Los ataques de phishing siguen representando una amenaza importante para las organizaciones en 2025. Los atacantes están utilizando cada vez más técnicas basadas en la identidad, lo que hace que el phishing sea aún más peligroso.
El uso de kits de phishing que eluden la autenticación multifactor (MFA) está convirtiéndose en una norma. Estos kits permiten realizar ataques a cuentas protegidas por SMS, OTP y métodos push, lo que pone bajo presión los controles de detección.
Un desafío clave es la dificultad para detectar estos ataques. Según los indicadores utilizados en la industria, prácticamente cada ataque de phishing es único y utiliza una combinación distinta de dominio, URL, IP, composición de la página, aplicación de destino, etc. En efecto, cada ataque de phishing es completamente nuevo.
El objetivo no es sensacionalizar los ataques de phishing, sino todo lo contrario. Esto arroja luz sobre el estado actual de los controles de detección de phishing. Si todos los ataques son de día cero, algo ha fallado en la forma en que se detectan.
Detección de phishing 101
La mayoría de los ataques de phishing implican el envío de un enlace malicioso a un usuario. Este hace clic y carga una página maliciosa, generalmente un portal de inicio de sesión para robar la cuenta.
La detección de phishing se basa en listas de bloqueo compuestas por indicadores de compromiso (IoC) relacionados con páginas de phishing identificadas como maliciosas. Estos IoC incluyen dominios, URL e IP maliciosos.
Los proveedores de seguridad recopilan los IoC desde diversas fuentes. Sin embargo, la página maliciosa debe utilizarse en una campaña para ser detectada. Esto significa que una posible víctima debe interactuar con ella o reportarla como sospechosa.
Una vez que una página se marca, puede investigarse manualmente o automáticamente. Si se puede acceder a la página y analizarla, y se encuentra contenido malicioso, se pueden recopilar los IoC y agregarlos a una lista de bloqueo.
Esta información comienza a circular entre las fuentes de inteligencia de amenazas y productos de seguridad que la utilizan.
La mayor parte de la detección y el control del phishing se centra en la capa de correo electrónico y red, generalmente una puerta de enlace, proxy o firewall.
Siguiendo este patrón, es posible ver la raíz del problema. Para detectar y bloquear una página de phishing, primero debe usarse en un ataque.
¿Por qué la mayoría de los ataques de phishing son completamente novedosos?
Los atacantes saben que la detección y el bloqueo de phishing:
- Se basa en la inclusión en listas de bloqueo de IoC como dominios, URL e IP.
- Se ubica en la capa de correo electrónico y red.
- Requiere que se acceda a una página y se analice antes de poder bloquearla.
Estos métodos han permanecido prácticamente sin cambios durante más de una década. Por lo tanto, es lógico que los atacantes estén volviéndose bastante hábiles para evitarlos.
Es fácil para los atacantes evadir las detecciones basadas en IoC
Los dominios de phishing son altamente desechables. Los atacantes los compran al por mayor, apropiándose constantemente de dominios legítimos y previendo el hecho de que podrán acceder a muchos de ellos.
La arquitectura moderna de phishing también permite rotar y actualizar dinámicamente elementos comúnmente firmados. Por ejemplo, rotando los enlaces que se muestran a los visitantes desde un conjunto que se actualiza continuamente o utilizando enlaces (magic-link) de uso único.
Se podría comprobar la dirección IP a la que se conecta el usuario, pero hoy en día es muy sencillo para los atacantes añadir una nueva IP a su servidor alojado en la nube. Si un dominio se marca como malicioso, el atacante solo tiene que registrar un nuevo dominio o comprometer un servidor WordPress en un dominio ya de confianza.
En definitiva, esto significa que las listas de bloqueo no son tan efectivas, ya que es trivial para los atacantes cambiar los indicadores que se utilizan para crear detecciones.
El phishing no solo ocurre por correo electrónico
Para evadir las detecciones basadas en correo electrónico, los atacantes utilizan múltiples canales y vectores. Por ejemplo, un mensaje en redes sociales que envía un PDF no malicioso con un enlace incrustado, finalmente redirige a una página web maliciosa.
También cabe destacar las limitaciones de las soluciones basadas en correo electrónico. El correo cuenta con comprobaciones adicionales sobre la reputación del remitente y herramientas como DMARC/DKIM, pero estas no identifican páginas maliciosas.
De igual forma, algunas soluciones modernas realizan análisis más profundos del contenido de un correo electrónico. Sin embargo, esto no ayuda a identificar los sitios de phishing en sí (solo indica que uno podría estar enlazado en el correo).
Ni las herramientas basadas en correo electrónico ni en red pueden determinar con certeza que una página es maliciosa a menos que puedan acceder a ella y analizarla.
