Proteger su correo corporativo con soluciones especializadas, capacitar de forma regular a sus empleados, combinar tecnología con concientización, mantener al equipo informado sobre nuevas amenazas, realizar simulaciones controladas de phishing y activar la autenticación multifactor en las cuentas más sensibles para evitar ser víctimas de la nueva campaña que utiliza falsas comunicaciones de Zoom y DocuSign para atacar cuentas corporativas son las acciones que deben implementar las organizaciones en Latinoamerica.
Los ciberdelincuentes atacan a usuarios en la región mediante correos electrónicos diseñados para robar datos de tarjetas de crédito, credenciales e información personal.
Así lo identificaron expertos de Kaspersky al analizar una campaña de phishing que continúa activa y que demuestra que los métodos de engaño más sencillos siguen representando un riesgo real para las empresas.
La primera oleada de ataques utilizó correos que simulaban ser comunicaciones oficiales de DocuSign y alcanzó cuentas corporativas de usuarios en la región, con enlaces de phishing que dirigían a páginas falsas diseñadas para robar sus credenciales.
La campaña también fue detectada en otras regiones del mundo, entre ellas Medio Oriente, Europa Occidental, Rusia, Armenia y Azerbaiyán. Hasta el 11 de septiembre, Kaspersky ya había detectado más de mil correos electrónicos de phishing asociados con esta operación.
El hallazgo confirma que, incluso en un contexto de amenazas cada vez más sofisticadas, las técnicas más básicas de engaño siguen siendo efectivas para los ciberdelincuentes.
Poco más de una semana después de la primera oleada, los expertos identificaron una segunda tanda de ataques, que también continúa activa.
En esta ocasión, los atacantes suplantan a Zoom y envían falsas notificaciones en las que advierten a los usuarios que sus cuentas están a punto de ser deshabilitadas.
La intención es generar una sensación de urgencia para que los usuarios actúen rápidamente.
Los mensajes emplean dos mecanismos de engaño distintos:
Esta doble modalidad amplía las posibilidades de éxito del ataque, ya que no depende de un único punto de falla para concretar el robo de información.
La apelación a la urgencia, sumada al uso de marcas reconocidas y utilizadas a diario en el entorno laboral, es una de las técnicas de ingeniería social más efectivas dentro del arsenal de los ciberdelincuentes.
El riesgo para las empresas va más allá de que un solo empleado caiga en el engaño inicial: si los atacantes consiguen acceder a una cuenta corporativa, pueden utilizarla para consultar información sensible, suplantar al usuario y enviar mensajes fraudulentos desde una cuenta legítima.
Esto aumenta considerablemente las posibilidades de engañar a otros colaboradores o contactos de la organización, y genera un efecto cadena dentro de la misma empresa.
Además, cuando las mismas credenciales se reutilizan en distintos servicios, una sola cuenta comprometida puede facilitar el acceso no autorizado a otras plataformas corporativas.
Leandro Cuozzo, analista senior de Seguridad del Equipo Global de Investigación y Análisis de Kaspersky para América Latina, advierte que "el hecho de que esta campaña haya alcanzado cuentas corporativas en América Latina demuestra que las empresas de la región deben seguir prestando atención incluso a las modalidades de phishing que parecen más conocidas".
Y agrega: "Los atacantes aprovechan marcas y herramientas que forman parte de la rutina laboral para generar confianza y conseguir que un empleado haga clic, entregue sus credenciales o comparta información sensible".
Cuozzo enfatiza que la protección de las organizaciones no puede depender únicamente de que una persona identifique el engaño y resalta como fundamental combinar capacitación con tecnologías capaces de detectar y bloquear estas amenazas antes de que lleguen al usuario.
Esta afirmación resume el enfoque que recomienda la compañía frente a este tipo de campañas, que combinan simplicidad técnica con un alto nivel de efectividad.
Entre las herramientas tecnológicas sugeridas, Kaspersky menciona soluciones como Kaspersky Security for Mail Server, que utiliza heurísticas avanzadas para identificar tanto técnicas tradicionales de phishing como intentos creados con ayuda de inteligencia artificial.
Para empresas más pequeñas, la compañía también ofrece Kaspersky Small Office Security Premium, que ayuda a bloquear enlaces maliciosos y estafas de phishing, e incluye herramientas de concientización en seguridad para capacitar al personal.
La combinación de tecnología específica y formación continua es –según los expertos– la única estrategia capaz de reducir de forma efectiva el riesgo asociado al factor humano dentro de las organizaciones.
Para mantener protegido el entorno corporativo, los expertos de Kaspersky recomiendan una serie de medidas concretas y complementarias entre sí.
La primera es proteger el correo corporativo con soluciones especializadas, capaces de bloquear spam, archivos maliciosos y las distintas modalidades de phishing que circulan actualmente.
La segunda es capacitar de forma regular a los empleados, ya que la formación en ciberseguridad ayuda a reconocer mensajes sospechosos, intentos de suplantación y otras señales de alerta antes de interactuar con ellos.
También se recomienda mantener al equipo informado sobre nuevas amenazas, recordando periódicamente que los ciberdelincuentes pueden hacerse pasar por servicios y plataformas legítimas de uso diario en el trabajo.
Otra medida clave es realizar simulaciones controladas de phishing, que permiten evaluar qué tan preparados están los empleados para reconocer un intento de fraude e identificar los grupos que requieren capacitación adicional.
Finalmente, Kaspersky recomienda activar la autenticación multifactor (MFA), especialmente en cuentas corporativas y usuarios con privilegios elevados, utilizando siempre que sea posible métodos resistentes al phishing, como tokens de seguridad o notificaciones push.