El pretexto de phishing más convincente del último año no decía que tu cuenta estaba bloqueada. Preguntaba si tu empresa podía cotizar en un proyecto próximo. El equipo de Inteligencia e Investigación de Fortra, conocido como FIRE, informó el 15 de octubre de 2026 que los correos maliciosos con lenguaje de solicitud de cotización aumentaron doce veces entre octubre de 2025 y septiembre de 2026. El resultado más frecuente fue el robo de credenciales, con casi el 73% de los señuelos de RFQ conduciendo a un sitio diseñado para recopilar datos de inicio de sesión, y algunas campañas entregando malware en su lugar.
La estructura del ataque explica por qué funciona. El primer mensaje es deliberadamente breve: puede nombrar a un gerente de compras o a un representante de una empresa, pedir al destinatario que confirme disponibilidad o que envíe una cotización, y ofrecer casi ningún detalle sobre el proyecto. Ese es el comportamiento normal de un comprador, y el personal de ventas y compras responde a estos mensajes todas las semanas. Solo después de que el destinatario responde, el atacante introduce un enlace externo, presentado como planos del proyecto, un paquete de RFQ, una transferencia segura de archivos o un portal de compras. La página detrás de él imita un inicio de sesión de Microsoft 365, Google Workspace o similar, y dependiendo del kit usado también puede intentar capturar aprobaciones de MFA, claves de un solo uso, cookies o tokens de sesión.
Por qué los filtros de reputación sufren con esta campaña
El análisis de FIRE encontró 664 dominios remitentes distintos en la población de mensajes con RFQ. Los investigadores creen que incluyen dominios desechables, cuentas de webmail, cuentas legítimas comprometidas y dominios elegidos para parecerse a empresas reales. Eso importa a los defensores porque la reputación del remitente y las listas de bloqueo siguen siendo útiles, pero no pueden ser la única base de detección. Un dominio nuevo que nunca ha enviado spam no tiene mala reputación, y un buzón secuestrado de una empresa real tiene una buena.
El contexto comercial hace el resto del trabajo. La investigadora de Fortra Cadence Riddle señala que el contexto de RFQ puede bajar la sospecha del destinatario cuando encuentra una solicitud de inicio de sesión. Un empleado que espera abrir un documento protegido es menos propenso a cuestionar una página de inicio de sesión, y los atacantes cuentan con esa expectativa.
En qué se convierte un buzón comprometido
Las consecuencias documentadas en la investigación van mucho más allá de una contraseña robada. Un atacante dentro de un buzón empresarial puede buscar información de clientes, facturas, instrucciones de pago, contactos internos y detalles de proyectos en curso. La cuenta puede usarse luego para enviar correos de phishing a compañeros, clientes y proveedores que no tienen motivo para desconfiar del remitente. El fraude de redirección de pagos, la manipulación de facturas y las solicitudes de compra fraudulentas figuran entre los resultados, junto con el daño reputacional incluso cuando no hay pérdida financiera directa.
En esa segunda etapa el dominio propio entra en la historia. El phishing lateral enviado desde un buzón realmente comprometido es correo plenamente autenticado. Pasa SPF, DKIM y DMARC porque de verdad es tu tenant, tu usuario y tu DNS. Los controles que lo detienen son el inicio de sesión resistente al phishing, el acceso condicional y la detección rápida, no la capa de autenticación en sí.
Dónde gana el DMARC su lugar en esta campaña
El DMARC no puede juzgar si la solicitud de cotización de un desconocido es sincera, y es honesto con ese límite. Lo que sí hace es cerrar dos puertas específicas de las que depende esta campaña.
La primera son los dominios similares. Fortra observó dominios elegidos para parecerse a empresas reales dentro de la población de remitentes. Las organizaciones que aplican DMARC con p=reject en todos sus dominios, incluidos los registros defensivos de nombres similares, dificultan que alguien suplante su nombre en la conversación de compras.
La segunda es la visibilidad. Cuando un buzón queda comprometido y empieza a escribir a clientes y proveedores, los informes agregados de DMARC muestran nuevas fuentes de envío apareciendo como tu dominio, una de las señales más tempranas de que un tenant está siendo abusado. La reputación del remitente no puede avisarte de tu propia cuenta comprometida. Tus informes sí.
Qué hacer esta semana
La guía de Fortra es práctica y no exige prohibir enlaces a equipos cuyo trabajo es abrir documentos de desconocidos. Verifica a los compradores potenciales de forma independiente, usando información de contacto de un sitio web oficial o un directorio público de empresas, nunca el teléfono o el enlace incluidos en el mensaje no solicitado. No introduzcas credenciales de la organización en un sitio de proyecto proporcionado por un comprador o desconocido, y confirma la plataforma por un canal independiente si un paquete exige iniciar sesión. Marca las combinaciones de lenguaje de RFQ, dominios remitentes nuevos o de baja reputación, números de RFQ o alcances de proyecto ausentes, y muros de inicio de sesión frente a documentos del proyecto. Y vigila tu propia autenticación de salida, porque la amenaza que más crece para tus clientes es un mensaje enviado desde tu propio buzón comprometido.
Los pretextos de phishing seguirán tomando prestados los flujos de trabajo comerciales legítimos, pero la autenticación sigue siendo la capa que garantiza que nadie pueda enviar como tu dominio sin que lo sepas. Excello Mail convierte tus informes de DMARC, SPF y DKIM en una imagen clara y continua de cada servicio que envía como tus dominios, para que detectes un buzón comprometido o un remitente ilegítimo antes que tus clientes. Regístrate gratis en Excello Mail y mantén tu dominio fuera de la cadena de respuestas.