KnowBe4 publicó el octavo volumen de su informe Phishing Threat Trends el 29 de octubre de 2026, y su hallazgo principal es un cambio que todo defensor de correo debería interiorizar: los ciberdelincuentes están abandonando el fraude masivo de bajo esfuerzo e invierten en ataques hipersegmentados. El spear phishing creció un 41,1% interanual, el reconocimiento previo al ataque subió un 33,7% y la suplantación de empresas aumentó un 28%, mientras que los señuelos clásicos de tipo spray and pray se desplomaron.
El informe se basa en datos de seguridad de correo entrante de KnowBe4 Defend, que procesa 1.150 millones de señales de eventos al día. El volumen total de phishing creció un 29,8% interanual, y las organizaciones recibieron de media un correo peligroso por cada 733 mensajes. El problema no se reduce, se vuelve más inteligente.
Qué se desploma y qué lo sustituye
Las caídas son tan reveladoras como las subidas. Las estafas centradas en móvil cayeron un 47,3%, el fraude 419 de pago anticipado bajó un 31,3% y los señuelos de mensajes perdidos cayeron un 11,3%. Los atacantes han concluido que el cebo genérico ya no paga, y dedican su tiempo a investigar y personalizar.
Las tácticas que lo sustituyen son más peligrosas precisamente porque son más difíciles de detectar. Un correo de phishing que menciona a tu proveedor real, tu flujo financiero real y la noticia real de esta semana no parece un correo de phishing.
Los atacantes ya se alojan en infraestructura de confianza
En el tercer trimestre de 2026, un ataque tenía el doble de probabilidades de originarse en infraestructura legítima que en el trimestre anterior, y las plataformas de IA aparecen como la nueva frontera de esta tendencia. Los atacantes alojan consolas de desarrollador falsas, pantallas de inicio de sesión y centros de descarga directamente en dominios nativos de plataformas de IA. Según el informe, grandes modelos de lenguaje como Claude y ChatGPT se están convirtiendo en alojamiento de phishing en sus propios dominios de confianza.
Este es el detalle que debería replantear tu forma de pensar sobre la autenticación de correo. Cuando un atacante envía desde un dominio que supera los controles de reputación porque el dominio es genuinamente reputado, la señal de confianza se convierte en el arma.
La economía del phishing de alquiler
Los kits comerciales escalan ataques a volumen industrial. El phishing basado en kits creció un 54% y ya representa el 29,2% de todo el correo malicioso entrante, y solo tres kits principales concentran el 90,2% del phishing basado en kits. KnowBe4 también informa de que el 41,3% del phishing ya supera por completo las pasarelas de seguridad de correo tradicionales, lo que significa que sus clientes absorben gran parte del problema sin saberlo.
El ángulo del newsjacking es igual de llamativo. Con herramientas de IA generativa y agénticas, los atacantes convierten las noticias de actualidad en señuelos de phishing 5,4 veces más rápido que en 2022, con un margen de menos de 16 horas desde la titular hasta el señuelo.
Las contraseñas ya no son el objetivo
El informe destaca un alejamiento del robo de credenciales hacia la recolección de permisos. Los atacantes superan cada vez más las contraseñas mediante authentication phishing, inicios de sesión por código de dispositivo en plataformas como Microsoft Teams y abuso del consentimiento OAuth para secuestrar sesiones y permisos de agentes de IA. Los tokens emitidos así pueden persistir más de 90 días y requieren revocación manual a nivel de administrador.
El Business Email Compromise representa el 51,2% de los tipos de phishing, con Recursos Humanos, Finanzas y la Dirección Ejecutiva como los departamentos más atacados, y el 90,4% de los correos de phishing llega en días laborables, con pico los lunes con un 20,6%, cuando las bandejas están más llenas.
Qué significa esto para el DMARC y la entregabilidad
Nada de esto hace que el DMARC sea menos importante. Lo convierte en una capa de una defensa que necesita más capas. Cuando alguien suplanta tu dominio, una política DMARC en cumplimiento sigue deteniendo el mensaje en el buzón del receptor. Esa rama del árbol de ataque sigue siendo tuya por cerrar, y cerrarla nunca fue tan barato.
Lo que cambian los datos de KnowBe4 es la suposición de que autenticación equivale a seguridad. Los atacantes que envían desde plataformas legítimas, o que ya han robado una sesión válida o un permiso OAuth, superarán los controles en los que más confían tus filtros. Por eso los informes DMARC merecen atención diaria, por eso el monitoreo de anomalías en el correo saliente importa, y por eso el comportamiento inusual de un buzón, no solo los enlaces sospechosos, debería activar una revisión.
La conclusión incómoda del Volumen 8 es que las señales de confianza ya no son prueba de seguridad. Como dijo Jack Chapman, SVP de Threat Intelligence de KnowBe4, el phishing moderno no necesita engañar a los filtros con dominios parecidos si los atacantes pueden alojarse directamente en los de confianza. Protege tu dominio con cumplimiento, pero nunca confundas un control superado con un mensaje limpio.
El spear phishing que toma prestada infraestructura de confianza y permisos robados no aparecerá en la carpeta de spam, y tu propio dominio sigue siendo uno de los activos que los atacantes quieren tomar prestado. Excello Mail te muestra exactamente qué se envía en nombre de tu dominio, para que pases del monitoreo al cumplimiento con seguridad. Regístrate gratis en Excello Mail y toma el control de la identidad de tu dominio.