El viernes 17 de octubre de 2026, atacantes desconocidos accedieron a una cuenta de correo electrónico de la asociación distrital de la CDU en Heilbronn, Alemania. Desde esa cuenta genuina lanzaron una campaña de phishing a unos 6.500 contactos, y la lista de destinatarios llegó hasta la cúspide del Estado alemán: ministerios federales, otros contactos políticos y el propio canciller Friedrich Merz recibieron el mensaje fraudulento.
La policía de Heilbronn está investigando. Un portavoz policial declaró a la Agencia de Prensa Alemana que, según los primeros hallazgos, el correo llegó a aproximadamente 6.500 contactos, muchos de ellos en áreas relevantes para la seguridad, y que se sabe que mensajes llegaron al canciller.
Una cuenta real, una invitación falsa
El correo de phishing se presentó como una invitación a un evento con invitados prominentes e incluía un enlace. Según la policía, la hipótesis de trabajo es un intento de phishing, el clásico esquema en el que los delincuentes intentan que las víctimas entreguen datos sensibles como contraseñas o datos bancarios. La propia Agencia de Prensa Alemana figuraba entre los destinatarios, al igual que la policía de Heilbronn.
La asociación distrital respondió encargando a una empresa de seguridad informática que informara a los contactos afectados y les advirtiera que no reaccionaran a los mensajes ni abrieran los enlaces o adjuntos que contienen. Los investigadores aún no han explicado cómo obtuvieron los atacantes acceso a la cuenta, y no se han revelado detalles sobre el contenido tras el enlace de la invitación.
Por qué este ataque pasa de largo ante el DMARC
Para quienes trabajan en autenticación de correo, este caso es un recordatorio incómodo pero importante. SPF, DKIM y DMARC responden a una pregunta estrecha: ¿viene realmente este mensaje del dominio que dice, y está el propietario del dominio dispuesto a respaldarlo?
Un mensaje enviado desde un buzón genuinamente comprometido proviene del dominio real, sobre infraestructura real, a menudo firmado con claves DKIM reales. Todas las verificaciones de autenticación pasan, porque desde el punto de vista del protocolo nada está falsificado. El ataque no suplanta a la CDU. Es la cuenta de la CDU, secuestrada.
Por eso la industria de seguridad insiste en que el DMARC es un cimiento y no una fortaleza. La aplicación en política “reject” impide que extraños falsifiquen su dominio, y eso importa enormemente, porque la suplantación con dominios parecidos sigue siendo uno de los ataques más baratos del correo. Pero no hace nada contra un atacante que inicia sesión en un buzón legítimo y envía desde él.
Qué ayuda realmente cuando el arma es la cuenta
Las defensas que tocan este escenario son otras. La autenticación multifactor, en especial los métodos resistentes al phishing como las passkeys o las llaves de hardware, eleva el costo de la toma de control inicial. Las políticas de acceso condicional que marcan inicios de sesión desde ubicaciones o dispositivos inusuales pueden detectar la intrusión temprano. Y los proveedores que detectan una ráfaga repentina de volumen saliente, miles de mensajes en minutos hacia una agenda que abarca ministerios, pueden frenar la campaña antes de que se complete.
El DMARC sigue ganándose su lugar en esta imagen. Primero, sin aplicación, los mismos atacantes podrían haber evitado el trabajo de secuestrar cualquier cosa y simplemente falsificar el dominio de la CDU desde fuera, un camino aún más barato. Segundo, los informes agregados de DMARC son una herramienta de visibilidad: un cambio repentino en los patrones de envío, fuentes nuevas o un volumen inusual desde su propio dominio es exactamente el tipo de anomalía que los reportes revelan temprano.
El conjunto de objetivos políticos se repite
Las autoridades alemanas llevan años advirtiendo que las organizaciones políticas son objetivos prioritarios del phishing. En primavera, un ataque de phishing a gran escala se propagó por el mensajero Signal y apuntó a políticos, militares, diplomáticos y periodistas de investigación, y el BSI y los servicios de inteligencia alemanes lo atribuyeron probablemente a actores estatales. Si el incidente del viernes en Heilbronn tiene alguna conexión con esos actores no se sabe; la policía no ha hecho ninguna atribución y no debe suponerse ninguna.
Lo que sí se conoce es la debilidad estructural que el caso expone. Una asociación distrital, una oficina política de tamaño medio con una agenda llena de direcciones gubernamentales, tenía las llaves de buzones de todo el gobierno federal. Una sola cuenta comprometida bastó para poner un enlace manipulado frente a 6.500 de ellas en una sola tarde.
La autenticación demuestra el dominio, no al humano que hay detrás. El phishing desde cuentas secuestradas como el caso de Heilbronn pasa todas las verificaciones de DMARC, pero la capa de reportes le da visibilidad temprana de envíos anómalos desde su propio dominio, mientras que la aplicación impide que los suplantadores externos falsifiquen su identidad de la forma barata. Regístrese gratis en Excello Mail y obtenga esa visibilidad antes de que su próxima alerta venga de la policía.