Entre abril y julio de 2026, KnowBe4 ThreatLabs añadió 1.660 dominios terminados en .vu, la extensión de código de país de Vanuatu, a su lista negra global de phishing. Eso es un salto del 159,6% respecto al periodo anterior, vinculado a 28.167 correos de phishing dirigidos a los sectores de Educación, Manufactura, Gobierno y Finanzas, mayormente en Estados Unidos. El dato que merece atención no es la tasa de crecimiento. Es este: el 99,9% de esos dominios .vu maliciosos aparecieron dentro del cuerpo de un correo, en un enlace, nunca como la dirección de la que el mensaje decía provenir.
Un Registro Hecho Para la Velocidad, No Para el Escrutinio
El registro .vu de Vanuatu no pide ninguna de las fricciones que frenan el abuso en otros lugares. Sin verificación de identidad estricta, precios por volumen para comprar dominios por docenas, y privacidad WHOIS por defecto que oculta quién registró qué. KnowBe4 encontró que el dominio .vu promedio en estas campañas vivía unos 20 días desde el registro hasta el abandono, tiempo suficiente para lanzar una ola de correos y lo bastante corto para desaparecer antes de que la mayoría de las listas negras lo alcanzaran. Como los proveedores de seguridad históricamente casi no habían visto tráfico legítimo de .vu, la extensión no cargaba ninguna señal de reputación integrada en ningún sentido. Simplemente era invisible, y ser invisible es exactamente lo que un dominio de phishing desechable necesita.
El Kit Detrás de los Dominios
Las huellas técnicas en toda la infraestructura .vu apuntan a Sneaky2FA, un kit de phishing de adversario en el medio (AiTM) que no intenta adivinar una contraseña. Actúa como proxy de toda la sesión de inicio de sesión en tiempo real: la víctima escribe sus credenciales reales en una página que las reenvía en vivo al servicio real, completa su propio desafío de autenticación multifactor exactamente como lo haría cualquier día normal, y el kit captura el token de sesión autenticada en el instante en que regresa. Desde la perspectiva del dueño de la cuenta, nada parecía estar mal, porque nada en el inicio de sesión en sí era falso. Solo la página que lo transmitía lo era.
Por Qué DMARC Nunca Estuvo en Posición de Ayudar
DMARC, SPF y DKIM responden a una sola pregunta, y solo una: ¿este mensaje está autorizado a reclamar el dominio remitente en su encabezado From? Ninguna de estas campañas necesitaba responder esa pregunta de forma deshonesta, porque ninguna puso una dirección .vu en el campo From. El correo en sí normalmente llegaba desde un dominio con autenticación limpia y alineada, a veces una bandeja comprometida, a veces un dominio similar recién registrado que pasaba sus propias verificaciones con total honestidad. El dominio .vu solo aparecía varios pasos después, como un enlace al que se invitaba a hacer clic al destinatario. DMARC evalúa el sobre. No tiene ningún mecanismo para evaluar una URL dentro del cuerpo del mensaje, y nunca fue diseñado para eso.
Esta es una forma de falla distinta a la de un remitente falsificado o una cuenta secuestrada, el tipo de problema que este blog cubre constantemente. Aquí, la autenticación nunca fue siquiera relevante desde el principio, porque la parte del mensaje que importaba, el destino al que realmente llegaba la víctima, está completamente fuera de lo que DMARC fue construido para inspeccionar. El filtrado basado en el remitente, ya sea DMARC o la lista de reputación de dominios de una puerta de enlace de correo, es estructuralmente ciego ante una amenaza que nunca afirma ser el remitente.
Qué Significa Esto Para Tu Programa
La autenticación de dominio y la inspección de enlaces son dos trabajos distintos, y ninguno reemplaza al otro. DMARC te dice si un mensaje representa honestamente su dominio remitente. No dice nada sobre a dónde apunta cualquier enlace dentro de ese mensaje honesto. Un programa de seguridad que trata la aplicación de DMARC como protección completa ha cubierto exactamente un punto de entrada de varios.
Los TLD de código de país con controles de registro débiles merecen su propia capa de escrutinio, separada de la reputación del remitente. Un filtro de URL o una puerta de enlace de correo seguro que solo pondera el historial de reputación del dominio remitente pasará por alto infraestructura como esta por diseño. Busca un filtrado que evalúe los destinos de los enlaces contra el riesgo a nivel de TLD, no solo el dominio en el encabezado From.
Un método de inicio de sesión resistente al phishing es el control que realmente detiene a Sneaky2FA, porque sigue funcionando incluso después de un clic. Los kits AiTM tienen éxito retransmitiendo una sesión en vivo; una llave de seguridad FIDO2 o una passkey de plataforma no produce un token que el kit pueda robar en tránsito de la forma en que sí puede hacerlo con una contraseña escrita y un código OTP. Donde la MFA todavía depende de un código que el usuario escribe, esta clase de ataque sigue funcionando sin importar qué tan limpia se vea tu autenticación de correo.
Los dominios de vida corta necesitan confianza de vida corta. Un dominio registrado hace 20 días con volumen de negocio crítico no es un patrón normal para la mayoría de los proveedores legítimos de una organización. Marcar los dominios recién registrados en los enlaces, independientemente de si el dominio remitente pasó DMARC, atrapa exactamente el vacío que esta campaña está construida para explotar.
La Conclusión
Ninguno de los correos que llevaban estos 28.167 mensajes necesitaba romper DMARC, SPF o DKIM, porque ninguno le hizo a esas verificaciones una pregunta para la que fueron construidas. El aumento de .vu es un recordatorio de que la autenticación de correo protege la identidad del remitente, no la seguridad de cada destino al que un mensaje puede dirigirte. Un dominio con un registro DMARC limpio puede entregar igualmente un enlace a infraestructura construida y abandonada en veinte días, y ambos hechos no tienen ninguna relación entre sí.
DMARC confirma quién envió un mensaje. Nunca tuvo la intención de decirte a dónde lleva cada enlace dentro de él. Excello Mail te da visibilidad continua y en lenguaje claro sobre la postura de autenticación de tu dominio, para que puedas ver con claridad qué cubre realmente DMARC y construir el resto de tu defensa alrededor de lo que no cubre. Regístrate gratis en Excello Mail y obtén hoy una imagen clara de tu cobertura de autenticación real.