Una oferta de trabajo falsa es uno de los señuelos más antiguos del phishing. Lo que CTM360 documentó este mes en una campaña que llama RecruitTrap no tiene nada de antiguo: una ventana de navegador falsa lo bastante convincente como para engañar al propio navegador, conectada a un backend en vivo que observa cada intento de inicio de sesión y decide, pantalla por pantalla, exactamente qué solicitud de autenticación multifactor lanzarle a la víctima a continuación.
Lo que RecruitTrap realmente construyó
CTM360 rastreó más de 3.000 URLs de phishing durante una ventana de dos meses, cada una suplantando a un reclutador o un proceso de contratación vinculado a una de más de 50 organizaciones reales que abarcan 14 sectores industriales. La campaña no apunta ampliamente a quien envía currículums. Filtra específicamente las cuentas de correo corporativas, descartando las direcciones personales que llegan a la página, porque un inicio de sesión de Gmail o Yahoo vale mucho menos para los operadores que un conjunto funcional de credenciales empresariales.
El señuelo empieza de forma bastante ordinaria: un correo no solicitado o una invitación a una reunión, con un estilo que aparenta venir de un reclutador de una empresa reconocible, que menciona la trayectoria profesional del objetivo e invita a programar una entrevista. Nada de ese mensaje necesita suplantar un dominio. Un dominio similar, un buzón comprometido, o simplemente un nombre de remitente convincente, bastan para conseguir el clic, porque el robo real ocurre después del clic, no en el encabezado.
Por qué una ventana de navegador falsa supera a una página de inicio de sesión falsa
Navegador en el navegador, o BitB, es una técnica que renderiza una ventana emergente dentro de la propia página, completa con una barra de direcciones falsa, un marco de ventana falso y una URL que parece correcta porque está dibujada con HTML y CSS en lugar de ser emitida por el navegador real. Un usuario que busca el candado o echa un vistazo al dominio en la barra de direcciones ve exactamente lo que espera ver, porque nada de eso es real.
La versión de RecruitTrap funciona sobre un frontend de Svelte y SvelteKit que lleva a la víctima a través de escenas por etapas: CAPTCHA, nombre de usuario, contraseña, y luego uno de varios métodos de doble factor. Lo que lo hace peligroso es la capa de debajo. Una conexión persistente de Socket.IO vincula cada sesión con el backend del atacante en tiempo real, permitiendo que un operador, o una automatización que actúa como tal, observe lo que la cuenta real de la víctima exige y seleccione al vuelo la pantalla de desafío correspondiente. Si la organización del objetivo usa una aplicación de autenticación, la página falsa pide un código de autenticación. Si usa SMS, la página falsa pide SMS. El kit no está adivinando qué método de MFA falsificar. Se lo están indicando.
Dónde encaja DMARC en esta cadena
DMARC, junto con SPF y DKIM, responde a una pregunta acotada: si este mensaje está autorizado a afirmar que proviene de este dominio. El correo inicial de RecruitTrap no necesita una respuesta favorable a esa pregunta para funcionar. Un dominio similar tiene sus propios registros SPF y DKIM válidos y puede publicar su propia política DMARC sin contradecir nada, porque no está afirmando ser el dominio de la empresa real, solo algo que se le parece a primera vista. Un buzón comprometido en una firma de reclutamiento real supera todas las verificaciones de autenticación por la misma razón que los abusos de Azure Monitor y Google Cloud cubiertos aquí en semanas anteriores: la infraestructura que envía el mensaje es legítima, aunque lo que envía no lo sea.
Una vez que el correo cumple su única función, conseguir un clic, a DMARC no le queda nada que verificar. El robo de credenciales, la retransmisión de MFA y la toma de control de la cuenta ocurren todos en una infraestructura que DMARC nunca fue diseñado para ver: un sitio de phishing con su propio dominio, su propio certificado y su propio backend en tiempo real.
Qué significa esto para tu programa
Trata el BitB como una brecha de capacitación, no solo técnica. A los usuarios se les enseña a revisar la barra de direcciones. Una ventana emergente convincente de navegador en el navegador derrota precisamente ese hábito falsificando lo que se les dijo que confiaran. La capacitación debe cubrir que una ventana emergente legítima de SSO u OAuth debería poder verificarse arrastrando la ventana parcialmente fuera de la página principal, ya que una ventana falsa renderizada en HTML no puede cruzar ese límite.
Vigila los señuelos con temática de reclutamiento contra profesionales que publican su función laboral abiertamente. El filtrado de RecruitTrap hacia cuentas corporativas y el enfoque documentado por CTM360 sugieren un direccionamiento basado en información profesional disponible públicamente, del tipo que se encuentra en sitios de networking y directorios de empresas.
No asumas que el MFA por sí solo cierra la brecha. Una retransmisión que observa qué desafío exige una cuenta real y lo refleja de vuelta derrota al MFA como control independiente. Los métodos resistentes al phishing, como las llaves de hardware FIDO2 o las passkeys vinculadas al origen, no son falsificables por una ventana falsa como sí lo es un código de un solo uso.
Mantén la aplicación de DMARC donde corresponde, en la puerta de entrada. Una política estricta con p=reject impide que alguien suplante directamente tu propio dominio en un señuelo con temática de reclutamiento dirigido a tus empleados o candidatos. No hace nada para impedir que un dominio similar o un buzón de terceros comprometido hagan el mismo trabajo, así que combínala con monitoreo de dominios para variantes cercanas de tu propio nombre.
La conclusión
RecruitTrap no es un fallo de DMARC. Es un recordatorio de que el phishing se ha movido mucho más allá de la bandeja de entrada de lo que los protocolos de autenticación estaban pensados para alcanzar, usando una ilusión de navegador lo bastante buena como para sobrevivir a la única verificación que la mayoría de los usuarios todavía recuerda hacer. Autenticar el mensaje que abre la puerta siempre fue un problema separado de defender lo que ocurre una vez que alguien la cruza.
Excello Mail te da visibilidad continua sobre tus reportes DMARC, para que sepas exactamente qué fuentes se están autenticando bajo tu dominio mientras los atacantes construyen fachadas cada vez más convincentes para el robo de credenciales que ocurre después del clic. Regístrate gratis en Excello Mail y respalda con monitoreo real la capa de autenticación que sí controlas.