El 20 de octubre de 2026, la AfD, el partido de extrema derecha alemán, confirmó que hackers entraron en cuentas de correo de miembros del partido y sustrajeron gran cantidad de mensajes. El partido indicó que el ataque afectó a un proveedor de hosting que utiliza y que en septiembre de 2026 se copiaron de forma aparentemente ilícita algunos buzones, la mayoría en desuso desde hacía años. Según un informe del diario Bild, al que el partido respondió, se sustrajeron más de 421.000 correos, incluidos mensajes enviados por la colíder del partido Alice Weidel y el cofundador Alexander Gauland. La agencia federal de ciberseguridad de Alemania, la BSI, comunicó que está en contacto con el partido.
Los atacantes, o alguien que dice actuar con los datos sustraídos, publicaron un sitio web con resúmenes de los mensajes. La página se registró de forma anónima a mediados de octubre y señala un domicilio en Wyoming, Estados Unidos. No publica los contenidos originales, sino resúmenes generados con IA que, según la AfD, se produjeron con una inteligencia artificial muy rudimentaria y tergiversaron el contexto de los documentos sustraídos. La autenticidad de los datos sigue sin verificarse. Bild informó que el material incluye fotos de documentos de identidad de miembros del partido, entre ellos el del vicesecretario del grupo parlamentario en el Bundestag Markus Frohnmaier, además de extractos bancarios, facturas, solicitudes de membresía y listas de miembros de asociaciones locales de la AfD en Renania del Norte-Westfalia.
Qué es esta brecha y qué no es
La mecánica importa a cualquiera que gestione el correo de una organización. Esto no fue suplantación de dominio. Nadie falsificó la identidad de la AfD enviando correos que aparentaban salir de sus dominios. Los atacantes entraron en buzones reales, en un proveedor externo de hosting, y copiaron lo que realmente había allí. Ese es el escenario de pesadilla que SPF, DKIM y DMARC nunca fueron diseñados para evitar. La autenticación demuestra que el remitente de un mensaje puede usar legítimamente un dominio. No dice nada sobre si quien está detrás de la cuenta es un atacante que ya tiene la contraseña, o si la infraestructura del proveedor fue comprometida.
Dos detalles son especialmente reveladores. Primero, los buzones comprometidos eran en su mayoría cuentas dormantes que llevaban años sin usarse, incluida una antigua dirección de contacto de la dirección federal del partido. Las cuentas viejas son un punto ciego clásico: siguen recibiendo correo, siguen guardando años de historial sensible, pero nadie las vigila. Segundo, los buzones actuales de la asociación federal no resultaron afectados. El radio de la explosión lo limitó el lugar del ataque, un único proveedor, y no alguna propiedad de la infraestructura principal de correo del partido.
La segunda ola es donde DMARC demuestra su valor
Una filtración así no termina cuando se copian los datos. Inicia una segunda fase, y esa fase es territorio puro de DMARC. En los días posteriores a cualquier filtración sonada, los delincuentes explotan la curiosidad pública con campañas que la mencionan. Hay que esperar correos que prometen el archivo filtrado completo detrás de un enlace, comunicaciones falsas atribuidas a la organización afectada, peticiones de donaciones o páginas de robo de credenciales disfrazadas de espejos de la filtración. Parte de ese tráfico saldrá de dominios similares registrados para imitar al partido o al propio sitio de la filtración.
Ese es exactamente el tráfico que la aplicación de DMARC bloquea. Si los dominios de la AfD están protegidos con SPF, DKIM y una política p=reject, los atacantes no pueden falsificar correos convincentes desde esos dominios, ni siquiera citando contenido real sustraído. Los receptores descartarán las falsificaciones. Lo mismo aplica a cualquier organización cuyo nombre se vea arrastrado al ciclo de una filtración: la aplicación es lo que impide que su dominio se convierta en el vehículo de entrega de la historia de otra persona.
Lecciones para todo remitente
- Trate el hosting de terceros como parte de su superficie de ataque. El partido fue comprometido a través de un proveedor, no de sus propios sistemas. Los proveedores que alojan buzones merecen el mismo escrutinio que sus servidores.
- Localice los buzones dormantes. Las cuentas viejas que nadie usa siguen recibiendo facturas, datos de socios y documentos personales. Archívelas, delegue su vigilancia o elimínelas.
- Aplique DMARC antes de la crisis, no durante ella. Con p=reject en sus dominios de envío, la ola de suplantación que sigue a una filtración rebota en su dominio.
- Vigile los señuelos que mencionan la filtración. La curiosidad es hoy el mejor activo de los atacantes. Los resúmenes publicados están diseñados para provocar clics.
- Asuma que el contenido sustraído se reutilizará como arma. Las citas reales dentro de un correo falso son el phishing más convincente que existe, y solo la autenticación permite a los receptores distinguirlos.
Un compromiso de buzones es un fallo de control de acceso. El fallo de confianza posterior, con correos falsificados que cabalgan sobre la noticia, es un fallo de autenticación. Excello Mail le muestra todas las fuentes que envían como sus dominios y le ayuda a llegar a p=reject, para que cuando su nombre salga en los titulares los suplantadores encuentren la puerta cerrada. Regístrese gratis en Excello Mail y cierre esa puerta antes de que alguien la pruebe.