El 9 de septiembre de 2026, alrededor de 347.000 personas suscritas al boletín de Trezor recibieron un correo que les advertía de un defecto de fábrica en el microcontrolador STM32 usado en su billetera de hardware, que supuestamente dejaba su frase semilla vulnerable a ataques de fuerza bruta. La afirmación era falsa. El correo, en cambio, era completamente real: salió de la infraestructura de envío propia y autorizada de Trezor, llevaba una firma DKIM válida y pasó DMARC sin que se marcara una sola verificación. El atacante no falsificó a Trezor. Llegó a la cuenta de Trezor en Brevo, la plataforma de marketing por correo que Trezor usa para gestionar ese boletín, y envió el mensaje desde adentro.
Un Límite Que Debía Detenerse en Una Sola Empresa
El informe posterior de Brevo, publicado un día después de la campaña, rastreó el acceso hasta una falla en cómo la plataforma maneja el inicio de sesión único (SSO) mediante SAML. El atacante creó su propia cuenta de Brevo, activó el SSO en ella e invitó a usuarios legítimos de Brevo, personas que ya pertenecían a las cuentas de otras empresas, a esa configuración. El acceso debía quedar confinado a la organización del propio atacante. En cambio, un límite de autorización falló, y la invitación extendió el alcance del atacante hacia cada cuenta que esos usuarios invitados podían tocar en cualquier otro lugar de la plataforma.
Esa única falla finalmente alcanzó 138 cuentas de clientes. Brevo dice que seis de ellas se usaron para enviar realmente correos de phishing a los contactos almacenados ahí, cuarenta y tres tuvieron sus listas de contactos exportadas sin que saliera ningún mensaje todavía, y el resto de las cuentas no mostró actividad adicional que la plataforma pudiera detectar. Trezor, el fabricante suizo de billeteras de hardware BitBox, y el rastreador de portafolios cripto CoinTracking confirmaron que estaban entre esas seis.
Tres Marcas, Tres Anzuelos, Un Solo Camino de Correo Compartido
Cada lista de las empresas afectadas recibió un pretexto distinto, construido para encajar con la marca que lo enviaba. Los suscriptores de Trezor recibieron la falsa advertencia de vulnerabilidad STM32, con un enlace a una página que pedía la frase de respaldo de la billetera para “verificar la exposición”. La lista de CoinTracking recibió un mensaje titulado “Aviso de Brecha de Datos: Por favor renueva tus claves de API cuanto antes”, usando la apariencia de un aviso de seguridad para impulsar un enlace de robo de credenciales. Los suscriptores de BitBox recibieron un mensaje con un planteamiento similar. En todos los casos, el correo en sí no tenía nada falso sobre su origen. Realmente provenía de la infraestructura del boletín de la empresa, a través del mismo dominio de envío de Brevo que usan las campañas legítimas cada semana.
Trezor retiró el dominio de phishing a nivel de DNS unos veinte minutos después de que la campaña salió. En esa ventana, alrededor de 2.500 personas hicieron clic en el enlace. Ninguna de las tres empresas reportó evidencia de frases de recuperación robadas, billeteras vaciadas o credenciales de producto comprometidas; los datos realmente expuestos en las cuentas de Brevo se limitaron a direcciones de correo de los suscriptores y preferencias de idioma.
Por Qué DMARC No Tenía Nada Que Objetar
DMARC, SPF y DKIM responden exactamente una pregunta: ¿este mensaje fue autorizado por el dominio que dice representar? Para el correo que Brevo envió en nombre de Trezor, BitBox y CoinTracking, la respuesta honesta era sí. Estas empresas ya habían hecho el trabajo de alineación, habían configurado a Brevo como remitente aprobado, y habían publicado los registros SPF y DKIM que hacen legítimo ese camino de envío. Nada de eso cambió cuando un atacante entró por los propios controles de acceso de Brevo. El compromiso ocurrió en una capa por encima de todo lo que DMARC evalúa, dentro de la lógica de autorización de la plataforma de marketing, en un límite de cuenta que nunca debió poder cruzarse desde fuera de la empresa que la poseía.
Es la misma forma de problema a la que este blog vuelve una y otra vez, solo que un paso más arriba. Una bandeja secuestrada, una cuenta de proveedor comprometida o un remitente SaaS mal configurado producen correo idéntico y honestamente autenticado, porque DMARC nunca fue diseñado para preguntar quién tiene acceso a los sistemas autorizados a enviar en tu nombre. Fue diseñado para preguntar si el dominio aprobó el envío, y cada uno de esos sistemas puede responder que sí con total sinceridad mientras está controlado por alguien que no debería estar ahí.
Qué Significa Esto Para Tu Programa
Cada plataforma de marketing y de correo transaccional en tu registro SPF es una extensión permanente de confianza. Si tu configuración de DMARC autoriza a Brevo, Mailchimp, SendGrid o cualquier otro ESP a enviar en nombre de tu dominio, una falla de control de acceso de su lado se convierte en una campaña de phishing que pasa DMARC del tuyo, sin ninguna advertencia en tus propios reportes de autenticación.
Pregúntale a tu ESP cómo delimita a los usuarios invitados y las configuraciones de SSO, no solo cómo delimita las claves de API. La falla de Brevo vivía en un límite de autorización alrededor del acceso colaborativo a cuentas, una parte de la seguridad del proveedor que la mayoría de los clientes nunca piensa en preguntar porque parece un detalle interno de la plataforma y no un riesgo para su propio dominio.
Un aviso de brecha que llega por correo es ahora, en sí mismo, un patrón de anzuelo. A la lista de CoinTracking se le dijo que “renovara sus claves de API” en un mensaje que imitaba exactamente el tipo de aviso que envía una respuesta real a una brecha. Cualquier proceso para comunicar un incidente real necesita un canal fuera del correo que los clientes ya sepan que es confiable, para que un aviso falso no pueda montarse sobre la credibilidad del real.
Las listas de suscriptores valen la pena robarlas incluso cuando no contienen más que una dirección de correo. Ni Brevo ni las tres empresas afectadas perdieron contraseñas ni datos financieros en este incidente, y aun así la exposición fue suficiente para lanzar una campaña de phishing dirigida y fiel a la marca contra cientos de miles de personas. Trata los datos de contacto de marketing con la misma disciplina de acceso que cualquier otra cosa que se pueda usar como arma contra tus usuarios.
La Conclusión
Trezor, BitBox y CoinTracking hicieron correctamente el trabajo de autenticación. Sus registros SPF y DKIM estaban bien, su alineación de DMARC se mantuvo, y cada correo de phishing que recibieron sus suscriptores pasó limpiamente, porque realmente se envió a través de una infraestructura que esas empresas habían autorizado de forma legítima. La falla estuvo un paso más allá, en un límite de acceso dentro de la plataforma que hacía el envío. Cada proveedor con permiso permanente para enviar en nombre de tu dominio merece el mismo escrutinio que le darías a una bandeja comprometida, porque para DMARC, eso es exactamente lo que son.
DMARC te dice si un mensaje fue autorizado a enviarse como tu dominio. No puede decirte si la plataforma que autorizaste ha bloqueado quién más puede acceder a tu cuenta dentro de ella. Excello Mail te da visibilidad continua y en lenguaje claro sobre cada origen que envía en nombre de tu dominio, para que una plataforma de marketing comprometida a nivel de cuenta aparezca como un cambio que vale la pena investigar, no como un reporte limpio que revisas por encima. Regístrate gratis en Excello Mail y ve exactamente quién está enviando como tú, incluyendo los proveedores en los que ya confías.