La mayoría de los consejos antiphishing piden al destinatario revisar dos cosas antes de hacer clic: quién envió el mensaje y a qué dominio apunta el enlace. Una campaña descrita por Kaspersky el 8 de octubre de 2026 invalida ambas comprobaciones a la vez, porque los correos sí provienen de Microsoft y los enlaces sí apuntan a Microsoft. Las soluciones de Kaspersky bloquearon más de 31,000 de estos mensajes entre el 1 de agosto y el 18 de septiembre de 2026, y la empresa señala que este patrón de abuso se repite en lugar de desaparecer.
La primera técnica: un registro de aplicación con un redirect envenenado
Los atacantes comienzan creando una cuenta de Microsoft e iniciando sesión en el centro de administración de Microsoft Entra. En la sección de registro de aplicaciones crean una nueva aplicación y, en el campo redirect URI, la dirección a la que el servidor de autenticación de Microsoft Entra envía al usuario tras un inicio de sesión correcto, introducen un enlace a su propio sitio malicioso. Después envían correos con enlaces de redirección de Microsoft que contienen el ID de la aplicación registrada y el redirect URI elegido por el atacante.
El resultado es un enlace que empieza en un dominio genuino de Microsoft, pasa por un flujo de autenticación real y termina en una página criminal que roba credenciales o entrega malware. Los señuelos son de lo más común: mensajes que fingen ser comunicaciones oficiales de Microsoft y presionan al destinatario a actualizar sus credenciales del servicio o firmar documentos electrónicos.
La segunda técnica: correos de verificación con texto del atacante
Kaspersky describe un segundo abuso igual de simple. Los estafadores crean cuentas de usuario falsas y añaden la dirección real de la víctima como contacto de respaldo en el portal Microsoft My Account. Microsoft entonces envía a la víctima un correo de verificación genuino y no solicitado. Como el campo del nombre de la cuenta o de la organización acepta texto libre, los atacantes escriben ahí su mensaje fraudulento, que aparece en el asunto y en la firma de un correo que realmente envió Microsoft.
Todas las comprobaciones técnicas pasan. El remitente es real, el código de verificación es real, y solo el texto que los atacantes escribieron en un campo de nombre es falso. Kaspersky no describe ningún fallo de software en la plataforma de Microsoft, y la cobertura de los hallazgos subraya que se trata de una función de identidad estándar usada exactamente como fue diseñada, pero con fines maliciosos.
Por qué DMARC no puede interceptar esto, y por qué sigue siendo necesario
Esta es la parte incómoda para quien considera la autenticación de correo una solución antiphishing completa. Estos mensajes se originan en la propia infraestructura de Microsoft y pasan SPF, DKIM y DMARC sin ninguna falsificación. DMARC responde a una sola pregunta: ¿venía realmente el mensaje del dominio que figura en el campo From? No dice nada sobre si las intenciones del remitente son honestas. Andrey Kovtun, gerente del grupo de protección contra amenazas de correo de Kaspersky, lo resume bien: no es la primera vez que enlaces y mensajes fraudulentos se envían a través de servicios oficiales, lo que añade una capa peligrosa de credibilidad y hace más difícil detectar la estafa.
Eso no hace que DMARC sea menos necesario. Los ataques que DMARC sí detiene, la suplantación directa de tu dominio por terceros, siguen siendo una de las formas más comunes de fraude por correo, y su aplicación con políticas de cuarentena o rechazo sigue siendo la única defensa fiable frente a ellos. La lectura correcta de esta campaña es una división de trabajo: DMARC garantiza que el correo que dice venir de tu dominio realmente viene de tu dominio, y el criterio humano junto con la seguridad por capas debe ocuparse del correo que legítimamente proviene de las grandes plataformas.
Qué hacer al respecto
Para defensores y remitentes, las conclusiones prácticas son directas. Trata con sospecha cualquier correo que pida actualizar credenciales o firmar un documento, aunque el dominio del enlace parezca legítimo, porque un dominio de confianza te dice dónde empieza un enlace, no dónde termina. Para los equipos de seguridad, el abuso de registros de aplicaciones de Entra y de los flujos de recuperación de cuenta es un recordatorio para vigilar la actividad del tenant. Y para toda organización que envía correo, la campaña es una razón para reforzar lo que sí controlas: publica DMARC en todos tus dominios, lee tus informes agregados y aplica tu política, para que tu marca nunca sea la identidad falsificada en la campaña de phishing de otro.
La autenticación les dice a los receptores quién habla realmente en nombre de tu dominio. Excello Mail convierte tus informes de DMARC, SPF y DKIM en una imagen clara de todos los servicios que envían en nombre de tus dominios, para que apliques tu política con confianza. Regístrate gratis en Excello Mail y asegúrate de que tu dominio nunca sea la opción fácil para los estafadores.