propone cuatro acciones fundamentales:

• Utilizar contraseñas seguras y un gestor de contraseñas.

• Activar la autenticación multifactor (MFA).

• Reconocer y reportar estafas.

• Mantener actualizados el software y los dispositivos.

Son recomendaciones conocidas. Y precisamente por eso pueden parecer demasiado sencillas.

Pero la sencillez no significa que hayan perdido importancia.

Una contraseña reutilizada, una actualización pendiente, una solicitud de pago que nadie verifica o un mensaje sospechoso que no se reporta pueden convertirse en oportunidades para un atacante.

El objetivo no es hacer que las personas sean perfectas. Es hacer que sea mucho más difícil que un error termine convirtiéndose en un incidente.

El phishing ya no necesita parecer sospechoso

Durante años, uno de los consejos más repetidos en materia de seguridad fue aprender a identificar señales de alerta: errores ortográficos, mensajes extraños, remitentes desconocidos o solicitudes poco creíbles.

El problema es que esas señales son cada vez menos confiables.

La IA está facilitando la creación de campañas de phishing más sofisticadas y personalizadas. Un atacante puede generar comunicaciones con un lenguaje más natural, adaptar el contenido a su objetivo y producir campañas a una escala que antes requería mucho más tiempo y recursos.

Y el correo puede ser solo el comienzo.

Una campaña puede intentar robar credenciales, acceder a una cuenta de Microsoft 365, inducir una transferencia bancaria o comprometer una identidad que posteriormente permita al atacante acceder a otros recursos.

Por eso, el usuario ya no debe considerarse únicamente el último eslabón de la cadena de seguridad.

También es uno de los principales objetivos.

El nuevo perímetro está en la identidad

La seguridad empresarial ya no puede depender únicamente de proteger servidores, dispositivos y redes.

Las identidades se han convertido en un objetivo prioritario.

Cuando un atacante consigue una contraseña, roba una sesión o compromete una cuenta, puede intentar acceder a recursos legítimos utilizando credenciales legítimas. Y eso cambia completamente el problema.

Ya no estamos necesariamente frente a un archivo malicioso que un antivirus debe detectar.

Estamos frente a alguien intentando parecer un usuario autorizado.

Aquí, la autenticación multifactor desempeña un papel fundamental. Pero MFA debe formar parte de una estrategia más amplia de protección de identidad: controlar accesos, proteger cuentas privilegiadas, detectar comportamientos anómalos y reducir las oportunidades de abuso de credenciales.

Porque proteger la identidad significa proteger algo más importante que un dispositivo:

significa proteger el acceso a toda la organización.

Y sí: el correo electrónico sigue siendo una de las puertas principales

Podemos hablar de inteligencia artificial, robo de identidad, ransomware o ataques cada vez más sofisticados.

Pero existe un elemento que continúa apareciendo una y otra vez:

el correo electrónico.

Phishing, robo de credenciales, fraude de facturas, enlaces maliciosos y ataques de compromiso de correo empresarial buscan explotar una acción humana aparentemente normal.

Por eso, algunos hábitos siguen siendo esenciales:

Verifica.

Si una solicitud parece inusual, confirma su legitimidad.

No tengas prisa.

La urgencia es una de las herramientas favoritas de la ingeniería social.

Comprueba por otro canal.

Una transferencia bancaria o un cambio de cuenta no debería validarse únicamente porque llegó por correo.

Reporta.

Un mensaje sospechoso que se reporta puede ayudar a evitar que otro empleado caiga en el mismo ataque.

Pero existe otra parte de la ecuación.

No podemos esperar que los empleados detecten absolutamente todas las amenazas.

La tecnología debe intervenir antes de que el usuario tenga que tomar la decisión.

Ahí entra una capa avanzada de seguridad de correo electrónico capaz de analizar mensajes, identificar comportamientos sospechosos y bloquear amenazas antes de que lleguen a la bandeja de entrada.

La concienciación no debe terminar cuando termina el curso

Aquí está la diferencia entre concienciación y resiliencia.

La concienciación enseña qué hacer.

La resiliencia prepara a la organización para lo que ocurre cuando algo sale mal.

Porque incluso el empleado mejor capacitado puede cometer un error.

