Una campaña de phishing a gran escala ha logrado engañar a miles de empleados y sortear los filtros de seguridad tradicionales al suplantar un elemento cotidiano en el entorno laboral: las notificaciones automáticas del buzón de voz. Investigadores de Check Point Software Technologies detectaron que, entre el 17 y el 31 de agosto, más de 58.000 correos electrónicos maliciosos fueron enviados como parte de esta operación, impactando a más de 7.800 organizaciones a nivel global. La sofisticación del ataque radica no solo en el engaño al usuario humano, sino en su capacidad para explotar la confianza depositada en los flujos de trabajo automatizados y en la propia infraestructura de correo corporativo.
El volumen de la amenaza: 58.000 correos y 9.300 dominios suplantados
La magnitud de la campaña, bautizada por los investigadores como una operación de alta escala, se refleja en las cifras que han logrado reconstruir. Para evadir los sistemas de reputación y las listas negras, los atacantes desplegaron una infraestructura masiva y distribuida. Según el análisis de Check Point Software, se utilizaron más de 38.400 direcciones de remitente falsificadas y se suplantaron hasta 9.300 dominios diferentes. Esta estrategia de rotación constante de identidades dificulta que los filtros de correo no deseados tradicionales, que bloquean en función de direcciones IP o dominios previamente identificados como maliciosos, puedan detener la marea de mensajes entrantes. Las organizaciones afectadas no se concentran en una región o sector específico, lo que sugiere que el ataque fue indiscriminado y de amplio espectro, buscando maximizar el número de potenciales víctimas dentro de la base de datos corporativa global.
¿Cómo funciona el ataque que suplanta las notificaciones del buzón de voz?
El mecanismo de engaño combina la ingeniería social clásica con técnicas técnicas avanzadas de evasión. El correo electrónico llega a la bandeja de entrada del empleado con un asunto simple pero efectivo, como “Automated transcript” (transcripción automatizada), seguido de un número de teléfono parcialmente oculto y una cadena de caracteres aleatoria. Para que el mensaje parezca aún más legítimo, los ciberdelincuentes recurren a la suplantación de identidad del remitente, o spoofing, haciendo que el correo parezca provenir del propio dominio de la empresa víctima. De esta forma, un empleado de una compañía cuyo dominio es “ejemplo.com” recibe un mensaje que, aparentemente, fue enviado desde “[email protected]”, lo que genera una falsa sensación de seguridad y procedencia interna.
Los archivos SVG: el caballo de Troya visual
El elemento clave del ataque es el archivo adjunto. Los atacantes utilizan archivos en formato SVG (Scalable Vector Graphics), un estándar web para imágenes vectoriales que, sin embargo, puede contener código ejecutable, como JavaScript. Los archivos llevan nombres diseñados para engañar al receptor, como “▷ ——— 001min 09sec_….svg”, simulando ser una grabación de audio o su transcripción. Al hacer clic para abrir el archivo, el código malicioso incrustado en el SVG se ejecuta de forma automática en el navegador del usuario. Este código no despliega una imagen, sino que redirige instantáneamente a la víctima a una página web fraudulenta. Esta técnica de redirección del lado del cliente es particularmente peligrosa porque no deja enlaces visibles en el cuerpo del correo electrónico que puedan ser inspeccionados previamente por un usuario o por un sistema de seguridad que analice el texto del mensaje.
Formularios de inicio de sesión personalizados: el robo de credenciales
Una vez que la víctima es redirigida, se encuentra con una página de inicio de sesión falsa, diseñada para imitar a la perfección la plataforma de acceso corporativo o un servicio en la nube como Microsoft 365 o Google Workspace. La sofisticación alcanza un nivel superior cuando la URL de destino incluye la dirección de correo electrónico del destinatario encriptada. Esto permite que la página de phishing autorrellene automáticamente el campo del nombre de usuario. Para la víctima, ver su propia dirección de correo ya escrita en el formulario es una señal que aumenta drásticamente la percepción de autenticidad. Convencido de que se trata de un portal legítimo, el usuario introduce su contraseña, que es inmediatamente capturada por los atacantes. Con estas credenciales, los ciberdelincuentes pueden acceder a la cuenta de correo real del empleado, a documentos internos, a aplicaciones empresariales y, a partir de ahí, pivotar hacia un ataque de mayor envergadura, como el ransomware o el robo de datos sensibles.