Los atacantes impiden que sus páginas sean analizadas
Tanto las soluciones basadas en correo electrónico como en red se basan en la capacidad de inspeccionar y analizar una página para identificar si es maliciosa o no. Tras ello, se generan indicadores de comportamiento (IoC) que se pueden aplicar al hacer clic en un enlace.
Las páginas de phishing modernas no son HTML estático; son aplicaciones web dinámicas que se renderizan en el navegador, con JavaScript reescribiendo dinámicamente la página y ejecutando el contenido malicioso. Esto significa que la mayoría de las comprobaciones estáticas básicas no logran identificar el contenido malicioso.
Para solucionar esto, tanto las herramientas de seguridad de correo electrónico como de red intentarán explotar enlaces en un entorno de pruebas para observar el comportamiento de la página. Pero los atacantes están evadiendo este problema simplemente implementando protección contra bots al requerir la interacción del usuario con un reCAPTCHA o Cloudflare Turnstile.
Incluso si se logra superar el CAPTCHA, se necesita proporcionar los parámetros y encabezados de URL correctos y ejecutar JavaScript para que se te muestre la página maliciña. Esto significa que un defensor que conozca el nombre de dominio no puede descubrir el comportamiento malicioso con solo realizar una simple solicitud HTTP(S).
Y por si fuera poco, también están ofuscando elementos visuales y DOM para evitar que las detecciones basadas en firmas los detecten; por lo tanto, incluso si logras acceder a la página, existe una alta probabilidad de que tus detecciones no se activen.
Los ataques de phishing son novedosos porque la detección de phishing es post mortem
El resultado de estas técnicas de evasión y ofuscación de la detección es que la detección de phishing en tiempo real es prácticamente inexistente.
En el mejor de los casos, una solución basada en proxy podría detectar comportamiento malicioso a través del tráfico de red generado por el usuario que interactúa con la página. Sin embargo, debido a la complejidad de reconstruir las solicitudes de red después del cifrado TLS, esto suele ocurrir con un retraso y no es totalmente fiable.
Si una página es marcada, generalmente se requiere una investigación más exhaustiva por parte del equipo de seguridad para descartar falsos positivos e iniciar una investigación. Esto puede tardar horas, en el mejor de los casos, probablemente días.
Una vez que una página se identifica como maliciosa y se crean los indicadores de comportamiento (IoC), pueden pasar días o incluso semanas antes de que la información se distribuya, se actualicen los feeds de TI y se incorpore a las listas de bloqueo.
¿El resultado? La mayoría de los ataques de phishing son completamente novedosos, ya que la detección de phishing es inherentemente post mortem: se basa en ataques conocidos. ¿Cómo se convierte algo en un ataque conocido? Cuando un usuario es víctima de phishing.
Para solucionar la detección de phishing, se necesita análisis en tiempo real
Es evidente que la forma en que detectamos y bloqueamos los ataques de phishing presenta deficiencias fundamentales. La buena noticia es que ya hemos pasado por esto.
Cuando los ataques a endpoints se dispararon a finales de la década de 2000 y principios de la de 2010, se aprovecharon de que los defensores intentaban detectar malware principalmente con detecciones basadas en red, análisis de archivos basados en firmas y la ejecución de archivos en entornos aislados. Sin embargo, esto dio paso a los EDR, que ofrecen una mejor forma de observar e interceptar software malicioso en tiempo real.
La clave aquí fue acceder al flujo de datos para poder observar la actividad en tiempo real en el endpoint. Hoy nos encontramos en una situación similar. Los ataques de phishing modernos se producen en páginas web a las que se accede a través del navegador, y las herramientas de las que dependemos (correo electrónico, red e incluso endpoint) carecen de la visibilidad necesaria.
En muchos sentidos, el navegador es el nuevo sistema operativo. Es donde se realiza principalmente el trabajo moderno y donde también se producen los ataques.
Para detener los ataques de phishing en el momento en que ocurren, necesitamos poder observar la página en tiempo real, tal como la ve el usuario desde el navegador. No en un entorno aislado, sino viendo la página real al mismo tiempo que el usuario.
Solo así podremos desarrollar los controles de detección y contención necesarios para que el phishing supere el juego del gato y el ratón actual, donde los atacantes siempre van dos pasos por delante.
El futuro de la detección y respuesta al phishing se basa en el navegador
Actualmente hay soluciones de seguridad de identidad basada en navegador que interceptan los ataques de phishing en el momento en que ocurren, en los navegadores de los empleados. Estar en el navegador ofrece numerosas ventajas a la hora de detectar e interceptar ataques de phishing.
Se ve la página web en vivo que el usuario ve, tal como la ve, lo que significa una visibilidad mucho mejor de los elementos maliciosos que se ejecutan en la página. También significa que se pueden identificar y bloquear los ataques antes de que causen daño.