Puede hacer clic.

Puede abrir un archivo.

Puede aprobar una solicitud.

Puede introducir sus credenciales en el sitio equivocado.

La pregunta importante es:

¿Qué sucede después?

Una organización resiliente no depende de una única barrera. Construye varias capas que puedan detener, limitar o contener un ataque.

Eso implica combinar:

• Concienciación y capacitación, para reducir el riesgo humano.

• Protección de identidad, para evitar que las credenciales comprometidas se conviertan en acceso permanente.

• Seguridad avanzada del correo electrónico, para detener amenazas antes de que lleguen al usuario.

• Protección de endpoints, para contener comportamientos maliciosos.

• Protección de datos, para reducir el impacto de una intrusión.

• Copias de seguridad y recuperación, para recuperar operaciones cuando sea necesario.

• Respuesta ante incidentes, para actuar rápidamente cuando las demás barreras sean superadas.

Ninguna capa es perfecta.

El objetivo es que el atacante tenga que superar muchas más.

Octubre termina. El riesgo no.

El Mes de la Concienciación sobre Ciberseguridad no debería convertirse en un recordatorio anual que desaparece cuando termina octubre.

Debe ser el momento para revisar cómo está preparada realmente una organización.

¿Los empleados saben reconocer una amenaza?

¿Las cuentas críticas están protegidas?

¿La autenticación multifactor está correctamente implementada?

¿El correo electrónico cuenta con protección avanzada?

¿Los endpoints pueden detectar y contener comportamientos sospechosos?

¿Existe un plan para responder cuando alguien comete un error?

Porque la ciberseguridad moderna no consiste en conseguir que nadie se equivoque.

Consiste en construir una organización capaz de resistir cuando alguien lo hace.

Ese es el verdadero salto de la concienciación a la resiliencia.

Y en un escenario donde la IA permite a los atacantes crear amenazas cada vez más convincentes, hacerles la vida difícil ya no es únicamente una cuestión de enseñar a las personas qué evitar. Es construir suficientes capas de protección para que un solo clic no sea suficiente para comprometerlo todo.

Phishing en tu correo electrónico

¿Qué ocurre después de que un ataque de phishing con clave de acceso tenga éxito?

Lo primero que llama la atención en la investigación de Microsoft es que los atacantes no estaban realmente interesados en las claves de acceso. Estas solo eran un señuelo. El verdadero objetivo era acceder a las cuentas de Microsoft 365. Una vez que lo consiguieron, la campaña se diferenció mucho de un ataque de phishing tradicional.

Los atacantes añadieron métodos de autenticación que controlaban. Exploraron el entorno de Microsoft 365. Identificaron información valiosa. Luego comenzaron a recopilarla. En algunos casos, esta actividad se prolongó durante días.

Eso es lo que hace que esta campaña sea importante. El compromiso no fue el evento en sí, sino el comienzo.

¿Por qué los atacantes se centran en la persistencia tras una brecha de seguridad en Microsoft 365?

Aquí es donde las cosas se complican para los defensores. Microsoft observó que los atacantes utilizaban Microsoft Graph, SharePoint, OneDrive, Exchange Online y otros servicios legítimos de Microsoft 365. Ninguna de estas actividades es inusual en sí misma. Los empleados buscan archivos, acceden a SharePoint, leen correos electrónicos y utilizan aplicaciones empresariales. A simple vista, gran parte de la actividad de los atacantes parecía idéntica.

El peligro solo se hizo evidente cuando se conectaron esos eventos. Tras un inicio de sesión exitoso, se realizaron cambios en la autenticación multifactor (MFA). Estos cambios fueron seguidos por un reconocimiento del inquilino. El reconocimiento fue seguido por el acceso al buzón de correo y la recopilación de archivos.

Considerados individualmente, estos eventos parecían normales. Vistos en conjunto, revelaron un ataque que se propagaba a través del entorno.

¿Por qué el robo de identidad se considera un incidente de seguridad en la nube?

Durante años, las conversaciones sobre seguridad del correo electrónico se centraron en evitar que los mensajes maliciosos llegaran a las bandejas de entrada. Eso sigue siendo importante, pero ataques como este ponen de manifiesto un desafío mucho mayor.

