Gen Digital, la empresa detrás de Norton y Avast, publicó este mes su Informe de Amenazas H1 2026, y dentro de él hay una cadena de ataque que merece más atención de la que suele recibir. Los investigadores documentaron una campaña de malware bancario que opera en Chequia, Eslovaquia y Polonia y que entrega su carga inicial mediante correos disfrazados de avisos de envío, alertas de documentos escaneados y facturas. En algunos casos, esos correos provenían de buzones que no estaban suplantados en absoluto. Eran cuentas corporativas reales, ya comprometidas, enviando correo real a través de infraestructura que siempre estuvo autorizada para enviarlo. Cada verificación de autenticación que un servidor receptor puede ejecutar sale limpia, porque nada respecto al remitente fue jamás falsificado.
Cómo funciona realmente la cadena
El ataque comienza con lo que parece correspondencia comercial ordinaria: un adjunto de factura, una confirmación de envío, una notificación de documento escaneado. Abrir el adjunto activa un dropper en JavaScript, que descarga una serie de etapas en PowerShell, que a su vez cargan shellcode en la máquina. La carga final no intenta robar una contraseña directamente. Modifica la configuración de proxy de la víctima e instala complementos de navegador maliciosos, posicionándose para interceptar la propia sesión de banca en línea de la víctima la próxima vez que inicie sesión. La víctima se autentica con normalidad, y el malware observa, o redirige, desde dentro del navegador.
Buzón comprometido, dropper en JavaScript, etapas de PowerShell, cargador de shellcode, manipulación de proxy y navegador. Cinco eslabones, y el primero es la única parte de la cadena que las herramientas de seguridad de correo llegan realmente a examinar.
Por qué el buzón comprometido es el punto central
Los señuelos de correspondencia comercial funcionan porque explotan una relación de confianza existente, y esa confianza es más fuerte cuando el correo realmente proviene de donde dice provenir. Los investigadores de Gen lo señalaron directamente: los mensajes enviados desde buzones corporativos comprometidos parecían legítimos no solo para los humanos que los leían, sino también para los sistemas de seguridad de correo que los inspeccionaban. Una puerta de enlace que verifica la alineación de SPF, DKIM y DMARC en uno de estos mensajes encuentra exactamente lo que espera encontrar, porque el dominio realmente lo envió. No hay dominio parecido, ni truco de nombre visible, ni homógrafo. La cuenta en sí es la vulnerabilidad, y una vez comprometida, el atacante hereda toda la confianza de autenticación que esa cuenta tuvo alguna vez.
Este es un modo de fallo distinto del fraude de facturas de proveedor que ha dominado los titulares de BEC este año. Allí, la recompensa es una transferencia bancaria redirigida. Aquí, la recompensa es la instalación de malware, usando el mismo acceso, el mismo canal autenticado y el mismo punto ciego.
Una segunda cadena, el mismo tema de fondo
El otro hallazgo destacado del informe es un secuestrador de portapapeles compilado en Rust que monitorea el texto copiado en busca de direcciones de billeteras de criptomonedas en 21 tipos de blockchain, incluidos BTC, ETH y LTC, y sustituye silenciosamente una dirección controlada por el atacante en cuanto detecta una. La víctima copia una dirección, la pega, y aprueba lo que parece una transacción completamente normal. Es una vía de entrega distinta a la de la cadena de malware bancario, pero comparte la tesis más amplia del informe: los atacantes están construyendo cada vez más ataques alrededor de las partes de un flujo de trabajo en las que la gente confía automáticamente, ya sea el buzón de un remitente conocido o su propio portapapeles.
La escala detrás de ambos hallazgos no es pequeña. Las estafas representaron casi el 46% de todas las detecciones de amenazas de Gen en el primer semestre de 2026, con la publicidad maliciosa responsable de cerca de otro 30%. La empresa bloqueó 114,2 millones de intentos de estafa de tiendas en línea y 20,3 millones de intentos de estafa de soporte técnico en el mismo período. Por separado, Gen identificó más de 15,7 millones de registros filtrados que contenían direcciones de correo electrónico, y registró 18.618 eventos de filtración que afectaron a sus clientes, un aumento del 94,5% respecto al segundo semestre de 2025. Las alertas de notificación de filtración de Norton y LifeLock con una fuente de filtración atribuida aumentaron un 628,1%, alcanzando 3,3 millones, de un total de más de 10 millones de notificaciones de filtración enviadas. Cada una de esas credenciales y buzones filtrados es un posible punto de entrada exactamente para el tipo de campaña descrita arriba.
