Check Point Research reveló recientemente una campaña de phishing que no necesitó ni un solo dominio falso, ni un remitente suplantado, ni una página de inicio de sesión clonada para funcionar. Los investigadores encontraron más de 3.200 copias del mismo mensaje: una oferta de trabajo de verano enviada desde una cuenta escolar legítima pero genuinamente comprometida, con un enlace a una página real de Google Forms alojada en la propia infraestructura de Google. Cada señal que revisa un servidor de correo dio limpia, porque nada de eso estaba falsificado. Eso es lo que hace que valga la pena estudiar esta campaña con detenimiento.
Una Oferta de Trabajo Sin Ningún Dominio Falso que Detectar
El correo invitaba a los estudiantes a postularse para un trabajo flexible de verano mediante un formulario de solicitud “seguro”. No había un dominio de envío extraño, ninguna marca clonada, ni ningún archivo adjunto con malware. El mensaje provenía de una cuenta escolar real que un equipo de seguridad tendría todos los motivos para confiar, porque la cuenta en sí no había sido suplantada. Había sido tomada. El atacante simplemente la usó para llegar a las listas de correo propias de los estudiantes de la escuela, y luego dejó que Google Forms hiciera el resto del trabajo de parecer legítimo.
Las Dos Preguntas que Delataron la Estafa
El formulario pedía lo básico que recolecta cualquier solicitud de empleo: nombre, datos de contacto, disponibilidad. Dos preguntas llamaron la atención de los investigadores. Una pedía la institución financiera del solicitante, algo que ningún empleador legítimo solicita antes de hacer una oferta formal. La otra pedía la dirección de correo escolar oficial del solicitante, un dato que no cumple ninguna función en una solicitud de empleo pero que resulta muy útil para el robo de credenciales, la toma de cuentas, o el lavado de transacciones fraudulentas a través de una identidad nueva. Juntas, esas dos preguntas apuntan al reclutamiento de mulas de dinero: usar a estudiantes como intermediarios involuntarios para mover fondos robados, disfrazado de un trabajo de verano pago.
Por Qué el DMARC Pasó en Todos los Casos
El DMARC verifica si el dominio remitente de un mensaje autorizó la infraestructura que lo envió. En esta campaña, la respuesta siempre fue sí, porque la cuenta que enviaba el correo era la propia de la escuela, enviando a través de la infraestructura autorizada de la propia escuela. El SPF pasó. El DKIM pasó. El DMARC pasó. Ninguno de esos protocolos fue diseñado para preguntar si la cuenta detrás de un dominio autorizado había sido tomada silenciosamente, si el contenido de un mensaje tenía sentido viniendo de esa cuenta, o si el formulario al que enlazaba estaba recolectando información que ningún proceso legítimo necesitaría. Esa brecha entre estar autenticado y ser confiable es exactamente donde vivió esta campaña, y por eso detectarla requirió analizar el comportamiento del remitente y la intención del mensaje, no solo los encabezados de autenticación.
Qué Deben Hacer los Equipos de Seguridad Ahora
Tratar el comportamiento inusual de una cuenta como una señal de compromiso, no solo como una señal de contenido. Una cuenta escolar, universitaria o empresarial que de repente envía correo masivo a una lista a la que nunca le había escrito es un indicador más fuerte de toma de cuenta que cualquier cosa en el cuerpo del mensaje.
Marcar las solicitudes y formularios que piden datos financieros antes de que exista una oferta. Ese único dato es una de las señales más confiables en el reclutamiento de mulas de dinero, y es fácil construir reglas de detección alrededor de él sin importar dónde esté alojado el formulario.
No tratar “alojado en una plataforma confiable” como sinónimo de seguro. Un enlace de Google Forms, de Microsoft Forms, o de cualquier otra herramienta construida sobre infraestructura legítima no hereda nada de la reputación de esa plataforma para el contenido que recolecta.
Mantener el DMARC en aplicación con p=reject en todos los dominios que posee, sin importar la mecánica de esta campaña en particular. No detendrá a un atacante que compromete una cuenta en la que usted ya confía, pero cierra el camino mucho más común de atacantes que registran dominios similares para suplantarlo directamente, que sigue siendo de donde proviene la mayor parte del volumen.
La Conclusión
Esta campaña funcionó precisamente porque nada en ella parecía técnicamente incorrecto. El dominio era real, la cuenta era real, la autenticación pasó, y el formulario vivía en una infraestructura que los estudiantes usan todos los días. El DMARC hizo exactamente lo que está diseñado para hacer aquí, y aun así no fue suficiente, porque la pregunta que respondió esta campaña nunca fue de quién era el dominio que envió el correo. Era si se podía seguir confiando en la cuenta detrás de ese dominio, una pregunta que el DMARC nunca fue diseñado para hacer.
Excello Mail mantiene completamente autenticados y aplicados los dominios que usted posee, cerrando las rutas de suplantación más baratas para que la atención de su equipo se dirija a donde realmente se necesita, hacia amenazas de compromiso de cuenta como esta que ningún registro de autenticación por sí solo puede detectar. Regístrese gratis en Excello Mail para ver hoy mismo la postura real de autenticación de su dominio.