Cisco Talos ha publicado una investigación que debería cambiar la forma en que todo equipo de seguridad y de correo lee la frase “este mensaje pasó la autenticación”. En un Threat Spotlight titulado Parasitizing trust, publicado el 21 de octubre de 2026, los investigadores describen cómo durante el último año los atacantes han abusado sistemáticamente de infraestructura legítima en lugar de construir la suya. Talos observó abusos en más de 25 plataformas legítimas distintas, que abarcan servicios de colaboración, productividad, intercambio de archivos, encuestas, pagos e inteligencia artificial.
El patrón siempre es el mismo. El atacante no falsifica un remitente ni registra un dominio similar. En su lugar, introduce contenido hostil en una plataforma de confianza, y la propia plataforma renderiza ese contenido dentro de un correo de notificación genuino, autenticado y de alta reputación.
Las campañas de notificaciones de pedidos de Staples y Dell
Talos analizó dos campañas de notificaciones de pedidos que abusaron de los flujos de correo transaccional de Staples y Dell. En conjunto, estas campañas sumaron aproximadamente 1.400 mensajes observados por Talos.
En la primera campaña, las víctimas recibieron lo que parecía una confirmación de pedido de Staples desde [email protected], confirmando la compra de un Apple iPad, con número de pedido, precios, datos de facturación y el pie de página estándar de Staples. El elemento malicioso estaba oculto en los campos del pedido donde normalmente va la información de envío y facturación: un número de “Helpline” controlado por el atacante. Las cabeceras mostraban alineación DKIM para orders.staples.com y DMARC aprobado para el dominio visible de Staples.
La segunda campaña usó el mismo patrón con una notificación de pedido de Dell, confirmando la compra de Microsoft Project Standard 2024 por 736,09 dólares, también con un número de “Helpline” controlado por el atacante en las secciones Ship To y Bill To. Ese mensaje también mostraba DKIM aprobado para la infraestructura de Dell y DMARC aprobado para order.dell.com.
El objetivo nunca era un clic en un enlace de phishing. El objetivo era una llamada telefónica. Una vez que la víctima pasaba del correo a la voz, el atacante podía continuar con ingeniería social, manipulación de pagos, robo de credenciales o fraude de asistencia remota. La autenticación demostraba que el mensaje provenía de infraestructura real de Staples o Dell, pero no decía nada sobre si el número de teléfono o el contexto de la transacción eran legítimos.
El list bombing se convierte en vehículo de contenido
Talos también describe una evolución del list bombing. Tradicionalmente, los atacantes inundaban el buzón de la víctima con mensajes automáticos de suscripción como distracción o denegación de servicio. Talos ahora observa un subconjunto de casos en los que los atacantes escriben una cadena hostil, como un señuelo de criptomonedas, en formularios públicos de registro, campos de nombre, empresa o cargo que carecen de validación de entrada adecuada. La plataforma luego refleja ese señuelo en sus propios correos automáticos de bienvenida o verificación, entregando contenido del atacante dentro de correo generado por el sistema que pasa las comprobaciones de autenticación estándar.
Los investigadores también señalan que los avisos de error de entrega se abusan de la misma forma. Un atacante puede provocar un rebote que transporta una carga maliciosa, por ejemplo un señuelo de intercambio de archivos, porque los usuarios están acostumbrados a ver los errores del sistema como benignos.
Por qué esto no significa que el DMARC esté roto
La reacción instintiva ante el phishing que pasa DMARC es preguntarse si la autenticación sigue importando. Talos es explícito: SPF, DKIM y DMARC responden si un mensaje vino de la infraestructura esperada. No responden si la transacción era legítima o si los campos mostrados tienen sentido. La autenticación del remitente es necesaria pero no suficiente.
Es la conclusión correcta, y corta en ambos sentidos. Para los receptores, un DMARC aprobado es el suelo, no el techo: la inspección de contenido, la verificación de números frente a los canales de soporte conocidos y la validación de qué pertenece a un campo transaccional siguen importando. Para los remitentes, la investigación es una advertencia sobre lo que ocurre cuando la autenticación está ausente. Los atacantes invierten tanto esfuerzo en tomar prestados dominios de confianza precisamente porque suplantar un dominio sin autenticar sigue siendo barato. Un dominio con una política DMARC estancada en p=none les ofrece esa opción barata todos los días.
El ángulo de entregabilidad para los remitentes legítimos
También hay una lección para los responsables de marketing y los operadores de plataformas. Cada campo reflejado en un mensaje transaccional, desde el nombre de envío hasta la nota de pedido o el campo de soporte, puede convertirse en un vehículo de entrega si no se valida antes de renderizarlo. Las marcas cuyos flujos se abusan de esta forma absorben un pasivo de confianza que ningún enlace de baja puede reparar. Mientras tanto, los proveedores de buzón siguen endureciendo los requisitos sobre el correo autenticado y deseado, así que los remitentes que invierten en la aplicación plena de DMARC son los que mantienen su correo legítimo distinguible del ruido.
Talos recomienda tratar las notificaciones de pedido como contenido sensible: correlacionar el contenido de la notificación con el historial de la cuenta y el estado del pago, y marcar números de teléfono, URLs o lenguaje de urgencia inesperados en campos donde no pertenecen.
La conclusión es simple. La autenticación detiene la suplantación de dominios y sigue siendo el control que todo remitente necesita en aplicación. Pero los manuales más nuevos de los atacantes toman infraestructura autenticada prestada, así que la verificación debe extenderse a lo que el mensaje realmente pide hacer al usuario. Excello Mail mapea cada fuente legítima de envío de tus dominios y te lleva a la aplicación plena de DMARC sin romper el correo real, y su monitorización expone a los remitentes no autorizados que intentan esconderse entre los legítimos. Regístrate gratis en Excello Mail y asegúrate de que tu dominio nunca sea la máscara del fraude de otro.