Una vez que los atacantes obtienen acceso a una identidad de Microsoft 365, ya no se limitan a atacar el correo electrónico. Su objetivo son las herramientas de colaboración, el almacenamiento en la nube, las comunicaciones internas, los procesos de negocio y el conocimiento organizacional.

En ese punto, te enfrentas a mucho más que un simple ataque de phishing. Te enfrentas a un incidente de seguridad en la nube.

La seguridad se convierte en un problema diferente después de la autenticación.

La investigación de Microsoft refuerza una idea que muchos equipos de seguridad ya observan en la práctica: los controles de identidad robustos siguen siendo esenciales. Tecnologías como las claves de acceso, Microsoft Entra, el acceso condicional, Microsoft Defender y Exchange Online Protection proporcionan una base sólida para proteger los entornos de Microsoft 365.

Pero el desafío cambia tras la autenticación. Las preguntas clave son: ¿Ha comenzado una cuenta comprometida a enviar mensajes sospechosos? ¿Se ha añadido un nuevo método de autenticación? ¿Se está produciendo alguna actividad inusual en el buzón de correo? ¿Ha comenzado alguien a recopilar archivos de SharePoint o OneDrive sin que se den cuenta?

Estas son las señales que suelen aparecer más adelante en el ciclo de vida del ataque. También explican por qué muchas organizaciones están haciendo mayor hincapié en la detección de robo de cuentas, la remediación continua y la seguridad posterior a la entrega , junto con los controles de prevención tradicionales.

El objetivo no es simplemente bloquear las amenazas en la puerta principal. Se trata de comprender qué sucede si una logra entrar.

¿Cómo pueden los equipos de seguridad detectar los ataques posteriores al inicio de sesión?

Quizás la lección más importante de esta campaña es que nadie habría comprendido el ataque analizando un solo evento. Ni el inicio de sesión. Ni el registro de MFA. Ni la actividad del buzón de correo. Ni el acceso a SharePoint. Ni las solicitudes de Microsoft Graph.

Microsoft señaló específicamente que la actividad de Graph debe evaluarse mediante la progresión del comportamiento y la correlación entre eventos, en lugar de solicitudes individuales aisladas. Esta observación es válida mucho más allá de esta campaña. Los ataques modernos rara vez se limitan a un solo lugar. Se propagan a través de identidades, buzones de correo, aplicaciones, servicios en la nube y datos.

El reto consiste en conectar esas señales antes de que el atacante tenga tiempo de lograr su objetivo.

¿Qué deberían aprender las organizaciones de los ataques de phishing con claves de acceso?

Sería fácil leer esta historia y concluir que trata sobre contraseñas. Pero no es así. Las contraseñas siguen siendo una de las tecnologías de autenticación más seguras disponibles.

La lección más importante es que los atacantes siguen buscando maneras de sortear los controles de seguridad explotando algo mucho más difícil de defender que la tecnología: la confianza. Y una vez que entran, suelen ser pacientes.

Para las organizaciones que utilizan Microsoft 365, unos controles de identidad sólidos son solo una parte de la solución. Ataques como este ponen de manifiesto la importancia de detectar rápidamente las cuentas comprometidas, mitigar continuamente las amenazas emergentes y conectar la actividad entre identidades, correo electrónico, servicios en la nube y datos.

Porque el verdadero riesgo no reside en la concesión inicial, sino en todo lo que sucede después.

Filtrado de contenido

¿Qué hace que este ataque sea diferente?

A diferencia de las campañas de phishing convencionales que se basan en un sitio web similar alojado en un servidor, este ataque utiliza una arquitectura residente en el navegador diseñada para reducir su visibilidad tanto para los usuarios como para las herramientas de seguridad.

