Microsoft Threat Intelligence ha publicado su informe sobre el panorama de amenazas por correo del tercer trimestre de 2026, y la cifra principal es difícil de ignorar: se detectaron aproximadamente 7.300 millones de amenazas de phishing por correo entre julio y septiembre, con un fuerte aumento hasta casi 3.000 millones solo en septiembre, un 41% más que en agosto.
El informe, publicado el 5 de noviembre en el Microsoft Security Blog, registra varios cambios que importan a cualquiera que gestione infraestructura de correo o envíos masivos.
Servicios empresariales falsificados y el problema de las excepciones
Microsoft detectó aproximadamente 129 millones de mensajes maliciosos que falsificaban los dominios de remitente de servicios empresariales monitorizados durante el trimestre. En lugar de usar dominios parecidos, estos mensajes se presentaban con los dominios reales de servicios en los que la gente confía para firmar documentos, gestionar facturas o responder encuestas. DocuSign fue la marca más falsificada en septiembre, con el 29% del total de ese mes, y Adobe, SurveyMonkey y Barracuda también registraron aumentos hacia finales del trimestre.
El hallazgo más importante se refiere a lo que ocurrió después de la detección. Muchos de estos mensajes no superaron las comprobaciones de autenticación y fueron identificados como maliciosos, pero aun así se entregaron porque excepciones de seguridad configuradas por la organización o por el usuario tenían prioridad. En septiembre, las excepciones se aplicaron al 63% de los mensajes con un resultado de seguridad registrado, y la mayoría fueron a nivel de inquilino. Una excepción creada para no interrumpir un flujo de trabajo legítimo puede convertirse en silencio en una puerta abierta para los mensajes que suplantan ese mismo flujo de trabajo.
Pasar DMARC no es prueba de confianza
Una campaña en español observada el 21 de septiembre muestra la otra cara de la autenticación. Mensajes con señuelos de órdenes de compra y de nómina llegaron a más de 56.000 usuarios de más de 8.100 organizaciones, con Colombia, Estados Unidos, México, Chile y España como principales países destinatarios. El dominio del remitente pasó SPF, DKIM y DMARC, porque el atacante había registrado un dominio y había configurado la autenticación correctamente, mientras cambiaba el nombre visible para parecer una identidad de ventas o de recursos humanos de la propia organización del destinatario. Los archivos adjuntos eran archivos RAR camuflados que entregaban el malware Agent Tesla, y una de las cadenas descargaba un payload de PowerShell desde Firebase Storage.
Este es el patrón que hace que la aplicación de DMARC y la monitorización sean inseparables. Los atacantes cada vez autentican sus propios dominios, por lo que un DMARC que pasa solo indica que el mensaje procede realmente de ese dominio, no que el dominio merezca confianza. Mientras tanto, su propio dominio solo queda a salvo de la suplantación exacta si su política DMARC está realmente aplicada.
Los códigos QR bajan, los archivos SVG suben
El phishing con códigos QR cayó aproximadamente un 67% respecto al segundo trimestre, hasta unos 12,1 millones de ataques, con un volumen en septiembre un 86% por debajo del máximo de marzo. El phishing con puertas CAPTCHA fue en dirección contraria: recuperó los 3,1 millones de ataques en septiembre, casi el doble del mínimo de julio, impulsado sobre todo por archivos adjuntos SVG. El volumen SVG se multiplicó por seis en agosto, cuando los SVG representaron el 65% de los ataques con CAPTCHA, y seguían siendo el método de entrega principal al final del trimestre.
El robo de credenciales siguió siendo el objetivo dominante: aproximadamente entre el 94 y el 96% de los ataques basados en payload del tercer trimestre dirigían a los destinatarios a un sitio de phishing o a una página de inicio de sesión fraudulenta en lugar de instalar malware. El efecto de la operación de marzo contra la plataforma de phishing como servicio Tycoon2FA siguió presente, con mensajes vinculados un 99,8% por debajo en julio respecto a febrero.
La suplantación de contactos empresariales descendió a aproximadamente 6,2 millones de ataques, pero las solicitudes de pago de facturas se multiplicaron por más de tres entre junio y septiembre. En Microsoft Teams, los atacantes pasaron de identidades evidentes de mesa de ayuda a nombres personales corrientes, que subieron del 46% de la muestra de julio al 88% en septiembre.
Qué hacer al respecto
El informe recuerda que el trabajo de autenticación nunca termina. Aplique DMARC en reject en sus propios dominios, audite cada lista de permitidos y cada excepción que omita comprobaciones de autenticación y trate un resultado de DMARC superado como una verificación de identidad, no como un aval. Si busca una plataforma de envío que se tome en serio la autenticación y la entregabilidad desde el primer día, regístrese gratis en Excello Mail.