Barracuda Research publicó el 7 de octubre de 2026 un informe de amenazas que cambia cómo debemos leer la frase “el correo iba dirigido a alguien”. Escrito por el analista de amenazas Guruprasad Kenja, el análisis describe campañas de phishing en las que un solo mensaje lleva dos ataques separados. Una capa apunta al destinatario humano con ingeniería social convencional. Otra capa, invisible para la persona que lee el mensaje, lleva instrucciones de inyección de prompt dirigidas al asistente de IA que resume, prioriza y, cada vez más, actúa sobre la bandeja de entrada.
Los investigadores lo plantean con claridad. A los humanos se les ataca con tácticas como adjuntos protegidos con contraseña, y a los asistentes de IA se les ataca con inyecciones de prompt diseñadas para influir o anular el comportamiento del usuario. Las organizaciones ahora deben proteger no solo a los usuarios y las bandejas de entrada, sino también a los sistemas de IA que consumen y actúan sobre los datos del correo.
Cómo funciona el correo de doble objetivo
En la superficie, el mensaje de ejemplo analizado por Barracuda parece correspondencia interna ordinaria. Las direcciones De y Para coinciden con el mismo buzón, el mensaje lleva una puntuación de confianza de spam confiable y proviene de un dominio del sector público, todo lo cual le da una legitimidad aparente y le ayuda a superar el filtrado basado en reputación.
La capa visible contiene un mensaje de aspecto rutinario con un documento adjunto. El adjunto está protegido con contraseña, y la contraseña se entrega convenientemente en el cuerpo del correo, una combinación que, según Barracuda, crea un punto ciego para los controles de seguridad tradicionales, porque los adjuntos cifrados son difíciles de inspeccionar. Si el usuario lo abre, el ataque avanza hacia el robo de credenciales o la entrega de malware.
Si el usuario pasa por alto el correo, la segunda capa está esperando. Las instrucciones ocultas pueden hacer que el asistente de IA presente el mensaje como legítimo o urgente en su resumen de bandeja de entrada, empujando al humano a abrir el correo y hacer clic después de todo. En otras muestras, el prompt inyectado le dice al asistente que ignore sus instrucciones anteriores y que en su lugar envíe una solicitud urgente de transferir fondos a una cuenta específica, filtre datos o muestre una acción urgente falsa. Ninguna de estas instrucciones es visible para el usuario.
Cuatro técnicas para ocultar instrucciones a los humanos pero no a la IA
Barracuda identificó cuatro técnicas que aparecen con frecuencia en estos ataques:
Texto oculto en comentarios HTML. Las instrucciones se esconden dentro de etiquetas de comentario que nunca se renderizan en un cliente de correo pero permanecen en el código fuente que la IA analiza.
Texto invisible mediante estilos CSS. El texto renderizado con tamaño de fuente de cero píxeles, en blanco o completamente oculto no ocupa espacio visible pero sigue existiendo en el documento que el modelo lee.
Datos codificados en Base64. Las instrucciones se entierran dentro de bloques codificados, como una cadena de datos de imagen, que se decodifican en texto que un pipeline automatizado puede extraer.
Caracteres de ancho cero. Caracteres Unicode invisibles se mezclan con texto normal para introducir u ofuscar contenido.
Los investigadores también documentaron variantes reales más allá de la bandeja de entrada: un bloque oculto en un correo de factura que instruía al modelo de resumen a añadir una acción prioritaria falsa cambiando los datos de pago del proveedor, texto oculto en un currículum que le decía a una herramienta automatizada de selección que calificara al candidato con 10 sobre 10 sin importar sus cualificaciones, una solicitud falsa de modo de mantenimiento que engañaba a un bot de soporte para que revelara su propia configuración, y documentación envenenada en una página web que instruía a un asistente de programación a insertar una línea de exfiltración de credenciales cada vez que generaba código de autenticación.
Dónde encaja DMARC en este panorama
El detalle incómodo en la anatomía del correo de ejemplo de Barracuda es cuánta legitimidad aparente llevaba. Una puntuación de confianza de spam confiable y un dominio plausible del sector público le permitieron superar el filtrado basado en reputación. Esa es exactamente la debilidad que la autenticación de dominio existe para cerrar. Los sistemas de reputación preguntan si el correo de esta fuente parece correcto. DMARC hace una pregunta más dura: ¿este mensaje proviene realmente del dominio de la línea De, verificado mediante la alineación de SPF o DKIM?
Una política DMARC aplicada en p=reject no detiene un mensaje enviado desde un buzón real comprometido, y la investigación de Barracuda muestra que los atacantes cada vez más parten de infraestructura genuina. Pero la aplicación sí elimina el movimiento inicial más barato, el dominio exacto suplantado que toma prestada tu reputación para superar la primera barrera. Todo correo de doble objetivo que tenga que venir de un dominio parecido se vuelve más fácil de detectar, más probable de ser filtrado antes de que el humano o el asistente de IA lo lean, y visible en tus reportes agregados desde el primer mensaje.
Hay un segundo beneficio, más silencioso. Las defensas recomendadas por Barracuda incluyen tratar el contenido externo solo como datos, nunca como instrucciones, y validar las salidas antes de que una acción de IA se dispare. Eso solo funciona si sabes qué flujos de correo son legítimamente tuyos. El monitoreo continuo de DMARC te da la verdad básica de quién envía en tu dominio, de modo que cuando tu equipo revisa qué recibió un asistente de IA, las fuentes de envío de tus reportes son conocidas y verificadas.
Cómo se ve una defensa real
Barracuda es explícita: ningún control único detiene todas las variaciones, y recomienda defensas por capas: saneamiento de entrada que elimine elementos ocultos, comentarios y caracteres invisibles antes de que el contenido llegue a los sistemas de IA, detección de inyección de prompts, sandboxing para limitar lo que un asistente puede acceder, validación de salida antes de que las respuestas de IA disparen acciones, aprobación humana obligatoria para transacciones financieras y cambios de pago a proveedores, y monitoreo para detectar intentos de inyección repetidos. El mensaje para remitentes y defensores es el mismo. Proteger la bandeja de entrada ya no es suficiente, porque los sistemas que leen, resumen y actúan sobre el correo también necesitan protección. Empieza por la base que nunca deja de rendir: SPF, DKIM y DMARC aplicado en todos los dominios que posees, con reportes agregados que alguien realmente lea.
Cada ataque de doble objetivo todavía tiene que llegar a una bandeja de entrada, y cada mensaje suplantado deja una huella en tus datos de autenticación. Excello Mail convierte tus señales de DMARC, SPF y DKIM en una vista en vivo de quién envía en tu nombre, para que las fuentes sospechosas aparezcan antes de llegar a tus usuarios o a sus asistentes de IA. Regístrate gratis en Excello Mail y descubre lo que tu dominio está diciendo al mundo.