El equipo Red Team de Barracuda publicó una investigación el 4 de agosto de 2026, antes de Black Hat USA 2026, que debería cambiar la forma en que los equipos de seguridad piensan sobre los asistentes de IA integrados hoy en cada buzón corporativo. Su prueba de concepto controlada partió de una única cuenta de Microsoft 365 ya comprometida, el tipo de punto de apoyo que los atacantes consiguen todos los días mediante el robo ordinario de credenciales. Lo que vino después no requirió malware, un segundo correo de phishing ni ningún exploit en absoluto. Requirió dar instrucciones a la licencia de Microsoft Copilot de esa misma cuenta. En cuestión de minutos, los investigadores habían suplantado al CEO de la empresa y redirigido una transferencia bancaria real por valor de $247.500.
Nada en este ataque toca el trabajo de DMARC. El buzón era real. El dominio era real. Cada mensaje que Copilot redactó y envió salió de una infraestructura que ya había superado SPF, DKIM y DMARC mucho antes de que el propietario humano perdiera el control de la cuenta.
El asistente de IA como un infiltrado instantáneo
Los investigadores de Barracuda describieron una escalada en tres pasos. Primero, el atacante le pidió a Copilot que creara una regla de bandeja de entrada que moviera cualquier mensaje con “sign-in” en el asunto directamente a Elementos eliminados, una sola instrucción que silenció las alertas de recuperación de cuenta que de otro modo habrían advertido al propietario real. Segundo, el atacante le pidió a Copilot que analizara el buzón, el calendario y el historial de mensajes para entender la estructura organizativa: quién aprobaba los pagos, quién reportaba a quién, qué hilos hablaban de presupuestos y facturas. Tercero, el atacante le pidió a Copilot que redactara una respuesta a un hilo real de aprobación del presupuesto del tercer trimestre, escrita con el tono habitual del empleado comprometido, con un enlace presentado como confirmación de factura. La víctima al otro lado estaba tratando con un colega en quien ya confiaba, en una conversación que ya estaba en curso, redactada exactamente como ese colega solía escribir. La transferencia bancaria se completó.
Lo que antes le habría tomado a un atacante horas de reconocimiento manual y de imitación cuidadosa, leyendo meses de correo, aprendiendo el estilo de un objetivo, mapeando el organigrama a mano, le tomó a Copilot minutos, porque exactamente eso es lo que un asistente de IA está diseñado para hacer bien.
Por qué la autenticación nunca formó parte de la ecuación
DMARC existe para responder una sola pregunta: si el dominio que aparece en el encabezado From autorizó la infraestructura que envió el mensaje. En el escenario de Barracuda, esa pregunta tiene una respuesta fácil, correcta y completamente inútil. Sí. El dominio autorizó la infraestructura, porque la infraestructura era el propio servicio Exchange Online de Microsoft enviando en nombre de una cuenta que genuinamente pertenecía a ese dominio. No había ningún dominio parecido, ningún relé externo, ningún encabezado suplantado que ninguna capa de autenticación pudiera detectar. Es el mismo modo de fallo del “buzón genuinamente comprometido” que ha aparecido repetidamente este año, pero con un nuevo acelerante: el propio asistente de IA del buzón haciendo la selección de objetivos y la redacción por el atacante, a una velocidad que ningún operador humano de red team podría igualar.
No es un fallo de Copilot. Es una función usada exactamente como fue diseñada.
Barracuda fue cuidadoso al señalar que nada en esta cadena explotó una vulnerabilidad de Copilot. La creación de reglas de bandeja de entrada, la búsqueda de conversaciones y la redacción con estilo imitado son funciones ordinarias, presentes porque hacen que los empleados legítimos sean más rápidos en su trabajo. El problema es que esas mismas funciones heredan todo el nivel de acceso y confianza de la cuenta que las invoca, sin ningún concepto de si las manos en el teclado pertenecen al propietario de la cuenta o a alguien que robó su sesión. La conclusión de Barracuda fue directa: esta técnica no es exclusiva de Copilot, y la misma vía de escalada está disponible a través de cualquier asistente de IA empresarial conectado a un buzón comprometido.
Qué significa esto para tu programa
Trata el acceso del asistente de IA como si heredara privilegio total de la cuenta, porque así es. Un Copilot, Gemini o asistente similar vinculado a un buzón puede leer todo lo que ese buzón puede leer y redactar todo lo que ese buzón puede enviar. Revisa sobre qué pueden actuar esas integraciones, no solo qué pueden ver.
Vigila el abuso de reglas de bandeja de entrada como una señal específica de alto valor. Las reglas que ocultan silenciosamente mensajes que contienen “sign-in”, “alerta de seguridad” o términos similares son un patrón de evasión conocido. Genera alertas ante nuevas reglas de ocultación o eliminación automática que toquen esos términos, y trátalas como un indicador de compromiso que merece revisión inmediata.
Prioriza la autenticación resistente al phishing para las cuentas más críticas. El habilitador raíz de este ataque no fue el asistente de IA. Fue el compromiso inicial de la cuenta. Las llaves de seguridad FIDO2 y las passkeys de plataforma cierran la puerta por la que pasó toda esta cadena.
Mantén DMARC aplicado de todos modos. Este incidente no debilita el argumento a favor de DMARC en modo reject. Demuestra una categoría de riesgo completamente separada, una que vive dentro de una cuenta en la que tu dominio ya, correctamente, confía.
Añade la actividad del asistente de IA a tu superficie de detección. La monitorización a nivel de sesión que solo vigila inicios de sesión sospechosos pasará por alto este ataque por completo, porque el inicio de sesión ya tuvo éxito antes de que se le diera cualquier instrucción al asistente de IA. Las consultas inusuales del asistente sobre hilos financieros o conversaciones ejecutivas merecen el mismo escrutinio que una geografía de inicio de sesión inusual.
La conclusión
Los atacantes ya no necesitan redactar ellos mismos un correo de phishing convincente. Una vez que tienen una cuenta activa y comprometida, pueden pedirle al propio asistente de IA de esa cuenta que encuentre el objetivo correcto, aprenda el tono correcto y redacte el mensaje correcto, todo en minutos, y cada mensaje que envía después está completamente en cumplimiento con DMARC, porque genuinamente proviene del dominio que dice representar. La autenticación fue construida para verificar que un mensaje vino de donde dice que vino. Nunca fue construida para preguntar si la persona que opera esa cuenta, humana o asistida por IA, es la que el propietario del dominio pretendía.
Excello Mail te da visibilidad continua sobre el cumplimiento de tu DMARC y sobre cada fuente autorizada a enviar bajo tu dominio, para que el compromiso de una cuenta destaque rápidamente en lugar de mezclarse con el tráfico normal. Regístrate gratis en Excello Mail y mantén tu postura de autenticación hermética mientras tu equipo construye defensas para lo que ocurre después de que una cuenta real es tomada por un atacante.