El riesgo oculto: cómo la campaña engaña a los agentes de IA empresariales
Más allá del engaño directo a los empleados, esta campaña expone una vulnerabilidad crítica en la transformación digital de las empresas. Cada vez más organizaciones integran agentes de inteligencia artificial (IA) y bots en sus flujos de trabajo de correo electrónico. Estos sistemas automatizados se encargan de tareas como clasificar correos entrantes, resumir el contenido de los mensajes, extraer archivos adjuntos para su procesamiento o incluso responder consultas rutinarias. La naturaleza de esta campaña de phishing está diseñada para explotar estas nuevas líneas de defensa automatizadas. Los archivos SVG maliciosos, al ser procesados por un script de IA que intenta leer su contenido o clasificarlos, pueden desencadenar la ejecución del código dañino. Un agente de IA sin los permisos y supervisión adecuados podría abrir el enlace, visitar la página de phishing y, potencialmente, exponer las credenciales de un sistema o cuenta de servicio, o bien propagar el enlace malicioso a otros sistemas internos. La confianza ciega en la automatización se convierte, por tanto, en un vector de ataque que debe ser gestionado con tanto rigor como la supervisión de un usuario humano.
¿Qué es el ThreatCloud AI y cómo puede bloquear esta amenaza?
Ante la ineficacia de las soluciones tradicionales basadas en firmas de archivos o reputación de enlaces, la industria de la ciberseguridad ha desarrollado enfoques más avanzados. Check Point Software, como proveedor de seguridad, recomienda el uso de tecnologías como ThreatCloud AI y sus más de 60 motores de inteligencia artificial integrados en su solución Check Point Email Security. La pregunta que surge es ¿cómo funciona exactamente esta tecnología para detener un ataque como el de la suplantación de buzón de voz? La respuesta radica en un análisis multidimensional del comportamiento. En lugar de limitarse a preguntar “¿es este enlace malicioso?” o “¿está este archivo en una lista negra?”, estos sistemas analizan el contexto completo de la comunicación. Evalúan señales como el comportamiento del remitente (si es un dominio nuevo, si ha habido cambios repentinos en los patrones de envío), las propiedades técnicas del archivo adjunto (estructura SVG, presencia de scripts ofuscados), el contenido semántico del mensaje y las anomalías en la cadena de entrega. Si el sistema detecta que el remitente está suplantando un dominio legítimo mediante técnicas de spoofing o que el archivo SVG contiene código de redirección, puede bloquear la entrega del correo en la puerta de enlace o neutralizar la amenaza mediante la detonación del archivo en un entorno aislado (sandbox) antes de que llegue al buzón del usuario. La inteligencia artificial permite identificar patrones de ataque y no solo firmas de malware conocidas, lo que otorga una capacidad de defensa frente a campañas de día cero como esta.
Cinco medidas prácticas para blindar la organización frente al phishing con archivos SVG
La detección de esta campaña masiva no debe generar solo alarma, sino también acción. Los equipos de seguridad y los administradores de TI pueden implementar una serie de controles prácticos para mitigar el riesgo. Estas recomendaciones no son teóricas, sino que responden directamente a las tácticas observadas en la campaña que afectó a las 7.800 empresas.
Verificar las notificaciones automáticas con escepticismo profesional
La primera línea de defensa es cultural. Cualquier notificación automática, especialmente aquellas que afirman ser una transcripción de buzón de voz o una alerta del sistema, debe ser tratada con cautela. La suplantación del dominio del remitente (spoofing) es la técnica central de este engaño. Las empresas deben establecer una política clara: cualquier mensaje con un archivo adjunto inesperado o que solicite una acción urgente (como “inicie sesión para escuchar el mensaje”) debe ser verificado a través de un canal alternativo, como una llamada telefónica o un mensaje en una plataforma de chat interna. La regla de oro es desconfiar de la bandeja de entrada incluso cuando el remitente parezca ser el propio departamento de TI.
