El 4 de octubre de 2026, el grupo de medios japonés Nikkei reveló dos vulneraciones distintas de cuentas de correo de empleados, incidentes que parecen una demostración controlada del problema más difícil de la seguridad del correo electrónico hoy. Un atacante obtuvo acceso a un buzón real de Microsoft 365 y, el 30 de septiembre, lo usó para enviar aproximadamente 9,000 correos de phishing con enlaces a sitios maliciosos. Los destinatarios no eran desconocidos. Eran personal de Nikkei y entrevistados con los que los periodistas de la empresa habían estado en contacto, justo las personas con más probabilidades de confiar en un mensaje de una dirección de Nikkei.
La revelación, recogida por BleepingComputer, The Record e Infosecurity Magazine, también cubrió un segundo incidente anterior. Se accedió a una cuenta de Google Workspace de otro empleado desde finales de julio de 2026. Nikkei se enteró de esa intrusión a principios de agosto tras una notificación de Google y cambió la contraseña de la cuenta, pero la empresa dijo que la exposición pudo incluir los nombres y direcciones de correo de 1,646 personas, principalmente empleados y socios comerciales. Nikkei reportó los incidentes a la Comisión de Protección de Información Personal de Japón, no los ha atribuido a ningún actor concreto y no ha confirmado si las dos intrusiones están relacionadas.
El detalle que debería detener a cualquier administrador de correo
La ola de phishing del 30 de septiembre no fue suplantación en el sentido clásico. Nadie falsificó una cabecera De ni intentó eludir SPF o DKIM. Los mensajes se enviaron a través de una cuenta genuina de Microsoft 365 de Nikkei, lo que significa que iban firmados y alineados con el dominio propio de la empresa. SPF pasó. DKIM pasó. DMARC pasó. Todas las señales de autenticación que un proveedor de buzón receptor verifica estaban en verde, porque desde el punto de vista del protocolo, esto era correo legítimo de Nikkei.
Eso es lo que hace tan peligroso al phishing lateral desde un buzón comprometido. La autenticación demuestra que el mensaje vino del dominio de la línea De. No dice nada sobre si la persona que controla el buzón es quien debería controlarlo. Nikkei contactó a los destinatarios y les pidió que borraran los mensajes, pero la empresa también advirtió que los nombres, las direcciones de correo y partes de los cuerpos de los correos de los destinatarios pudieron filtrarse. La editorial hermana Nikkei BP reveló que uno de sus propios empleados perdió credenciales el 30 de septiembre por un correo de phishing enviado desde la dirección de un empleado de Nikkei, exponiendo potencialmente otras 26 nombres y direcciones de correo. Un buzón comprometido generó el siguiente compromiso en cuestión de días, exactamente la reacción en cadena en la que confían los atacantes de compromiso de correo empresarial.
Qué puede y qué no puede hacer DMARC aquí
Es tentador leer esta historia como prueba de que DMARC no importa, porque una política totalmente aplicada en p=reject no habría bloqueado ni uno de esos 9,000 mensajes. Esa lectura es incorrecta de una forma específica e importante.
Lo que DMARC no puede hacer es autenticar personas. Autentica dominios. Cuando un atacante controla un buzón real dentro de tu tenant, el correo que ese buzón produce es tuyo, y ninguna política en DNS cambia eso. Las defensas que importan en ese escenario son controles de identidad: MFA resistente a phishing, políticas de acceso condicional, revocación de sesiones, detección de reglas de bandeja y reenvío sospechosos, y monitoreo de permisos OAuth. El incidente de Nikkei es un recordatorio para financiar esos controles, no para saltarse la autenticación.
Lo que DMARC y sus reportes sí hacen por ti en un evento de phishing lateral es doble. Primero, la aplicación cierra la vía de ataque más barata que existe junto a esta. Los atacantes que no pueden entrar en un buzón recurren a dominios parecidos y a la suplantación exacta del dominio, y esos intentos son exactamente lo que una política p=reject y tus reportes agregados exponen desde el primer mensaje. Segundo, el monitoreo continuo de reportes te da un inventario en vivo de cada fuente que envía en tu dominio. Cuando un equipo de seguridad investiga una posible toma de control de cuenta, la primera pregunta que importa es si los patrones de envío de ese buzón son normales. Los equipos que leen sus reportes de DMARC a diario saben cómo es lo normal para cada fuente legítima, y así es como anomalías como una ráfaga repentina de 9,000 mensajes de un solo usuario salen a la luz rápido.
La paradoja del periodista
Hay un ángulo sectorial que vale la pena nombrar. Las organizaciones de noticias funcionan sobre el contacto con personas que tienen todas las razones para esperar privacidad: fuentes, denunciantes, entrevistados. Nikkei dijo que los destinatarios de la ola de phishing incluían personas con las que sus periodistas habían estado en contacto, y que pudieron filtrarse nombres, direcciones y partes de cuerpos de correos. Para una empresa de medios, el compromiso de un buzón no es solo un incidente de seguridad, es un incidente de protección de fuentes. Lo mismo vale para bufetes de abogados, proveedores de salud y asesores financieros, todos ellos custodian correspondencia cuya exposición daña a terceros más que a la propia empresa.
Eso eleva la apuesta del trabajo poco llamativo de la autenticación de correo. Las simulaciones internas de phishing, la educación de los empleados sobre el robo de credenciales y las políticas estrictas del tenant sobre el reenvío de correo son parte del programa de protección de fuentes, no solo del programa de seguridad.
Qué conclusion sacar
La revelación de Nikkei es el ejemplo reciente más claro de que la autenticación es el suelo, no el techo. Un buzón secuestrado convierte tu propia y buena postura de autenticación en un activo para el atacante, y nada en SPF, DKIM o DMARC cambia eso. Pero la respuesta no es tratar la autenticación de dominio como un asunto resuelto e irrelevante. La respuesta es tratarla como la capa base que elimina la suplantación, mantiene tus reportes agregados llenos de verdad sobre quién envía en tu nombre, y libera la atención de tu equipo para los problemas más difíciles: identidad, sesiones y comportamiento dentro del tenant.
Cada buzón comprometido está rodeado de señales, desde volúmenes de envío anómalos hasta fuentes desconocidas en tus datos de autenticación. Excello Mail convierte tus reportes de DMARC, SPF y DKIM en una vista en vivo de todo lo que envía en tu dominio, para que conozcas tu línea base legítima y detectes lo que la rompe. Regístrate gratis en Excello Mail y descubre quién habla realmente en nombre de tu dominio.