Miles de correos y una falsa llamada de soporte: el ciberataque que aprovecha la confianza de los empleados
Retarus alerta del aumento de ataques que saturan las bandejas de entrada con miles de mensajes aparentemente legítimos para después hacerse pasar por el departamento de TI. La técnica combina sobrecarga digital e ingeniería social y plantea un nuevo reto para la formación y la seguridad de las organizaciones.
NOTICIA
Imaginemos que un empleado comienza su jornada y descubre que su bandeja de entrada está recibiendo cientos de correos electrónicos. En cuestión de horas, los mensajes se multiplican hasta hacer prácticamente imposible trabajar con normalidad.
Poco después, recibe una llamada o un mensaje a través de Microsoft Teams. Alguien que asegura pertenecer al departamento de soporte técnico le explica que ha detectado el problema y se ofrece a solucionarlo.
La situación parece razonable. El empleado necesita recuperar su correo y, aparentemente, alguien de la propia empresa está intentando ayudarle.
Pero esa llamada puede ser precisamente el verdadero objetivo del ataque.
Retarus, compañía especializada en comunicaciones empresariales seguras, ha alertado de una modalidad de ciberataque que combina el denominado inbox bombing —el bombardeo masivo de correos electrónicos— con técnicas de suplantación de identidad e ingeniería social.
El objetivo no es simplemente bloquear la bandeja de entrada. Es crear una situación de caos para que el empleado confíe en un falso técnico y termine facilitando credenciales, códigos de autenticación o acceso remoto a su equipo.
La advertencia pone sobre la mesa una cuestión relevante para Recursos Humanos: la seguridad digital ya no depende únicamente de reconocer correos sospechosos. También exige saber cómo reaccionar cuando alguien ofrece ayuda en medio de una situación de presión.
Hasta 3.000 correos en un día para un solo empleado
Según Retarus, sus especialistas en seguridad están observando un aumento de este tipo de ataques.
En uno de los incidentes detectados, alrededor de doce empleados recibieron individualmente entre 2.000 y 3.000 correos electrónicos en una sola jornada.
En conjunto, la organización afectada llegó a recibir más de 30.000 mensajes diarios como consecuencia de la campaña.
A diferencia de otros ataques de phishing, los mensajes utilizados en esta primera fase no tienen por qué incluir enlaces fraudulentos ni archivos maliciosos.
Los ciberdelincuentes recurren a suscripciones a boletines informativos, notificaciones y otros mensajes aparentemente inofensivos. Además, utilizan diferentes remitentes, destinatarios y subdominios para dificultar la identificación de un patrón común.
Esto explica por qué los filtros tradicionales pueden tener dificultades para detener la campaña.
Cada correo, analizado de manera individual, puede parecer legítimo.
La amenaza no está necesariamente en el contenido de un mensaje, sino en el volumen y en la intención que existe detrás del conjunto.
Primero crean el problema. Después ofrecen la solución
El verdadero riesgo aparece en la segunda fase del ataque.
Una vez que la bandeja de entrada está saturada, los delincuentes contactan con la víctima haciéndose pasar por el servicio técnico de su organización.
Pueden utilizar una llamada telefónica o herramientas habituales de comunicación corporativa, como Microsoft Teams.
La supuesta asistencia puede incluir peticiones para compartir credenciales, proporcionar códigos de autenticación multifactor o instalar programas de acceso remoto.
«Los bombardeos de correos electrónicos no solo tienen como objetivo entorpecer el trabajo de un empleado. Los atacantes crean el caos y luego se presentan como los únicos que pueden resolverlo», explica Yeray Fraga, director general de Retarus España.
El directivo advierte de que esta técnica convierte una incidencia aparentemente operativa en una oportunidad para comprometer los sistemas de la empresa.
El mecanismo se apoya en una reacción humana comprensible.
Cuando una persona lleva horas intentando trabajar entre miles de mensajes, la llegada de alguien que afirma tener una solución puede generar alivio.
Y precisamente esa combinación de urgencia, frustración y confianza es la que los atacantes intentan aprovechar.
La ingeniería social ya no empieza siempre con un correo sospechoso
Durante años, buena parte de la formación en ciberseguridad se ha centrado en enseñar a los empleados a identificar señales habituales de phishing: direcciones extrañas, errores ortográficos, enlaces desconocidos o archivos adjuntos inesperados.
Estas recomendaciones siguen siendo útiles, pero ataques como el descrito por Retarus muestran sus límites.
En este caso, el correo masivo funciona como una distracción. El intento de engaño llega después, por otro canal y bajo una identidad aparentemente legítima.
La persona no recibe necesariamente un mensaje que le pide directamente una contraseña.
Primero experimenta un problema real. Después aparece alguien que asegura poder resolverlo.
La confianza deja de construirse únicamente a través de la apariencia del mensaje y pasa a apoyarse en el contexto que el propio atacante ha provocado.
Esto hace especialmente importante que los empleados conozcan los procedimientos internos de asistencia y sepan cómo verificar la identidad de quien les solicita una acción relacionada con la seguridad.
