Una nueva campaña de phishing apunta directamente a empleados de empresas en Latinoamérica, utilizando técnicas cada vez más elaboradas que desafían los sistemas tradicionales de seguridad informática. Kaspersky detecta una ofensiva digital cuidadosamente diseñada para evadir filtros automatizados y engañar incluso a usuarios con experiencia básica en ciberseguridad.
La estrategia emplea correos electrónicos falsos con apariencia legítima, que simulan provenir del departamento de Recursos Humanos. El objetivo es obtener credenciales de acceso a cuentas corporativas, lo que representa una amenaza crítica para la seguridad de las organizaciones.
Una nueva generación de correos engañosos
La diferencia con campañas anteriores está en el nivel de personalización. Cada correo parece estar hecho a la medida del destinatario: incluye su nombre, una insignia falsa de “remitente verificado” y un mensaje convincente que invita a abrir un archivo adjunto supuestamente relacionado con políticas internas, como protocolos de trabajo remoto o administración de beneficios.
Pero el cuerpo del correo, aunque parece texto, en realidad es una imagen. Este truco evita que los filtros de seguridad detecten palabras clave sospechosas. Además, el mensaje incluye elementos visuales profesionales que refuerzan la credibilidad del supuesto remitente.
El archivo adjunto, presentado como una nueva versión del “Manual del Empleado”, también está cuidadosamente elaborado. Contiene una portada, un índice con supuestas actualizaciones resaltadas en rojo, y una página final con un código QR. Este código es el punto crítico del ataque: si la víctima lo escanea, se le redirige a un sitio web fraudulento donde se le solicita ingresar su usuario y contraseña del correo corporativo.
Ingeniería social al máximo nivel
Este tipo de campañas no solo abusa de la confianza del trabajador, sino que también revela un grado importante de preparación por parte de los atacantes. Los nombres de los empleados son recopilados previamente para personalizar cada documento, lo que refuerza la ilusión de que el correo fue generado específicamente para ellos.
Además, los atacantes aprovechan una debilidad ampliamente documentada: la falta de conciencia digital. Según un estudio reciente de Kaspersky, 20% de los usuarios en América Latina admite no saber cómo identificar un correo falso. Este porcentaje es suficiente para convertir una campaña de phishing dirigida en una herramienta eficaz para penetrar sistemas corporativos.
Los códigos QR son otro elemento estratégico. Al usarlos, los cibercriminales eluden los filtros que analizarían una dirección web tradicional. Al no contener un enlace directamente visible en el correo, los sistemas de seguridad tienen más dificultades para bloquear el contenido antes de que llegue a la bandeja del empleado.
Un desafío para las empresas
Los métodos tradicionales de protección, como filtros de spam o antivirus convencionales, no bastan frente a campañas que combinan ingeniería social, manipulación visual y evasión tecnológica. Las empresas necesitan una estrategia más robusta y multifacética que integre tanto tecnología avanzada como formación continua para los empleados.
Uno de los principales riesgos en este tipo de ataques es que basta un solo error humano para comprometer toda una red corporativa. El acceso a una cuenta de correo electrónico puede permitir a los atacantes expandirse lateralmente dentro de la organización, recolectar más datos o incluso preparar ataques de ransomware.
Ante esta realidad, los expertos en ciberseguridad insisten en que el “eslabón humano” sigue siendo el punto más débil. Los empleados no solo deben ser conscientes del riesgo, sino que necesitan herramientas y entrenamiento para reaccionar adecuadamente ante correos sospechosos.
Recomendaciones para reducir el riesgo
Kaspersky propone una serie de medidas prácticas que pueden reducir el impacto de este tipo de campañas:
- Fomentar la verificación activa: los empleados deben aprender a identificar señales típicas de phishing, como mensajes en forma de imagen, inconsistencias en los títulos o archivos con códigos QR sin contexto claro.
- Blindar el correo corporativo: se recomienda implementar soluciones de seguridad específicas para servidores de correo, capaces de analizar en tiempo real el contenido de los mensajes, la reputación de los remitentes y los patrones de comportamiento.
- Proteger todos los dispositivos: cada computadora, portátil o móvil que tenga acceso a la red empresarial debe contar con protección actualizada, incluyendo funciones antiphishing, análisis de comportamiento y defensa contra malware.
- Entrenar constantemente: la formación no puede ser puntual. Se deben ofrecer entrenamientos continuos con simulaciones realistas, como los que brinda la plataforma automatizada de Kaspersky, para que los empleados practiquen cómo actuar ante ataques reales.
Phishing dirigido: la evolución del crimen digital
Este tipo de campañas no se trata de ataques masivos y aleatorios, como los del pasado. Estamos ante una evolución del phishing, donde cada paso es calculado y diseñado para evadir tanto las barreras tecnológicas como las humanas.
La combinación de imagen engañosa, personalización detallada y uso de códigos QR representa una amenaza creciente, especialmente en mercados como el latinoamericano, donde las brechas de ciberseguridad siguen siendo importantes.
La sofisticación de estos ataques plantea una realidad clara: ya no basta con tener buenas herramientas, también se necesita conciencia, análisis crítico y una cultura empresarial centrada en la prevención. La seguridad informática ya no es solo un asunto del departamento de TI, sino una responsabilidad compartida entre todos los miembros de una organización.
Un entorno de riesgo creciente
La tendencia global muestra un aumento constante en los ataques dirigidos a empleados, especialmente en contextos de trabajo remoto o híbrido. Al estar lejos del entorno protegido de las oficinas, muchos trabajadores bajan la guardia, abren correos desde dispositivos personales o no siguen los protocolos establecidos.
Los cibercriminales saben esto y adaptan sus estrategias. Por eso, cada mensaje de phishing es más convincente, más difícil de detectar y más peligroso. Las empresas que no se adapten a esta nueva realidad corren el riesgo de exponer no solo información confidencial, sino también su reputación y continuidad operativa.
Frente a este panorama, la mejor defensa es una combinación de tecnología, capacitación y vigilancia constante. Porque en el mundo digital, una puerta abierta —aunque sea por error— puede tener consecuencias devastadoras.