• No hay ninguna página de phishing que bloquear. El contenido de phishing nunca se muestra como una página web convencional. En cambio, se genera a partir de una URL virtual dentro del navegador de la víctima. Dado que la página solo existe durante esa sesión del navegador, no hay una URL de phishing persistente que las herramientas de seguridad puedan recuperar, analizar o bloquear con antelación.
• Servicios de Microsoft de confianza a lo largo de toda la cadena de ataque. En lugar de dirigir a las víctimas a un sitio web obviamente sospechoso, el ataque las redirige a través de la infraestructura legítima de Microsoft, incluyendo login.microsoftonline.com y Microsoft Teams. Dado que la navegación visible se mantiene dentro de los servicios de Microsoft de confianza, es menos probable que los usuarios y los escáneres automatizados identifiquen la actividad como maliciosa.
• Ejecución de phishing basada en el navegador. Una vez que se carga la página de phishing basada en blobs, se registra un service worker y se ejecuta parte del flujo de trabajo dentro de un iframe aislado. En conjunto, estos componentes ayudan a gestionar las solicitudes, controlar la navegación y coordinar la experiencia de phishing desde la propia sesión del navegador.
• Control dinámico del atacante. La página de phishing recibe instrucciones de la infraestructura de backend mediante mecanismos de mensajería del navegador. Dado que el flujo de trabajo se controla dinámicamente en lugar de mediante redirecciones predefinidas, los operadores pueden modificar los destinos y el comportamiento en tiempo real.
• Mayor legitimidad. El correo electrónico incluye un archivo de invitación de calendario como archivo adjunto inofensivo. Si bien no forma parte del contenido malicioso, contribuye a que el mensaje parezca una comunicación empresarial rutinaria y puede aumentar la confianza del destinatario.

Flujo de ataque

1. La víctima recibe un correo electrónico con el tema de DocuSign.

2. Se adjunta un archivo de invitación de calendario al correo electrónico. No parece malicioso, ya que apunta a un punto final OAuth legítimo de Microsoft. Se incluye para que el correo electrónico parezca una invitación normal a una reunión de negocios o a un calendario.

3. Un parámetro de redireccionamiento diseñado dirige al usuario a Microsoft Teams.

4. Microsoft Teams carga un recurso externo alojado en cdn.bloom[.]io.

5. El navegador convierte ese contenido en una URL de tipo blob.

6. La URL del blob renderiza la página de phishing localmente dentro del navegador.

7. Los service workers, los iframes y los controles de backend gestionan el flujo de trabajo de phishing y la navegación del usuario.

8. La configuración oculta de comando y control demuestra que no se trata de una página independiente, sino que forma parte de una plataforma de phishing gestionada que puede ser operada, actualizada y dirigida de forma centralizada a muchas víctimas a la vez.

Conoce más en el siguiente video

En conjunto, estos mecanismos proporcionan al atacante un control en tiempo real sobre el flujo de trabajo de phishing dentro de la sesión del navegador de la víctima, lo que permite un nivel de flexibilidad y evasión que no suele verse en las páginas de phishing estáticas.

Detección y defensa

Esta campaña demuestra cómo el phishing está evolucionando más allá de los sitios web falsos y los dominios sospechosos, y cómo está reduciendo muchos de los indicadores en los que los equipos de seguridad se han basado tradicionalmente para la detección.

Las organizaciones deben centrarse en identificar comportamientos maliciosos y controles de identidad en lugar de simplemente bloquear URL de phishing conocidas. Las principales medidas defensivas incluyen:

• Supervisar los flujos de autorización de OAuth y las cadenas de redireccionamiento para detectar destinos inusuales o inesperados.
• Inspeccionar la actividad del navegador relacionada con URL de tipo blob, especialmente cuando se utilizan para renderizar páginas de inicio de sesión o flujos de trabajo de autenticación.
• Detección de registros sospechosos de trabajadores de servicios asociados con contenido de origen externo.
• Aplicar métodos de autenticación multifactor resistentes al phishing, como las claves de seguridad FIDO2 y las contraseñas.
• Utilizar controles de seguridad de correo electrónico que analicen la ruta completa de clics en lugar de basarse únicamente en la URL inicial.
• Capacitar a los usuarios para que tengan cuidado con las solicitudes inesperadas de firma de documentos, incluso cuando los enlaces parezcan utilizar la infraestructura de confianza de Microsoft.

A medida que los atacantes trasladan cada vez más sus métodos de phishing al propio navegador, los defensores deberán prestar mayor atención a la protección de la identidad , la seguridad del navegador y la detección de comportamientos maliciosos. El desafío ya no reside simplemente en identificar un sitio web malicioso. En campañas como esta, la página de phishing puede no existir en ningún otro lugar que no sea el navegador de la víctima.

