Desarrollo de páginas web y software a medida en Ecuador

Publicado: 2025-09-19 16:29:00 / Seguridad / JIVSoft

Phishing 2.0: los correos que incluso los expertos caen en abrir

Abres tu bandeja y encuentras un correo impecable: logo corporativo, firma con nombre real, lenguaje formal y un enlace que apunta a OneDrive. Todo en orden. Lo abres. Un minuto después, el atacante ya tiene tu token de acceso o credenciales. Bienvenido al mundo del Phishing 2.0 —la versión moderna del engaño que no deja rastro obvio y que explota confianza, contexto y servicios legítimos.

¿Qué diferencia al Phishing 2.0 del phishing “clásico”?

• Confianza por asociación: en lugar de dominios obvios y emails mal escritos, usan URLs y plataformas de confianza (OneDrive, Google Drive, Office 365, AWS S3) para alojar formularios o payloads.

• Ofuscación y redirecciones: múltiples redirecciones para evitar listas negras y detección basada en reputación.

• Spearphishing y contexto: mensajes construidos con información de la víctima (organización, jefe, proyectos) para romper la prudencia.

• OAuth / Consent Phishing: en vez de robar credenciales, engañan para que la víctima otorgue permisos a una app maliciosa, generando tokens.

• Homograph / Punycode attacks: dominios que parecen idénticos a los legítimos (ej. rnicrosoft[.]com vs microsoft[.]com).

• LOTL-phishing: uso de herramientas nativas y servicios ya confiables para hospedar contenidos maliciosos.

Anatomía de un Phishing 2.0 efectivo (paso a paso)

1. Reconocimiento: el atacante recopila datos públicos (LinkedIn, Git repos, redes sociales) para personalizar el correo.

2. Construcción del gancho: plantilla con marca, lenguaje y firma realista. A menudo incluye un “asunto urgente” o un “documento para firmar”.

3. Infraestructura evasiva: dominio recién registrado, uso de servicios cloud para hospedar formularios o documentos, redirecciones cortas (bit.ly) o servicios de acortamiento propios.

4. Payload / objetivo: página de login falsificada, documento con macros que descarga un payload, o flujo OAuth que solicita scopes peligrosos.

5. Exfiltración / acceso: credenciales, MFA bypass (por ingeniería social), tokens OAuth o archivos sensibles.

Señales de alerta y IoC (qué vigilar)

• SPF/DKIM/DMARC: cabeceras que fallan o que muestran discrepancias entre From: y Return-Path/MAIL FROM.

• Display name vs sender address mismatch: nombre conocido pero correo extraño (e.g., Carmen Ruiz <carmen@micompania.com> pero el remitente real es carmen@micompafia.com).

• Reply-To distinto: From legítimo pero Reply-To redirige a otro dominio.

• URLs en el correo: dominio en el link no coincide con texto visible; uso de punycode (xn--…) o parámetros extraños en la URL.

• Enlaces cortos y redirecciones múltiples: bit.ly → acortador propio → cloud storage → formulario.

• Adjuntos Office con macros: macros que contienen funciones AutoOpen, Document_Open, Workbook_Open, Shell, CreateObject("WScript.Shell").

• Solicitudes de permisos OAuth: apps pidiendo scopes amplios como offline_access, Files.ReadWrite.All, Mail.Read.

• Dominios/URLs de corta vida: dominios registrados el mismo día o TTL de DNS muy bajo.

• Headers inusuales: X-Mailer, Received inconsistentes, o IP de envío desde países no habituales para la supuesta entidad.

• Comportamiento post-click: clicks que generan cargas externas, formularios que piden credenciales SSO en dominios no oficiales, o redirecciones a páginas con token collectors.

Phishing OAuth: la nueva arma silenciosa

En lugar de robar contraseña, te inducen a otorgar permisos a una app maliciosa. Resultado: el atacante obtiene tokens de acceso que no requieren contraseña y muchas veces no disparan alertas de “cambio de contraseña”. Para defenderse: revisar consentimientos de apps en portales (Azure AD / Google Workspace), limitar el consentimiento a admins y monitorear apps con scopes sensibles.

Mapeo MITRE ATT&CK

• T1566 — Phishing (variantes: spearphishing attachment/link)

• T1583/T1588 — Infrastructure (uso de servicios legítimos)

• T1192 — Spearphishing Link

• T1530 — Data from Cloud Storage (exfiltración a buckets o drives)

Controles y mitigaciones (técnicos y humanos)

Técnicos (obligatorios)

• SPF / DKIM / DMARC correctamente configurados; DMARC en p=quarantine o p=reject para dominios sensibles.

• Protección de correo (ATP / Email Gateway): sandboxing de attachments, click-time URL rewriting & scanning, análisis del comportamiento de macros.

• URL rewriting y click protection: las URLs en correos deben reescribirse por el gateway y ser analizadas en tiempo real.

• Bloqueo de punycode/homograph: detección y bloqueo de dominios con caracteres confusos.

• Políticas OAuth restrictivas: bloquear consentimiento por usuarios para apps de terceros o limitar a admins; revisar apps registradas e historial de consentimientos.

• Attachment protection: bloquear macros por defecto; convertir documentos a PDF en el gateway si es posible; sandboxing.

• MFA obligatorio: preferiblemente con FIDO2/CTAP (phishing-resistant).

• Safe browsing & DNS filtering: bloquear dominios maliciosos conocidos y categorías de alto riesgo.

• Monitorización de tráfico y netflow: detectar exfiltración inusual hacia buckets o dominios de almacenamiento.

Humanos / Procesos (críticos)

• Simulacros regulares de phishing con personalización (spearphishing) para medir riesgo real.

• Entrenamiento contextual (cómo verificar remitentes, validar enlaces, comprobar headers y firmas).

• Procedimiento de reporte fácil (un botón en el correo o canal rápido) para análisis y bloqueo proactivo.

• Política de “verificación secundaria” para solicitudes sensibles (transferencias, cambios de cuenta, envío de documentos legales).

Reglas / detecciones prácticas (ejemplos)

Regex (ejemplo) para detectar macros VBA en adjuntos Office (gateway):

Regla para email gateway (pseudopl/CES):

• Si From pertenece a dominio externo pero Display-Name coincide con usuario interno → flagrar como sospechoso.

• Si enlace visible contiene onmicrosoft.com o sharepoint.com pero el href apunta a IP no relacionada o a bit.ly → sandbox y alertar.

Query SIEM (pseudo-KQL) para detectar clicks a dominios nuevos: