La mayoría de las puertas de enlace de correo seguras reescriben los enlaces dentro de un mensaje antes de que llegue a una bandeja de entrada, sustituyendo la URL original por una con la marca del proveedor que primero enruta a través de su propia infraestructura de escaneo. Es una función genuinamente útil, y lleva años siendo estándar. Investigadores de LevelBlue SpiderLabs han pasado la segunda mitad de 2025 y las primeras semanas de 2026 documentando cómo los atacantes convirtieron esa misma función en su propio mecanismo de entrega, apilando enlaces reescritos de varios proveedores unos sobre otros hasta que la cadena resultante es lo bastante larga, y lo bastante confiable, como para pasar de largo frente a las defensas que la crearon.
Qué se supone que hace la reescritura de URLs
La lógica detrás de la reescritura de enlaces es sólida. Una puerta de enlace de correo segura intercepta un mensaje entrante, sustituye cada URL del cuerpo por una nueva que apunta al propio dominio del proveedor, y escanea el destino real en el momento del clic en lugar de en el momento de la entrega, ya que un enlace que estaba limpio hace una hora puede haberse convertido en un arma para cuando alguien realmente hace clic en él. El enlace reescrito es una promesa: este proveedor comprobó a dónde lleva esto, y lo vuelve a comprobar cada vez que se hace clic. Esa promesa es exactamente lo que la vuelve valiosa para robar.
Encadenar la confianza en lugar de romperla
La técnica que los investigadores están rastreando ahora no ataca el servicio de reescritura de ningún proveedor en particular. Aprovecha el hecho de que un enlace puede pasar por más de uno. Un atacante que compromete un buzón en una organización que usa la puerta de enlace de un proveedor puede enviar internamente un enlace malicioso, dejar que esa puerta de enlace lo reescriba y en la práctica lo avale, y luego tomar el enlace envuelto resultante y hacerlo pasar por la puerta de enlace de una segunda organización, y una tercera, cada una apilando su propio dominio confiable sobre el anterior. Para cuando el enlace sale en una campaña de phishing masiva, lleva la credibilidad visual y estructural de varias marcas de seguridad a la vez, y ningún proveedor por sí solo puede ver más allá de la capa que tiene justo delante para saber qué espera realmente al final.
Los analistas de LevelBlue documentaron una campaña de Tycoon2FA construida exactamente así: un señuelo de solicitud de documento que suplantaba a Microsoft, con una URL final que superaba los 1.200 caracteres tras ser enrutada a través de cinco capas consecutivas de reescritura, Libraesva, Sophos, Inky, EdgePilot y Barracuda, antes de aterrizar en un sitio web comprometido que alojaba la página de robo de credenciales. Otra cadena distinta que examinaron los investigadores tenía seis redirecciones de profundidad a través de cuatro proveedores, Cisco, Trend Micro, Barracuda y EdgePilot. Ninguna de las dos cadenas contiene un dominio que parezca sospechoso por sí solo. Ese es precisamente el diseño.
Por qué esto escaló a finales de 2025
Los investigadores rastrearon el cambio del abuso de reescritura en una sola capa hacia cadenas multiproveedor deliberadamente diseñadas, con una escalada durante el segundo, tercer y cuarto trimestre de 2025, que alcanzó su punto máximo en enero de 2026. La táctica es ahora una función estándar dentro de kits de phishing-as-a-service, incluidos Tycoon2FA y Sneaky2FA, que empaquetan el robo de credenciales y cookies de sesión mediante adversario en el medio detrás de estas cadenas, lo que significa que la técnica ya no requiere un operador experto para construirla. Se entrega preconfigurada a los afiliados que compran acceso al kit.
Por qué DMARC no tiene nada que decir aquí
DMARC, junto con SPF y DKIM, responde a una sola pregunta: si el dominio en el encabezado From del mensaje está autorizado para enviarlo. Un correo de phishing con un enlace reescrito en cinco capas puede fallar esa verificación, superarla, o nunca activarla siquiera, y la respuesta no tiene ninguna relación con la cadena de redirección que se encuentra en el cuerpo del mensaje. La autenticación evalúa el sobre. No tiene visibilidad sobre lo que hace una URL después de que el mensaje es aceptado, ni ningún mecanismo para reconstruir una cadena de redirección construida enteramente con dominios que son, individualmente, tan confiables como afirman ser. Esto no es una brecha en DMARC. Es una categoría de ataque que DMARC nunca fue diseñado para ver, situada río abajo de cualquier verificación de autenticación que un servidor receptor pueda ejecutar.
Qué significa esto para tu programa
No supongas que un enlace reescrito es un enlace escaneado. Una URL envuelta por tu propia puerta de enlace demuestra que ese proveedor evaluó el siguiente salto de la cadena. No dice nada sobre qué hay tres o cuatro saltos más adelante.
Vigila los enlaces de origen interno que llegan en correo con apariencia de saliente. La técnica suele comenzar con un buzón comprometido que se envía a sí mismo o a un colega un enlace malicioso específicamente para que sea reescrito y quede confiable antes de reutilizarlo externamente. El correo interno inusual que contiene enlaces merece marcarse por sí solo.
No confíes en el veredicto de una sola puerta de enlace como palabra final. Si el correo de tu organización puede pasar por más de una capa de filtrado, trata un veredicto limpio de una de ellas como algo informativo, no concluyente, en particular en mensajes con URLs inusualmente largas o codificadas varias veces.
Mantén la aplicación de DMARC en su lugar, pero calcula lo que no cubre. Una política estricta con p=reject sigue cerrando la puerta a la suplantación de dominio. Nunca iba a cerrar esta otra, y ningún cambio de configuración en tu registro DMARC lo hará.
Capacita a los usuarios para sospechar de la longitud del enlace y del número de redirecciones, no solo del dominio visible. Una URL que supera los mil caracteres a través de cinco subdominios de proveedores es una señal más fuerte que la mayoría de los nombres de marca en un campo de nombre para mostrar.
La conclusión
La reescritura de URLs se creó para añadir una capa de confianza entre un enlace y la persona que hace clic en él. Los atacantes descubrieron que esa confianza se puede blanquear igual que el dinero, haciéndola pasar por suficientes manos legítimas hasta que su origen deja de importar. DMARC, SPF y DKIM siguen cumpliendo su función en cada una de estas campañas, confirmando o negando quién envió el mensaje. Esa función nunca iba a extenderse a lo que enlaza el mensaje, y la cadena de redirección que los investigadores están encontrando ahora, con cinco y seis capas de profundidad a través de los nombres más grandes de la seguridad del correo, es la prueba de que la brecha entre autenticar a un remitente y verificar un destino es exactamente hacia donde irá después un atacante con buenos recursos.
Excello Mail te da visibilidad continua sobre tus reportes DMARC, para que puedas ver exactamente qué fuentes se están autenticando bajo tu dominio, incluso mientras los atacantes construyen su próximo movimiento alrededor de las partes de un mensaje que DMARC nunca fue diseñado para inspeccionar. Regístrate gratis en Excello Mail y respalda con monitoreo real la capa de autenticación que sí controlas.