El ataque ya no parece un ataque: 4.7 millones de intentos usaron Zoom, Outlook y OneDrive como señuelo
Entre julio de 2025 y junio de 2026, Kaspersky detectó 4.7 millones de intentos de ataque que imitaban plataformas de uso cotidiano en el trabajo: invitaciones a videollamadas, archivos compartidos y notificaciones de acceso. Zoom encabezó la lista con 2,658,283 intentos, seguido de Outlook con 1,546,122. El dato más preocupante del informe, sin embargo, no es el volumen, sino una técnica específica que permite comprometer una cuenta corporativa aunque la víctima tenga activada la autenticación multifactor y aunque el proceso ocurra dentro de una página oficial de Microsoft.
Las marcas más usadas como señuelo
| Plataforma suplantada | Intentos de ataque detectados |
|---|---|
| Zoom | 2,658,283 |
| Outlook | 1,546,122 |
| OneDrive | 197,030 |
| Microsoft Excel | 151,948 |
| Microsoft Teams | 111,402 |
Fuente: Kaspersky, análisis de julio de 2025 a junio de 2026. Las palabras clave analizadas incluyeron además Gmail, Dropbox, Figma, Google Drive, Basecamp y Slack.
Qué se esconde detrás de esos correos
| Tipo de amenaza | Detecciones | Qué hace |
|---|---|---|
| Downloader | 2,733,204 | Descarga e instala otros archivos o programas en el dispositivo, abriendo la puerta a nuevas amenazas |
| Troyanos | 989,377 | Se hacen pasar por archivos legítimos; roban información, monitorean actividad o dan acceso remoto |
| Exploits | 341,165 | Aprovechan vulnerabilidades del software o del sistema operativo para comprometer el equipo |
Fuente: Kaspersky (2026).
El punto crítico: phishing por código de dispositivo
Aquí está lo que distingue este informe de la advertencia habitual sobre correos sospechosos.
En un phishing tradicional, el atacante construye un sitio falso y necesita que la víctima escriba ahí su contraseña. El defecto de esa técnica es evidente: basta revisar el dominio para detectarla. El phishing por código de dispositivo funciona al revés y elimina ese punto de control.
El proceso, según describen los investigadores de Kaspersky, es el siguiente:
- Los atacantes generan un código de autenticación válido aprovechando un mecanismo legítimo de Microsoft.
- Convencen al usuario de introducir ese código en la página oficial de inicio de sesión de Microsoft.
- La víctima completa el proceso con normalidad, incluso usando autenticación multifactor.
- Al aprobar la solicitud, autoriza sin saberlo una aplicación controlada por los atacantes.
- Los criminales reciben un token de autorización. Nunca necesitaron la contraseña.
Con ese token pueden consultar correos, archivos almacenados en OneDrive o conversaciones de Microsoft Teams. Y como parte del proceso ocurre dentro de un dominio auténtico de Microsoft, el consejo de siempre —"verifica que la dirección sea la correcta"— deja de ser suficiente.
La lección práctica cambia de forma: ya no basta con revisar dónde estás; hay que revisar qué estás autorizando. Si aparece una solicitud de código que nadie pidió, la respuesta correcta es detener el proceso, no completarlo.
La falsa entrevista de trabajo enviada desde un dominio real de Google
El segundo hallazgo del informe es igual de incómodo. Kaspersky detectó invitaciones falsas a entrevistas laborales que se hacían pasar por comunicaciones del equipo de reclutamiento de Google: mensajes que aseguraban que el perfil profesional del destinatario había llamado la atención de la compañía y ofrecían un enlace para agendar una primera conversación.
El detalle que vuelve peligrosa la campaña es la distribución. Los correos se enviaron mediante Google AppSheet, una plataforma legítima propiedad de Google, y llegaron desde una dirección auténtica del servicio. Los atacantes no falsificaron el remitente: abusaron de una herramienta real para repartir contenido fraudulento. El enlace, en cambio, conducía a un sitio de phishing diseñado para recopilar credenciales e información personal.