También exige evitar una idea peligrosa: considerar que cualquier error humano en un incidente de ciberseguridad es simplemente consecuencia de una falta de atención.
Los ataques están diseñados precisamente para influir en el comportamiento de las personas bajo determinadas circunstancias.
Por qué los filtros antispam pueden no ser suficientes
Desde el punto de vista tecnológico, Retarus señala que la defensa frente al inbox bombing requiere analizar algo más que el contenido de los correos.
Cuando los mensajes son aparentemente legítimos, resulta necesario observar patrones anómalos en el tráfico: incrementos repentinos del volumen recibido, cambios en las tasas de cuarentena o comportamientos inusuales relacionados con la autenticación.
La compañía propone combinar esa información con datos procedentes de sistemas de identidad, herramientas de comunicación corporativa y dispositivos de los empleados.
El objetivo es detectar si una avalancha de mensajes coincide con contactos sospechosos de supuestos técnicos o con intentos de acceder a los sistemas.
En este contexto, Retarus destaca las capacidades de monitorización de su solución Email Security y de herramientas como myEAS Email Live Search, que permiten investigar el tráfico por remitentes, direcciones IP, asuntos y periodos de tiempo.
También señala la utilidad de integrar estos datos en plataformas de seguridad y monitorización como Splunk, Elastic, Grafana o Dynatrace.
Pero la tecnología, por sí sola, no elimina el riesgo.
Una organización puede identificar rápidamente una anomalía y, aun así, sufrir un incidente si un empleado entrega sus credenciales a alguien que aparenta estar ayudándole.
Qué deberían revisar los departamentos de Recursos Humanos
Aunque la detección y contención técnica corresponde principalmente a los equipos de TI y ciberseguridad, este tipo de amenazas tiene implicaciones claras para la gestión de personas.
La primera está relacionada con la formación.
No basta con enseñar a reconocer mensajes fraudulentos. También es necesario preparar a los profesionales para situaciones en las que el engaño llega acompañado de una urgencia aparentemente real.
La segunda tiene que ver con los procedimientos.
Los empleados deberían saber cómo contactar con el soporte técnico por canales previamente establecidos y cómo comprobar una solicitud inesperada de credenciales, códigos de autenticación o instalación de software.
La tercera afecta a la cultura organizativa.
Si las personas temen ser culpabilizadas por comunicar una situación sospechosa o reconocer que han seguido una instrucción incorrecta, pueden retrasar la notificación del incidente.
Y en ciberseguridad, ese retraso puede ser decisivo.
Por eso, además de contar con protocolos claros, las empresas necesitan entornos donde resulte sencillo pedir ayuda, plantear dudas y comunicar errores sin miedo a una reacción desproporcionada.
La confianza interna, bien gestionada, también puede convertirse en una herramienta de prevención.
La urgencia no debería sustituir a los procedimientos
Yeray Fraga insiste en que la respuesta debe combinar tecnología y pautas claras de actuación para los empleados.
«Detectar y contener rápidamente una avalancha de mensajes es tan importante como evitar que la urgencia lleve a las personas a confiar en un supuesto experto técnico», señala.
El directivo recuerda que los canales de asistencia establecidos deben seguir siendo la referencia, especialmente cuando alguien solicita contraseñas, códigos de autenticación o acceso remoto.
Esta recomendación resulta particularmente relevante porque los atacantes no necesitan necesariamente que la víctima desconozca los riesgos de la ciberseguridad.
En ocasiones, basta con que se encuentre bajo presión y considere que la situación requiere una solución inmediata.
De ahí la importancia de normalizar una respuesta que, en otros contextos laborales, puede resultar incómoda: detenerse, verificar y no actuar hasta tener la certeza de que la petición es legítima.
La ciberseguridad también es una cuestión de cultura
La advertencia de Retarus refleja una evolución de las amenazas digitales.
Los ciberdelincuentes no siempre intentan superar directamente las barreras tecnológicas. A veces construyen una situación que lleva a las personas a abrirles la puerta.
Para Recursos Humanos, esta realidad plantea un desafío que va más allá de organizar cursos periódicos de concienciación.
La seguridad también depende de cómo se trabaja, qué procedimientos conocen los empleados, cómo se gestiona la presión y qué sucede cuando alguien necesita verificar una instrucción.
Una cultura que premia responder inmediatamente a cualquier petición puede facilitar que determinadas urgencias se acepten sin cuestionarlas.
En cambio, una organización que permite comprobar, preguntar y comunicar situaciones sospechosas dispone de una defensa adicional frente a la ingeniería social.
El inbox bombing muestra que un ataque informático puede comenzar con miles de correos legítimos y terminar dependiendo de una única conversación.
Y deja una lección especialmente relevante para las empresas: proteger los sistemas es imprescindible, pero también lo es construir condiciones para que las personas puedan tomar buenas decisiones cuando alguien intenta aprovecharse de su confianza.