El equipo de investigación de amenazas SpiderLabs de LevelBlue, el grupo que antes formaba parte de AT&T Cybersecurity, cerró su revisión de la actividad de compromiso de correo empresarial (BEC) de 2025 con una cifra que debería replantear cómo la mayoría de los equipos de seguridad piensan sobre la defensa contra BEC. El volumen de ataques aumentó un 15% interanual. Pero el hallazgo más importante estaba dentro de los propios datos de los señuelos. Entre los miles de casos de BEC que SpiderLabs analizó, “Solicitud de Contacto” fue la táctica de apertura más común, apareciendo en el 43% de los casos, y las tácticas de callback phishing más que duplicaron su popularidad a lo largo del año. Ninguna de esas dos cifras describe un ataque de correo tal como la mayoría de las defensas están construidas para pensarlo. Describen un correo que existe únicamente para lograr que la víctima deje de usar el correo.
El Único Trabajo del Correo Es Sacarte del Correo
Un ataque de BEC de doble canal empieza igual que la mayoría de los intentos de suplantación, con un mensaje breve que parece venir de un ejecutivo, un proveedor o un colega. Lo que no hace es pedir dinero, una contraseña o un clic. Pide un número de teléfono, un contacto de WhatsApp, o invita al destinatario a devolver una llamada. “¿Estás en tu escritorio? Necesito confirmar algo contigo, ¿cuál es el mejor número para contactarte?” es una frase plausible y sin nada llamativo, y ese es precisamente el diseño. No hay ningún enlace malicioso que una puerta de enlace de correo segura pueda analizar en sandbox, ningún adjunto que un antivirus pueda escanear, ninguna solicitud financiera que un modelo de detección de BEC entrenado en lenguaje de transferencias bancarias pueda marcar. El mensaje está, por construcción, vacío de todo lo que las defensas automatizadas están diseñadas para detectar.
En cuanto el destinatario responde con un número de teléfono, el atacante ya ganó la única batalla que importaba dentro del canal de correo. Todo lo que sigue, la historia urgente, el cambio bancario fabricado, la presión para actuar antes de una fecha límite, ocurre por llamada de voz, por hilo de mensajes de texto o por una conversación de WhatsApp que ningún filtro de correo corporativo verá jamás.
El Callback Phishing se Duplicó, y Viene con un Operador en Vivo
SpiderLabs también registró un fuerte aumento del callback phishing, a veces llamado entrega de ataque orientada por teléfono, donde el correo señuelo indica al destinatario que llame a un número en lugar de pedir uno. Cuando la víctima marca, responde un operador en vivo, a menudo trabajando con un guion vinculado a la marca o el ejecutivo suplantado, y la guía a través de las acciones que importan: aprobar un pago, instalar una herramienta de acceso remoto o leer en voz alta un código de un solo uso. La investigación también señaló la suplantación multi-persona como un patrón en crecimiento, donde la identidad al otro lado de la conversación cambia a mitad del ataque, un “asistente ejecutivo” pasando la llamada a un “director financiero”, y cada cambio añade una capa de legitimidad fabricada que un solo nombre de remitente falsificado nunca podría aportar por sí solo.
Por Qué Nada de Esto Toca lo Que DMARC Verifica
Toda la propuesta de valor de DMARC descansa sobre una suposición: que la instrucción fraudulenta en sí misma, la factura falsa, los datos bancarios alterados, la solicitud urgente de transferencia, llega dentro de un mensaje cuyo encabezado From miente sobre su origen. Esa suposición se cumple para una enorme parte del volumen de BEC, que es exactamente por qué la aplicación de DMARC importa. Aquí no se cumple. Un correo de “Solicitud de Contacto” no lleva ninguna instrucción fraudulenta en absoluto. Con frecuencia se envía desde un dominio que se autentica sin problemas, ya sea porque el atacante registró su propio dominio y configuró SPF, DKIM y DMARC correctamente para él, tal como lo haría cualquier remitente legítimo, o porque el mensaje vino de un buzón genuinamente comprometido que nunca fue suplantado en primer lugar. DMARC verifica si un dominio está autorizado para enviar un mensaje. No tiene opinión sobre lo que dice el mensaje, y no tiene absolutamente ninguna visibilidad sobre una llamada telefónica, un hilo de SMS o una conversación de WhatsApp que ocurre después de que el correo ya hizo su trabajo y quedó en silencio.
Esto no es una falla en la implementación de DMARC. Es el límite de lo que un protocolo de autenticación de correo fue diseñado para evaluar, y el BEC de doble canal es una táctica diseñada específicamente para entregar el fraude a un canal que está más allá de ese límite.
Lo Que Esto Significa para tu Programa
Entrena al personal para tratar “movamos esto fuera del correo” como la alerta, no el clic. Un mensaje breve, sin contenido, que empuja hacia un número de teléfono o una app de mensajería debería generar más sospecha que un mensaje con un enlace malicioso evidente, precisamente porque está diseñado para levantar menos sospecha.
Nunca devuelvas una llamada a un número proporcionado dentro del correo que la solicitó. Verifica la solicitud a través de un número de teléfono o un método de contacto que tu organización ya tenía registrado antes de que llegara el mensaje, no uno introducido en la misma conversación que está pidiendo algo.
Enruta los cambios financieros y de datos bancarios a través de un canal establecido antes de la solicitud, con un segundo aprobador que no haya participado en la conversación original. Un ataque de doble canal está construido para aislar a un solo empleado a través de dos canales que controla. Un paso de verificación que llega fuera de ambos canales rompe ese aislamiento.
Marca los mensajes de primer contacto y bajo contenido que solicitan un número de teléfono o un contacto de mensajería de remitentes externos que dicen ser ejecutivos o proveedores. Estos mensajes son suficientemente inusuales como categoría, poca información, alta urgencia por contactar a una persona, como para merecer una regla de filtrado permanente aunque ninguna instancia individual parezca obviamente maliciosa.
Mantén DMARC aplicado en modo reject de todos modos. Sigue cerrando la puerta a cualquiera que intente suplantar tu dominio directamente para abrir una de estas conversaciones, y una parte considerable del BEC todavía empieza exactamente así.
La Conclusión
La defensa contra BEC ha pasado años convergiendo hacia la autenticación de correo y la inspección de contenido, y ambas siguen siendo necesarias. Pero un señuelo que pide un número de teléfono en lugar de una contraseña no necesita vencer a ninguna de las dos, porque nunca las activa. Los datos de LevelBlue muestran que casi la mitad de la actividad de BEC que rastrearon ahora está construida exactamente alrededor de ese traspaso, fuera de la bandeja de entrada y hacia un canal que ningún control de correo estuvo nunca posicionado para vigilar. Cerrar esa brecha requiere hábitos de verificación y confirmación fuera de banda junto a DMARC, no una versión más fuerte del propio DMARC.
Excello Mail te da visibilidad continua sobre la aplicación de tu DMARC y sobre cada fuente autorizada para enviar correo bajo tu dominio, para que el canal de correo se mantenga bien cerrado mientras tu equipo se ocupa del problema más difícil de qué pasa después de que alguien responde. Regístrate gratis en Excello Mail y mira exactamente quién envía correo como tú, en todo momento.