El 9 de octubre de 2026, KnowBe4 Threat Lab publicó un análisis de un cambio que redefinió lo que es un correo de phishing. De 544,000 correos de amenazas que el equipo rastreó entre junio y agosto de 2026, 53,000 usaban una técnica que KnowBe4 llama Living Off Trusted Services, o LOTS. Eso es casi uno de cada 10 correos de amenazas, y ninguno necesitó un dominio falsificado, un logo copiado ni una dirección de remitente sospechosa para llegar a la bandeja de entrada.
El patrón es simple y barato. El atacante registra una cuenta gratuita en una plataforma SaaS legítima como DocuSign, QuickBooks, Adobe o Dropbox, crea un documento o factura a través de esa plataforma y deja que el sistema de notificaciones de la propia plataforma entregue el correo. El mensaje es real en todo sentido técnico. Proviene de la infraestructura de envío genuina de la plataforma, muestra la marca de la plataforma y es exactamente el tipo de alerta automática que un empleado recibe cada día laboral. Lo único que no es genuino es el enlace detrás del botón.
Las cifras detrás de la tendencia
DocuSign y QuickBooks por sí solos representan casi dos tercios del volumen LOTS que KnowBe4 rastreó, con señuelos de documentos y pagos dominando el panorama. El desglose mes a mes muestra hacia dónde se dirigen los atacantes. DocuSign creció cada mes de la ventana de tres meses, lo que los investigadores interpretan como un abuso sostenido y no una campaña pasajera. El volumen de Adobe creció en el mismo período, y el volumen de Dropbox casi se triplicó.
El Phishing Threat Trends Report Vol. 7 de KnowBe4, publicado en abril de 2026, situó el cambio a nivel de industria en un 22% de todos los ataques de phishing enviados a través de plataformas legítimas, con atacantes pasando de suplantar una marca a abusar de la infraestructura real de esa marca. Las nuevas cifras del Threat Lab son una porción más estrecha y específica por plataforma de ese mismo movimiento, concentrada fuertemente en un puñado de servicios.
El tema de documentos compartidos es el señuelo más grande del phishing en general, con un 39.2% de los correos de phishing rastreados por KnowBe4. La mayoría de esos señuelos de documentos nunca toca infraestructura real de plataforma. El subconjunto LOTS es más pequeño pero mucho más peligroso precisamente porque sí lo hace.
Por qué SPF, DKIM y DMARC pasan
Esta es la parte que todo administrador de correo debería meditar. Estos correos pasan la autenticación del remitente porque la plataforma genuinamente los envió. Como dice KnowBe4, el correo está limpio porque la plataforma lo envió. DMARC demuestra que un mensaje realmente provino del dominio de la línea From. Cuando un atacante usa una cuenta real de DocuSign, el mensaje realmente provino de DocuSign. Cada verificación de autenticidad del remitente da verde, y la carga maliciosa queda escondida detrás de un botón que conduce fuera de la plataforma.
Esto no es un defecto de DMARC. El RFC 7489 deja claro que el mecanismo de DMARC no informa a los receptores si un flujo de correo es bueno, y la autenticación nunca fue diseñada para juzgar la intención de un mensaje que una plataforma de confianza envió legítimamente. Lo que LOTS expone es el límite de la autenticación de dominio: autentifica dominios, no personas ni propósitos.
El problema de las listas de permitidos
KnowBe4 identifica un segundo amplificador que las organizaciones controlan directamente. Muchas empresas agregan remitentes transaccionales de alto volumen, como las principales plataformas SaaS, a listas de permitidos explícitas en sus pasarelas de correo seguro, para que las notificaciones de contratos y facturas nunca caigan en spam. Cuando un atacante abusa del nivel gratuito de una plataforma para enviar una notificación de phishing, ese mensaje hereda el mismo carril rápido a través de la lista de permitidos. El atacante no paga nada, registra una cuenta en minutos y obtiene un pase que originalmente se ganó con años de comportamiento de envío legítimo.
La mecánica de las plataformas añade más fricción para los defensores. La configuración de expiración de enlaces de DocuSign puede hacer que la evidencia desaparezca antes de que un respondedor de incidentes pueda revisarla, y en algunas plataformas los documentos maliciosos permanecen activos durante días antes de que se procese una solicitud de eliminación.
Qué pasa después del clic
Al final de la cadena de redireccionamientos, KnowBe4 observó tres desenlaces principales: páginas de robo de credenciales que imitan inicios de sesión de Microsoft y Google, phishing de código de dispositivo que engaña a las víctimas para que autoricen sesiones controladas por el atacante, y descargas de instaladores de acceso remoto. Algunas operaciones de robo de credenciales funcionan mediante proxies de adversario en el medio que capturan cookies de sesión y derrotan el MFA ordinario, algo que los investigadores señalan que se mantiene a menos que se exijan métodos resistentes al phishing, como las llaves de hardware FIDO2.
Qué significa esto para tu programa DMARC
La respuesta correcta a LOTS no es cuestionar el valor de la autenticación, es entender qué capa del problema resuelve cada control. DMARC en modo de aplicación sigue siendo la única forma confiable de eliminar la falsificación exacta de dominios y la suplantación de marcas parecidas a la tuya, y los informes de DMARC siguen siendo tu inventario en vivo de todo lo que envía como tu dominio. Ninguno de esos controles puede detener una notificación genuina de DocuSign, y ningún proveedor honesto afirmará lo contrario.
Lo que sí puedes hacer es atacar la cadena LOTS en sus otros eslabones. Revisa las listas de permitidos de tu pasarela y reemplaza la confianza generalizada por políticas que inspeccionen el destino detrás de los botones de las plataformas. Entrena a tus usuarios para que sepan que un remitente genuino no dice nada sobre la petición que hay dentro. Impulsa el MFA resistente al phishing para las cuentas que los atacantes realmente buscan con credenciales robadas. Y trata las notificaciones inesperadas de documentos y pagos, especialmente las que mencionan QuickBooks o DocuSign, como la categoría de mayor riesgo en tu programa de concientización, porque ahí es exactamente donde vive uno de cada diez correos de amenazas.
Los atacantes que se apoyan en plataformas de confianza dejan rastros diferentes, y tus informes de autenticación siguen diciéndote quién habla en nombre de tu dominio cada día. Excello Mail convierte tus datos de DMARC, SPF y DKIM en una vista clara de tu panorama de envío, para que la suplantación se detenga en la capa de DNS mientras tu equipo se concentra en los ataques que la autenticación por sí sola no puede frenar. Regístrate gratis en Excello Mail y conoce todo tu panorama de envío.