Convertir los procesos comerciales cotidianos en trampas de autenticación.

Lo que hace que Kali365 y otras plataformas similares sean particularmente efectivas es su capacidad para disfrazar los ataques de autenticación como actividades comerciales rutinarias.

Las campañas de ataque Kali365 detectadas por los investigadores de Barracuda incluyen mensajes protegidos o cifrados, enlaces a documentos compartidos, solicitudes de firma electrónica, notificaciones de pago y facturación, alertas de correo de voz, advertencias de almacenamiento del buzón, solicitudes de revisión de cuarentena y notificaciones de cumplimiento y seguridad. Ninguna de estas características es nueva ni innovadora.

En cada caso, la víctima cree estar realizando una tarea laboral normal. La solicitud parece pertinente a su función y coherente con los flujos de trabajo cotidianos. En lugar de pedirle credenciales, se le indica que complete lo que parece ser un paso de verificación legítimo.

Ejemplo de correo electrónico de phishing con un enlace a una página de destino maliciosa.

Cómo funciona el phishing mediante código de dispositivo

El ataque comienza cuando la víctima recibe un correo electrónico de phishing con un enlace a una página web maliciosa. En lugar de mostrar un formulario de inicio de sesión falso de Microsoft, la página muestra un código de verificación del dispositivo e indica al usuario que continúe la autenticación mediante el proceso de inicio de sesión legítimo de Microsoft. La víctima es redirigida a una página auténtica de Microsoft y completa el proceso de inicio de sesión y autenticación multifactor (MFA) con normalidad.

Mensaje de autenticación de ejemplo.

Dado que la autenticación se realiza en la infraestructura de inicio de sesión legítima de Microsoft, los usuarios experimentan un inicio de sesión auténtico en lugar de una página falsa para robar credenciales. El atacante, en cambio, abusa de la sesión autenticada o los tokens resultantes.

La factura que nunca existió

El mecanismo puede comenzar con algo tan cotidiano como una factura.

Imaginemos recibir un correo aparentemente enviado por PayPal. El mensaje informa de un supuesto cargo por cientos de dólares y advierte que la transacción está a punto de procesarse. Para cancelarla, el usuario debe comunicarse con el número indicado.

No hay necesariamente un enlace que revisar. No hay un archivo que descargar. Incluso puede que el correo contenga muy poco texto.

Lo que sí existe es una historia cuidadosamente construida para provocar una reacción inmediata: “alguien está utilizando mi cuenta y tengo que solucionarlo ahora”.

Ese es precisamente el objetivo.

Las campañas analizadas arrojan los siguiente: los atacantes utilizaron facturas falsas, renovaciones de servicios, imágenes incrustadas, mensajes HTML diseñados para parecer comunicaciones legítimas e incluso invitaciones de Google Calendar para presentar cargos ficticios y dirigir a las víctimas hacia números telefónicos controlados por los estafadores.

La creatividad está en el pretexto; el objetivo es siempre el mismo: conseguir que la víctima llame voluntariamente.

Cuando el atacante consigue que seas tú quien inicia el contacto

Aquí está una de las diferencias fundamentales respecto al phishing tradicional.

En un ataque convencional, el delincuente intenta llevar a la víctima hacia una acción específica: hacer clic, iniciar sesión, abrir un archivo o introducir información.

Con el callback phishing, el atacante intenta conseguir algo psicológicamente más poderoso: que la propia víctima crea que está buscando ayuda.

Una vez realizada la llamada, la interacción cambia por completo. El estafador puede hacerse pasar por un representante de soporte, un departamento de facturación o un especialista de seguridad. Puede confirmar algunos datos obtenidos previamente y utilizar esa información para generar credibilidad.

A partir de ahí, la conversación puede escalar hacia solicitudes mucho más peligrosas: proporcionar información personal o financiera, acceder a una cuenta, instalar una herramienta de acceso remoto o realizar determinadas acciones mientras el supuesto agente de soporte guía a la víctima.

El correo electrónico, entonces, no era el objetivo final, era solo la puerta de entrada.