En el tercer trimestre de 2026, Microsoft fue suplantado en el 33% de todos los intentos de phishing de marca rastreados por Check Point Research, un salto notable desde el 23% del trimestre anterior y unas cuatro veces la cuota de cualquier otra marca. El dato procede del informe de phishing de marca del Q3 2026 que Check Point publicó a finales de octubre de 2026, y confirma una tendencia que todo administrador de correo debería entender: cuando los atacantes eligen una máscara, cada vez más eligen la que abre la puerta principal de la empresa.
Un top cinco que suma más de la mitad de los intentos
El ranking del Q3 2026 coloca a Microsoft muy por delante del resto. Apple subió dos puestos hasta la segunda posición con el 8%, empatada con Google en tercera, mientras que LinkedIn bajó dos puestos hasta la cuarta con el 6% y Amazon completó el top cinco. En conjunto, estas cinco marcas representaron más de la mitad de todos los intentos de suplantación observados durante el trimestre, lo que muestra hasta qué punto los atacantes dependen de un grupo reducido de nombres de confianza.
Los que más subieron fueron Dropbox, que escaló diez puestos hasta el octavo, y YouTube, que subió cinco hasta el sexto, ambos entrando en el top diez. Por sectores, Tecnología siguió siendo el más suplantado, seguido de Redes Sociales y Banca, los lugares donde la gente guarda sus cuentas más valiosas.
Por qué Microsoft lidera con tanta diferencia
La explicación de Check Point es sencilla. Unas credenciales robadas de Microsoft pueden abrir todo un entorno corporativo, incluido el correo, los archivos y las herramientas de colaboración, mientras que la mayoría de las otras marcas del top cinco conducen sobre todo a cuentas personales. Una sola credencial de Microsoft 365 puede marcar la diferencia entre una molestia y una brecha completa, así que los atacantes invierten su esfuerzo donde está el premio.
Los atacantes ya suplantan herramientas de IA y desarrollo
Dos ejemplos del informe destacan porque señalan hacia dónde va el phishing de marca. Un correo de phishing enviado en octubre de 2026 suplanta a Claude, el asistente de IA de Anthropic, afirmando que un pago de 500,00 euros del periodo de facturación fue rechazado y que el acceso a la API y las licencias de Claude se pausarán si no se actualiza el método de pago. El mensaje venía de la dirección no autorizada billing-update@account-notif[.]com y usaba la imagen de Claude y Anthropic para llevar a las víctimas a un proceso fraudulento de actualización de pago.
El segundo ejemplo apunta a los desarrolladores. El sitio web antigravity-ide-google[.]com, registrado en septiembre de 2026, suplanta a Google Antigravity, la plataforma de desarrollo de software agéntica de Google. Muestra a los visitantes un comando de instalación de Linux que parece legítimo pero que en realidad descodifica y ejecuta un comando codificado en Base64, que descarga y ejecuta un script de shell desde un servidor externo y da al atacante ejecución remota de código en la máquina de la víctima.
Los trucos del terminal y del software de acceso remoto
Los atacantes también van más allá de robar contraseñas. Un sitio falso de soporte de Apple, apple-support[.]today, registrado en septiembre de 2026, imita con detalle el sitio oficial de Apple y publica un artículo titulado “Boost your Mac using the terminal”, persuadiendo a los visitantes para ejecutar comandos maliciosos en sus propios equipos. Un conjunto de sitios que suplantan a Docusign, registrados desde septiembre de 2026 y hasta principios de octubre, muestran un documento pendiente de firma tras un aviso de “Update Required” que exige una supuesta actualización de Docusign Reader. Pulsar Continue descarga el instalador de FleetDeck, un producto legítimo de gestión y monitorización remota (RMM) abusado para obtener acceso remoto no autorizado al dispositivo de la víctima.
Qué significa esto para el DMARC y tu dominio
El phishing de marca vive en dos superficies de ataque distintas, y cada una necesita defensas diferentes. La primera es el propio correo falsificado, un mensaje que dice venir de microsoft.com o de tu dominio. Esa superficie es para la que existe el DMARC. Si tu dominio publica una política de cumplimiento, los receptores ponen en cuarentena o rechazan el correo falsificado, y la rama del phishing de marca basada en la suplantación exacta de dominio se derrumba en la capa DNS.
La segunda superficie son los dominios similares y los sitios web falsos, como apple-support[.]today o antigravity-ide-google[.]com. Ningún estándar de autenticación de correo puede detenerlos, porque el atacante es el propietario real del dominio desde el que envía. Lo que sí puedes hacer es vigilar los registros de dominios parecidos a tu marca, formar a los usuarios para que una página convincente no diga nada sobre la barra de direcciones y detectar herramientas de gestión remota no aprobadas en los equipos.
La lectura incómoda de los datos del Q3 2026 es que lo que roban los atacantes es la confianza. Microsoft ocupa el primer puesto precisamente porque los empleados confían en sus pantallas de inicio de sesión sin cuestionarlas. Si tu marca tiene reconocimiento, la misma lógica se aplica a tu dominio, y una política DMARC dejada en p=none es una invitación abierta para cualquiera que quiera tomar prestada esa confianza.
El phishing de marca ataca a tus clientes y a tus colegas en nombre de marcas en las que confían, y tu propio dominio forma parte de ese campo de batalla. Excello Mail te muestra exactamente qué se envía en nombre de tu dominio, para que pases del monitoreo al cumplimiento con seguridad. Regístrate gratis en Excello Mail y toma el control de la identidad de tu dominio.