Restringir y tratar los archivos SVG como contenido activo
Desde el punto de vista técnico, los archivos SVG no son simples imágenes. Son documentos que pueden contener scripts y código ejecutable. Las organizaciones deben tratar los archivos SVG con el mismo nivel de seguridad que los archivos ejecutables (.exe, .scr) o los documentos con macros habilitadas. Una medida efectiva es configurar la pasarela de correo para bloquear o poner en cuarentena cualquier archivo SVG que llegue por correo electrónico, a menos que provenga de una fuente verificada y sea esperado. Para los departamentos de diseño o desarrollo que necesiten intercambiar este formato, se puede establecer un proceso alternativo seguro, como el uso de un repositorio de archivos interno o la conversión previa a un formato de imagen estándar como PNG.
Definir permisos estrictos para los agentes de IA y automatización
Los agentes de IA que procesan el correo no deberían tener permisos ilimitados. Es fundamental establecer reglas claras sobre qué tipo de archivos y dominios pueden abrir o procesar de forma autónoma. Un bot de resumen de correo, por ejemplo, no debería tener la capacidad de ejecutar código JavaScript ni de seguir enlaces externos. La supervisión humana debe ser un requisito para cualquier acción que implique la ejecución de código o la apertura de un sitio web desconocido. Las políticas de seguridad para la automatización deben ser tan detalladas como las que se aplican a los usuarios humanos, si no más, para evitar que se conviertan en un nuevo punto de entrada para los atacantes.
Monitorizar la actividad automatizada como si fueran cuentas con privilegios
Así como se auditan las acciones de los administradores de sistemas o de las cuentas de servicio, las acciones realizadas por las herramientas de automatización de correo deben ser registradas y supervisadas. Cualquier intento de acceso a un enlace externo, descarga de un archivo adjunto o modificación de reglas de correo por parte de un agente de IA debe disparar una alerta. La monitorización de estos comportamientos anómalos puede ser la primera señal de que un agente automatizado ha sido comprometido o de que un ataque de phishing está utilizando la infraestructura de IA para propagarse.
Fomentar una cultura de reporte inmediato de sospechas
Finalmente, el factor humano sigue siendo indispensable. Las empresas deben crear un entorno en el que los empleados se sientan seguros y motivados para reportar cualquier correo sospechoso, sin temor a represalias o a ser considerados “poco expertos”. Un reporte temprano de un único empleado puede permitir al equipo de seguridad identificar la infraestructura maliciosa (el dominio, la IP del servidor de phishing) y bloquearla antes de que otros cien colegas caigan en la trampa. La velocidad de reacción del equipo de seguridad es directamente proporcional a la velocidad de la comunicación del empleado.
Implicaciones estratégicas: el fin de la seguridad basada solo en reputación
Esta campaña marca un punto de inflexión en el panorama de amenazas. Demuestra de forma concluyente que las soluciones de seguridad que dependen únicamente de la reputación de enlaces, las listas negras de IPs o las firmas de archivos estáticos son insuficientes contra el phishing moderno. Los atacantes han demostrado una capacidad de adaptación asombrosa: rotan direcciones, suplantan dominios y utilizan formatos de archivo que, aunque no son nuevos, han sido infrautilizados por los atacantes y, por tanto, infraprotegidos por las defensas. La lección para los directores de tecnología y seguridad es clara: es necesario migrar hacia arquitecturas de seguridad que integren inteligencia artificial y análisis de comportamiento en tiempo real. La inversión en estas tecnologías no es un lujo, sino una necesidad para mantener el ritmo de una industria criminal que, como muestran los 58.000 correos enviados en apenas dos semanas, opera con una eficiencia industrial y una perseverancia incesante. El correo electrónico, el alma de la comunicación corporativa, ha dejado de ser un canal de confianza para convertirse en un campo de batalla donde cada notificación automática puede ser una trampa.