Por qué DMARC no tiene nada que decir sobre esto
DMARC existe para responder una pregunta: si el dominio en el encabezado From estaba autorizado a enviar este mensaje. Cuando la respuesta es genuinamente sí, porque el buzón remitente pertenece a ese dominio y simplemente fue tomado por un atacante, a DMARC no le queda nada que señalar. SPF pasa porque el correo realmente se originó en la infraestructura autorizada del dominio. DKIM pasa porque fue firmado con la clave privada real del dominio, dentro de su sistema de correo real. La alineación pasa porque nunca hubo ninguna discordancia que detectar. Esto no es una brecha en cómo está configurado DMARC. Es el límite de lo que el protocolo fue diseñado para verificar desde un principio: la autorización de la infraestructura de envío, no la integridad de la persona o cuenta que la utiliza.
Qué significa esto para tu programa
Trata la toma de cuentas, no solo la suplantación de dominio, como un riesgo relacionado con DMARC. Un dominio en p=reject impide que personas externas falsifiquen tu correo. No hace nada si el buzón de un empleado interno se compromete y se usa para enviar correo real desde una cuenta real. La higiene de credenciales y la detección de anomalías a nivel de buzón quedan fuera de DMARC, pero pertenecen a la misma conversación.
Vigila las anomalías de comportamiento de envío dentro del correo autenticado, no solo los fallos. Un buzón que de repente empieza a enviar adjuntos con temática de facturas a contactos a los que nunca les había escrito es una señal, aunque cada verificación de autenticación que activa salga en verde. El monitoreo de comportamiento sobre tu propio flujo de correo detecta lo que las verificaciones a nivel de protocolo estructuralmente no pueden.
Aísla en sandbox los adjuntos con señuelos de factura, envío y documento escaneado específicamente. Estos tres pretextos sostuvieron toda esta campaña porque son lo bastante comunes como para bajar la guardia del lector. El análisis estático o dinámico de adjuntos de estas categorías, sin importar la reputación del remitente, añade una capa que la autenticación no puede ofrecer.
Asume que cualquier credencial expuesta en una filtración podría convertirse en un compromiso de buzón. Con Gen registrando decenas de miles de eventos de filtración y millones de registros recién expuestos solo en el primer semestre de 2026, la materia prima para este tipo de campaña sigue creciendo. Aplica la rotación de credenciales y la autenticación multifactor en el acceso a los buzones como línea base, no como una idea tardía.
Mantén DMARC aplicado en reject de todos modos. Sigue siendo la defensa correcta y necesaria contra la suplantación de dominio, y esta campaña no cambia eso. Simplemente opera una capa por debajo de donde mira DMARC, que es exactamente por qué necesita un conjunto distinto de controles junto a la autenticación, no en lugar de ella.
La conclusión
Los atacantes detrás de esta campaña no necesitaron vencer a DMARC. Lo rodearon, tomando el control de una cuenta en la que DMARC ya confiaba correctamente. A medida que el compromiso de buzones se convierte en un mecanismo de entrega de malware, y no solo en un vehículo para fraudes de transferencia puntuales, la brecha entre “este correo está autenticado” y “este correo es seguro” sigue ampliándose. La autenticación te dice que el dominio es real. Nunca iba a decirte si la cuenta detrás de él sigue en manos de quien la posee.
Excello Mail te da visibilidad continua sobre el cumplimiento de tu DMARC y sobre cada fuente autorizada a enviar bajo tu dominio, para que tu postura de autenticación se mantenga sólida mientras tu equipo construye las defensas a nivel de cuenta que capturan lo que DMARC estructuralmente no puede. Regístrate gratis en Excello Mail y descubre exactamente quién está enviando correos en tu nombre, todo el tiempo.