Madison Square Garden ha confirmado que un correo que llevó a sus empleados a creer que estaban eligiendo un anillo de campeón de los Knicks era una simulación de phishing, y calificó la decisión de usar los anillos como cebo de “error desafortunado”. The Associated Press informó que en septiembre de 2026 los empleados de MSG recibieron un correo que decía “Congratulations, your Employee Championship Ring is here”, con un gráfico que mostraba dos estilos de anillo para elegir. Quienes hicieron clic en el enlace del final fueron enviados a una clase obligatoria de ciberseguridad.
Qué ocurrió
Los New York Knicks ganaron el campeonato de la NBA el martes por la noche y los jugadores recibieron sus anillos antes de la derrota en el debut de temporada ante Philadelphia. The Athletic informó que los entrenadores asistentes no recibieron anillos esa noche, lo que atrajo la atención hacia la simulación de septiembre. Un portavoz de Madison Square Garden dijo que la empresa había enviado el correo a su equipo corporativo como una simulación de un ataque de phishing diseñada para fortalecer la seguridad contra los hackers, y confirmó que MSG fue hackeada y extorsionada recientemente utilizando un usuario y contraseña de un empleado obtenidos mediante un ataque de phishing similar. La empresa añadió que más de 275 jugadores y empleados seguirán recibiendo sus anillos, y que los anillos y joyas para la familia de los Knicks valen más de 3,7 millones de dólares.
Por qué los equipos de seguridad hacen simulaciones de phishing
El phishing simulado es una herramienta estándar de concienciación. Agencias de seguridad como ENISA y NIST lo recomiendan como parte de un programa más amplio, porque las defensas técnicas por sí solas no detienen todos los mensajes maliciosos y el comportamiento del personal decide qué llega a su destino. Un clic en un cebo falso desencadena formación adicional en lugar de una brecha. Los límites éticos importan tanto como el propio ejercicio. Las guías para estas campañas indican que deben estar autorizadas al nivel adecuado, que no se debe avergonzar a quien falla y que normalmente se evitan los señuelos capaces de causar angustia. Un correo de celebración sobre anillos de campeonato está justo en el borde de esa línea, y MSG ya ha admitido que la elección fue un error.
Lo que no debe pasar por alto quien opera correo
La simulación existe porque MSG ya sabe lo que cuesta un clic real de phishing. La empresa fue hackeada y extorsionada después de que un usuario y contraseña de un empleado fueran robados en un ataque real de phishing. Esa es la secuencia que cada organización debe tener presente: un robo de credenciales por correo se convierte en un episodio de extorsión, y la formación en concienciación es la respuesta. La formación enseña a las personas a sospechar, pero la sospecha por sí sola no verifica quién envía realmente un correo. Ese es el trabajo de la autenticación. SPF, DKIM y DMARC demuestran que un mensaje proviene realmente del dominio que afirma, y una política DMARC en quarantine o reject impide que el correo falsificado llegue a las bandejas de entrada en primer lugar. Cuando tu propio personal y tus clientes no pueden confiar en el remitente visible, cada mensaje interno se convierte en una prueba potencial de phishing, sea legítimo o no.
Si tu dominio todavía puede ser suplantado, tus empleados están haciendo su propia simulación de phishing cada día sin tu permiso. Excello Mail mapea cada fuente legítima de envío y lleva tus dominios a p=reject sin romper el correo real. Regístrate gratis en Excello Mail y asegúrate de que los únicos correos sorpresa que reciba tu equipo sean los que tú mismo enviaste.