Es un patrón que ya hemos documentado en otros contextos: las estafas de reclutamiento en línea explotan la combinación de halago profesional y urgencia, una mezcla especialmente efectiva en temporadas de alta movilidad laboral. La verificación correcta es simple y siempre la misma: buscar la vacante en el sitio oficial de la empresa antes de hacer clic en cualquier enlace.
Por qué funciona: la rutina apaga la sospecha
Lisandro Ubiedo, investigador de seguridad senior del equipo GReAT de Kaspersky, plantea que los ciberdelincuentes ya no necesitan mensajes extraordinarios para captar atención: les basta imitar acciones habituales del entorno laboral, como abrir una invitación, consultar un archivo compartido o validar un acceso. Cuando esas interacciones se vuelven automáticas, disminuye la atención con la que se revisa cada solicitud.
Ese es el verdadero vector. No la sofisticación técnica, sino el hecho de que un empleado promedio abre decenas de invitaciones y documentos compartidos por semana y no puede examinar cada uno con lupa. Una sola acción rutinaria de una persona puede convertirse en la puerta de entrada para comprometer cuentas corporativas, acceder a información sensible o extender el ataque a otros sistemas.
Coincide con lo que ya señalábamos en nuestro análisis sobre por qué el factor humano sigue siendo el mayor riesgo: la tecnología de protección avanza más rápido que los hábitos.
Cinco medidas concretas
- No confíes en un mensaje solo porque menciona una plataforma conocida. Revisa quién envía y a dónde apunta el enlace antes de abrir una invitación o un documento compartido.
- Confirma por otro canal. Ante una solicitud inesperada, escribe o llama a la persona por una vía distinta a la del mensaje recibido.
- Lee qué estás autorizando. Un código de inicio de sesión que no pediste, o una aplicación que solicita permisos inesperados sobre tu correo o archivos, es motivo suficiente para detenerse. Que la página sea legítima no significa que la solicitud lo sea.
- Higiene básica de cuentas. Contraseñas distintas por servicio, autenticación multifactor activada y sistema operativo, navegador y aplicaciones de trabajo siempre actualizados.
- Solución de seguridad con detección de phishing. Kaspersky recomienda herramientas que identifiquen páginas fraudulentas y archivos maliciosos, con monitoreo de comportamiento en tiempo real. Vale la aclaración: la recomendación proviene de la propia empresa que publica el informe, y cualquier solución equivalente de un proveedor reconocido cumple la misma función.
Preguntas frecuentes
¿Qué es el phishing por código de dispositivo? Es una técnica en la que el atacante genera un código de autenticación válido y engaña a la víctima para que lo introduzca en una página oficial de inicio de sesión. Al aprobar la solicitud, el usuario autoriza una aplicación controlada por los criminales, que obtienen un token de acceso sin conocer la contraseña.
¿La autenticación multifactor protege contra este ataque? No por sí sola. La víctima puede completar el proceso con MFA activa y aun así autorizar el acceso, porque el engaño ocurre en el paso de autorización, no en el de contraseña.
¿Cómo detecto una invitación falsa a una entrevista de trabajo? Verificando la vacante directamente en el portal de empleo oficial de la empresa. Un remitente legítimo no garantiza nada: los atacantes distribuyeron correos fraudulentos usando una plataforma real de Google.
¿Por qué Zoom encabeza la lista de suplantaciones? Por volumen de uso y por contexto: una invitación a videollamada es una de las comunicaciones más frecuentes en la jornada laboral, lo que la vuelve fácil de camuflar entre mensajes auténticos.
¿Qué debo hacer si ya autoricé una aplicación sospechosa? Revisar y revocar de inmediato los accesos concedidos en la configuración de seguridad de la cuenta, cambiar la contraseña, cerrar todas las sesiones activas y notificar al área de TI de tu organización.