Los correos electrónicos son una de las principales vías de ataque de los ciberdelincuentes y con la inteligencia artificial tienen más herramientas para crear estafas que sean más convincentes.

Esta variante de phishing afecta tanto a los usuarios comunes como a las empresas, ya que los trabajadores son un blanco para llegar al interior de las organizaciones.

Hasta hace poco, los ataques de phishing solían caracterizarse por errores en el idioma, enlaces sospechosos o solicitudes extrañas. Estas señales permitían a los usuarios identificar y evitar posibles fraudes. Sin embargo, científicos de Microsoft han identificado una tendencia preocupante: los ciberdelincuentes ahora usan IA para perfeccionar sus correos maliciosos, lo que dificulta distinguir entre mensajes auténticos y fraudulentos.

Según un informe de la compañía, se detectó una campaña en la que los atacantes utilizaron cuentas de correo comprometidas de pequeñas empresas para distribuir mensajes fraudulentos. Estos correos buscaban engañar a las víctimas, solicitando sus datos confidenciales bajo la apariencia de legítimas notificaciones de uso compartido de archivos.

A diferencia de las estafas tradicionales, los correos empleaban archivos adjuntos SVG camuflados como PDF para eludir filtros de seguridad y aprovecharse de la confianza de los usuarios.

Los archivos SVG, o gráficos vectoriales escalables, sirven normalmente para mostrar imágenes en la web. Estos archivos tienen la particularidad de soportar scripts, como JavaScript, permitiendo a los ciberdelincuentes ocultar código malicioso. En la campaña identificada, el archivo SVG incorporaba un sofisticado método de ofuscación, es decir, disfrazaba sus intenciones reales.

En lugar de recurrir al clásico cifrado o a “palabrotas” sin sentido, el código incrustado empleaba términos propios del ámbito empresarial, como ‘ingresos’, ‘acciones’ u ‘operaciones’.

Estos conceptos se entrelazaban en secuencias extensas simulando metadatos propios de un gráfico financiero. Visualmente, el archivo pretendía ser un gráfico de rendimiento de negocios, con barras y etiquetas de meses. Sin embargo, todos los elementos poseían opacidad cero y relleno transparente, haciendo que el gráfico y los términos fueran invisibles para el usuario promedio.

Una vez abierto el archivo SVG, el usuario era redirigido a una página web diseñada para robar credenciales. Antes de llegar al sitio falso, la víctima encontraba una pantalla que solicitaba la resolución de un CAPTCHA, una táctica que busca ganar tiempo y generar confianza, al parecer una medida legítima de seguridad. Superada esta barrera, todo apunta a que se presentaba un formulario falso de inicio de sesión para sustraer los datos de acceso.

El código oculto en el SVG, usando pares y secuencias de palabras empresariales, era decodificado por un script JavaScript. De ese modo, el archivo ejecutaba acciones como el seguimiento de la sesión del navegador y la recolección de información del entorno. Todo, bajo la apariencia de un simple gráfico que, al abrirse, lucía vacío o inofensivo.

Frente a estas tácticas avanzadas, la identificación de correos fraudulentos se torna mucho más compleja. No obstante, existen algunas señales que aún pueden ser útiles:

• Tipos o nombres de archivos sospechosos: si se recibe un documento con extensión SVG que intenta parecer un PDF, debe sospecharse. Los intercambios legítimos rara vez emplean SVG para documentos de negocios.
• Uso de direcciones propias y BCC: los ciberdelincuentes suelen enviar correos desde la misma dirección del remitente al destinatario o incluyen a los objetivos reales en el campo BCC (con copia oculta) para ocultar la lista de víctimas.
• Redireccionamientos a páginas web externas: un archivo adjunto legítimo no debe llevar al usuario fuera del entorno seguro o pedir la verificación vía CAPTCHA imprevistos.
• Solicitud de credenciales en páginas inusuales: las empresas reconocidas raramente piden reingresar datos de acceso a través de archivos adjuntos o enlaces en correos no solicitados.
• Cambios en el comportamiento habitual de las herramientas de la empresa: si la interacción con archivos o mensajes presenta procesos inéditos, como la aparición de gráficos aparentemente vacíos o notificaciones de seguridad no habituales, se recomienda dudar.