El entorno laboral se ha convertido en un caldo de cultivo para el cibercrimen más sofisticado. Entre julio de 2025 y junio de 2026, Kaspersky detectó 4,7 millones de intentos de ciberataque que empleaban señuelos basados en plataformas de uso cotidiano en las empresas, desde Zoom hasta Microsoft Teams. No se trata de una amenaza abstracta: los atacantes han aprendido a imitar las acciones más rutinarias de cualquier jornada laboral —una invitación a una videollamada, un documento compartido, una notificación de acceso— para infiltrarse en sistemas corporativos y robar información sensible.
El análisis de Kaspersky, que abarcó un período de doce meses, revela que los ciberdelincuentes no necesitan inventar escenarios extraordinarios para engañar a los empleados. Les basta con replicar los flujos de comunicación legítimos que ocurren a diario en cualquier organización. En un contexto de alta actividad empresarial, donde los correos electrónicos, las reuniones y las solicitudes entre equipos se multiplican, un mensaje fraudulento puede pasar desapercibido entre cientos de comunicaciones reales. La pregunta ya no es si una empresa será atacada, sino cuándo un empleado, en un momento de confianza o distracción, autorizará el acceso equivocado.
Zoom, Outlook y OneDrive: los señuelos más utilizados en 4,7 millones de intentos de ataque
De acuerdo con los datos de Kaspersky, Zoom fue el nombre más explotado como señuelo, con 2.658.283 intentos de ataque. Le sigue Outlook, con 1.546.122 detecciones. Completan la lista OneDrive (197.030 intentos), Microsoft Excel (151.948) y Microsoft Teams (111.402). Estas cifras no son casuales: se trata de las herramientas que los empleados utilizan a diario para comunicarse, colaborar y almacenar información. Un enlace malicioso que simule una invitación a una reunión en Zoom o una notificación de un archivo compartido en OneDrive tiene altas probabilidades de ser abierto sin mayor verificación.
El análisis no se limita a contar intentos. Los investigadores clasificaron las amenazas detrás de estos engaños. La categoría más frecuente fue Downloader, con 2.733.204 casos. Este tipo de programa malicioso actúa como un vehículo: una vez ejecutado, descarga e instala otros archivos o programas en el dispositivo de la víctima, abriendo la puerta a ransomware, spyware o backdoors. En segundo lugar se ubicaron los troyanos, con 989.377 detecciones. Estos programas se disfrazan de archivos legítimos y pueden robar credenciales, monitorear la actividad del usuario, otorgar acceso remoto a los atacantes o instalar malware adicional. También se registraron 341.165 exploits, amenazas diseñadas para aprovechar vulnerabilidades en programas o sistemas operativos y comprometer los equipos sin necesidad de interacción del usuario.
Cómo funciona el phishing por código de dispositivo: el ataque que elude la autenticación multifactor
Entre las campañas analizadas, Kaspersky identificó una técnica particularmente peligrosa: el phishing por código de dispositivo. A diferencia de un ataque de phishing tradicional, donde el objetivo es que la víctima escriba su contraseña en una página falsa, aquí los ciberdelincuentes explotan un mecanismo legítimo de autenticación de Microsoft. El ataque comienza cuando los criminales generan un código de verificación válido a través del flujo de autenticación de dispositivo. Luego engañan al usuario para que introduzca ese código en una página oficial de inicio de sesión de Microsoft.
La víctima completa el proceso de autenticación de forma normal, incluso utilizando autenticación multifactor (MFA). Sin embargo, al hacerlo, está autorizando sin saberlo una aplicación controlada por los atacantes. Los ciberdelincuentes no obtienen directamente la contraseña: reciben un token de autorización después de que la propia víctima aprueba la solicitud. Ese token les permite acceder a correos electrónicos, archivos almacenados en OneDrive o conversaciones de Microsoft Teams. Lo más insidioso es que parte del proceso ocurre dentro de una página oficial de Microsoft, lo que hace que el engaño sea extremadamente difícil de detectar. Verificar que el dominio sea legítimo ya no es suficiente.
