MÉTODO DE ATAQUE
Correo dirigido y phishing — técnicas que superan la MFA
Páginas falsas, adversario en el medio (AiTM), BEC y quishing: cómo el correo y los SMS roban credenciales y sesiones. Los 730.000 informes de Japón y qué funciona.
El phishing es la técnica de intrusión más longeva. El DBIR 2026 lo mantiene en el 16% de los vectores de acceso inicial, mientras el «pretexting» —estafas sobre premisas fabricadas— creció al 6%, alimentando ransomware y extorsión. Japón registró unos 730.000 informes de phishing en el primer semestre de 2026; según la prensa, cerca del 45% de los servidores de distribución estaban en redes chinas.
La técnica evolucionó de «escriba su contraseña en una página falsa» a ataques de intermediario que superan la autenticación multifactor. En el AiTM, el servidor del atacante hace de proxy en tiempo real de la página real de inicio de sesión: el usuario completa una MFA genuina y el atacante roba la cookie de sesión resultante.
En nuestros datos, las fugas iniciadas por phishing son pocas en número, pero la gravedad se dispara cuando un caso deriva en fraude de correo empresarial con autoridad de pago o en accesos no autorizados posteriores.
Los números
16%
Cuota del phishing en el acceso inicial mundial (DBIR 2026, estable)
~730.000
Informes de phishing en Japón, 1.er semestre de 2026 (Agencia Nacional de Policía)
6%
Cuota del pretexting, en expansión (DBIR 2026)
Técnicas explicadas
Páginas de login falsas (cosecha de credenciales)
El clásico: una copia casi perfecta de la página de inicio de sesión recoge usuarios y contraseñas. Los pares robados alimentan el credential stuffing y los mercados clandestinos. Los dominios con un carácter de diferencia (incluido el abuso de IDN punycode) son la norma.
Phishing intermediario (AiTM)
La página alojada por el atacante retransmite al sitio real en tiempo real, así que el usuario completa una MFA genuina. El atacante roba entonces la cookie de sesión posterior a la autenticación y suplanta al usuario: el caso de manual que rompe el «tenemos MFA, estamos seguros».
Fraude de correo empresarial (BEC)
Se suplanta a directivos o proveedores para exigir transferencias urgentes. Suele no implicar compromiso técnico (o usa un buzón robado), evita la detección técnica y la pérdida equivale al importe transferido. Repartir la aprobación de cambios de pago entre varias personas es el control más eficaz.
Phishing con QR (quishing)
Un QR en el correo abre la página falsa en el móvil de la víctima, esquivando el filtrado de URLs del PC de trabajo — y la vigilancia baja en el dispositivo personal.
Robo de cookies de sesión
Robe la cookie que mantiene la sesión posterior a la autenticación y ni la contraseña ni la MFA importan. Es el mecanismo del AiTM y también el favorito de los infostealers que cosechan cookies y tokens guardados. Para aumentar la resistencia de la MFA hay que emparejarla con tokens de hardware (FIDO2).
Flujo del ataque (kill chain)
- Enviar un correo o SMS convincente de apariencia empresarial
- Capturar credenciales en un inicio de sesión o formulario falso
- Usar las credenciales robadas para entrar al sistema real
Datos objetivo: Credenciales de acceso; autorización de pagos y contratos
Tendencias y debate
Como mostró el análisis de la ANP, cerca del 45% de la infraestructura de distribución de los ~730.000 informes de Japón está en el extranjero, sobre todo en redes chinas. Mientras tanto, los textos generados con IA borraron el japonés torpe que antes delataba las estafas: distinguirlas es cada vez más difícil.
La contramedida técnica más potente es la autenticación resistente al phishing. FIDO2/passkeys nunca envían credenciales a un sitio falso y neutralizan la mayoría del phishing, incluido el AiTM. Combínelas con reglas de negocio para pagos y cambios de contrato (aprobación múltiple, confirmación telefónica) contra el BEC.
Contramedidas
Para particulares y pymes
- Nunca inicie sesión desde enlaces de correo o SMS: abra usted mismo el sitio oficial
- Haga los trámites importantes desde marcadores, no desde URLs
- Ante una petición de transferencia, devuelva siempre la llamada a un número conocido (nunca confíe solo en el mensaje)
Para organizaciones (TI)
- Priorice FIDO2/passkeys y migre desde las contraseñas de un solo uso por SMS
- Exija aprobación múltiple y confirmación verbal para cambios de pago y contratos (contra BEC)
- Reescriba URLs en la pasarela, analice adjuntos en sandbox y cree cultura de reporte de correos sospechosos
- Realice simulacros periódicos de correo dirigido — mida la tasa de reporte, no la de apertura
Los pasos concretos por nivel están en la guía →
Incidentes de Correo dirigido y phishing recogidos (12, por impacto)
| Empresa / organización | Divulgado | Escala | Gravedad |
|---|---|---|---|
| カインドオル（ECサイト） | 1 de septiembre de 2026 | 136.464 personas | S |
| Axcelead Drug Discovery Partners株式会社 | 21 de julio de 2026 | 7000 registros | S |
| 株式会社講談社 | 2 de agosto de 2026 | 3812 registros | B |
| 株式会社マリモホールディングス | 5 de marzo de 2026 | 1360 personas | B |
| 株式会社じほう | 25 de febrero de 2026 | 890 registros | B |
| 株式会社八十二長野銀行 | 18 de octubre de 2026 | 672 registros | B |
| 東京都立大学（教員のGoogleアカウント） | 7 de enero de 2026 | 423 registros | S |
| 株式会社JEMS | 25 de marzo de 2026 | 223 registros | S |
| 日経BP | 3 de octubre de 2026 | 26 registros | B |
| 日本エネルギー経済研究所 | 1 de octubre de 2026 | 13 registros | S |
| 山口大学（教職員メール） | 5 de octubre de 2026 | 1 cuentas | S |
| 東京計器株式会社 | 26 de abril de 2026 | Desconocido | S |
Métodos relacionados
Métodos de ataque y tendencias (Verizon DBIR 2026, CrowdStrike GTR 2026, ANP / Kyodo, Palo Alto Networks Unit 42, entre otros). Para incidentes concretos, consulte los enlaces de fuente de cada página de incidente.