Este tipo de ataque representa un desafío directo para las estrategias de seguridad corporativas. La autenticación multifactor, considerada durante años como una barrera sólida, puede ser eludida si el empleado autoriza una solicitud maliciosa. La confianza en los procesos de autenticación legítimos se convierte en el eslabón débil.
Invitaciones falsas a entrevistas de Google: el engaño que usa plataformas legítimas
Los investigadores de Kaspersky también detectaron una campaña de invitaciones falsas a entrevistas laborales que se hacían pasar por comunicaciones del equipo de reclutamiento de Google. Los mensajes aseguraban que el perfil profesional del destinatario había llamado la atención de la compañía y lo invitaban a programar una primera conversación a través de un enlace. Para hacer más creíble el engaño, los atacantes dieron un paso adicional: los correos fueron distribuidos mediante Google AppSheet, una plataforma legítima propiedad de Google, y provenían de una dirección auténtica del servicio.
El uso de una herramienta legítima para distribuir contenido fraudulento es una tendencia creciente. Los ciberdelincuentes abusan de la confianza que generan las plataformas conocidas para reducir las sospechas de los destinatarios. En este caso, el enlace incluido en la supuesta invitación conducía a un sitio de phishing diseñado para recopilar información personal y credenciales de acceso. El engaño resulta especialmente efectivo en momentos de mayor movimiento laboral y de contratación, cuando los profesionales están más receptivos a oportunidades aparentemente personalizadas.
Este tipo de ataque no solo compromete la información del individuo, sino que puede servir como puerta de entrada a la red corporativa. Una vez que el atacante obtiene las credenciales de un empleado, puede moverse lateralmente dentro de la organización, buscar datos sensibles o desplegar ransomware.
El factor humano en la era de los ataques automatizados
Lisandro Ubiedo, Investigador de Seguridad Senior en el Equipo Global de Investigación y Análisis (GReAT) de Kaspersky, explica la dinámica detrás de estos ataques: “Una de las principales ventajas que tienen hoy los ciberdelincuentes es que ya no necesitan crear mensajes que parezcan extraordinarios para llamar la atención. Les basta con imitar acciones habituales del entorno laboral, como abrir una invitación, consultar un archivo compartido o validar un acceso. Cuando estas interacciones se vuelven automáticas, disminuye la atención con la que las personas revisan cada solicitud y aumenta la posibilidad de autorizar accesos, descargar archivos o entregar información sin identificar el engaño. Para las organizaciones, una acción aparentemente rutinaria de un solo empleado puede convertirse en el punto de entrada para comprometer cuentas corporativas, acceder a información sensible o extender el ataque a otros sistemas”.
Esta declaración resume el núcleo del problema. Los empleados no son necesariamente negligentes; son humanos. La repetición de tareas genera automatismo, y el automatismo reduce el umbral de sospecha. Los atacantes lo saben y diseñan sus campañas para explotar esa fatiga cognitiva.
¿Qué pueden hacer las organizaciones frente a esta amenaza creciente?
Kaspersky recomienda un conjunto de medidas prácticas que las empresas pueden implementar para reducir los riesgos asociados con ataques que se hacen pasar por herramientas de trabajo:
- No confiar en un mensaje solo porque parece venir de una plataforma conocida. Antes de abrir una invitación a una reunión, un documento compartido o una notificación de cuenta, es crucial revisar quién lo envía y a dónde dirige el enlace. Pequeños cambios en las direcciones de correo o en los dominios pueden delatar un intento de phishing. Si se recibe una solicitud inesperada, lo mejor es confirmar con la persona o empresa por otro canal antes de actuar.
- Pensar antes de autorizar un acceso. Que una página sea legítima no significa que la solicitud también lo sea. Si se recibe un código de inicio de sesión que no se solicitó o una aplicación pide permisos inesperados para acceder al correo, archivos o cuenta corporativa, no se debe continuar el proceso. Es fundamental leer con atención qué se está autorizando, incluso cuando se utiliza autenticación multifactor.
- Mantener las cuentas y dispositivos protegidos. Utilizar contraseñas diferentes y difíciles de adivinar para cada servicio, activar la autenticación multifactor y mantener actualizados el sistema operativo, navegador y aplicaciones de trabajo. Las actualizaciones corrigen vulnerabilidades que los ciberdelincuentes pueden aprovechar para comprometer los equipos.
- Utilizar una solución de seguridad confiable. Kaspersky Premium, por ejemplo, ayuda a identificar páginas de phishing, archivos maliciosos y otras actividades sospechosas. La solución incorpora tecnologías de protección contra estafas impulsadas por Inteligencia Artificial, que combinan algoritmos antiphishing basados en aprendizaje automático, monitoreo del comportamiento en tiempo real y herramientas para comprobar filtraciones de datos y posibles casos de robo de identidad.
Estas recomendaciones no son exhaustivas, pero abordan los vectores de ataque más comunes identificados en el análisis. La formación continua de los empleados sigue siendo la primera línea de defensa. Las empresas deben invertir en programas de concienciación que enseñen a reconocer los signos de un ataque de phishing, incluso cuando el mensaje parezca provenir de una fuente legítima.
El informe de Kaspersky también subraya la importancia de monitorizar el uso de plataformas legítimas por parte de atacantes. Servicios como Google AppSheet, que están diseñados para facilitar la creación de aplicaciones sin código, pueden ser utilizados para distribuir correos fraudulentos. Las organizaciones deben implementar políticas de seguridad que revisen el uso de herramientas externas y establezcan controles para evitar que sean explotadas.
El panorama futuro: ataques más personalizados y difíciles de detectar
Los 4,7 millones de intentos detectados representan solo la punta del iceberg. Muchos ataques exitosos nunca son reportados, y otros tantos pasan desapercibidos para las soluciones de seguridad. La tendencia apunta a una mayor sofisticación: los ciberdelincuentes están utilizando inteligencia artificial para generar mensajes más convincentes, personalizados y contextualmente relevantes. Un correo que mencione el nombre del destinatario, su cargo y un proyecto en curso tiene muchas más probabilidades de ser abierto que un mensaje genérico.
Además, el uso de señuelos basados en herramientas de trabajo no se limita a las cinco plataformas mencionadas. El análisis de Kaspersky incluyó palabras clave como Gmail, Dropbox, Figma, Google Drive, Basecamp y Slack, lo que sugiere que cualquier servicio utilizado en el entorno laboral puede ser falsificado. Los atacantes no tienen límites en su imaginación para explotar la confianza de los empleados.
Para las empresas en América Latina y España, el riesgo es particularmente alto. La digitalización acelerada de los procesos laborales, impulsada por la pandemia y el trabajo híbrido, ha ampliado la superficie de ataque. Muchas organizaciones aún no han implementado medidas de seguridad adecuadas para proteger a sus empleados remotos. La combinación de herramientas de colaboración, almacenamiento en la nube y correo electrónico crea un ecosistema vulnerable donde un solo clic puede desencadenar una crisis de seguridad.
El dato de 4,7 millones de intentos de ataque con señuelos laborales no es una estadística más. Es una advertencia clara de que el cibercrimen se ha adaptado al entorno laboral moderno. Las empresas que no tomen medidas proactivas para educar a sus empleados, actualizar sus sistemas y desplegar soluciones de seguridad avanzadas estarán expuestas a un riesgo creciente. La confianza es necesaria para que el trabajo fluya, pero debe ir acompañada de una dosis saludable de escepticismo y de procesos de verificación que protejan a la organización y a sus datos más sensibles.
