Pilar de investigación
Phishing y Suplantación
Correos, SMS, RCS e iMessage que suplantan bancos, gobiernos y plataformas reales para robar credenciales y datos de pago — la infraestructura técnica detrás del engaño.
Microsoft desarma tres servicios de phishing chinos ligados a más de mil millones de correos y SMS: multas de tránsito, peajes y cuentas de universidades secuestradas
El 14 de octubre de 2026, Microsoft y Health-ISAC obtuvieron una orden judicial para incautar dominios de YAM Store, CoGUI e Iron Man, tres servicios de phishing en chino vinculados a más de mil millones de correos y SMS enviados a más de 75.000 organizaciones desde enero. Explicamos cómo funcionaban, qué señuelos usaban y por qué el golpe cubre solo una parte de la red.
Leer expediente→Le subieron una foto falsa a su ficha de Google con otro teléfono — pensada para que sus clientes llamen a un estafador, no a su negocio
Una cuenta de Google Maps acumulaba más de 150 contribuciones de fotos a negocios sin relación entre sí en Estados Unidos, con un número de teléfono incorrecto superpuesto en las imágenes, pensadas para desviar las llamadas de quienes creen contactar al negocio real. No es un caso aislado: en 2023 el mismo esquema, con otro método, afectó las fichas de Google de aerolíneas como Delta y American Airlines.
Leer expediente→Una alerta falsa de que tu cuenta de Zoom será desactivada ya acumula más de 1.000 correos maliciosos detectados, también contra empresas de América Latina
Kaspersky detectó una campaña de phishing que suplanta a DocuSign y Zoom para robar credenciales corporativas, incluidas cuentas en América Latina, con más de 1.000 correos maliciosos detectados hasta el 11 de septiembre (la cifra corresponde a toda la operación). La campaña evolucionó de suplantar a DocuSign a advertir sobre una supuesta desactivación de cuenta de Zoom, para generar urgencia.
Leer expediente→Por $1.500 más $500 al mes se rentaba el kit de phishing que se metió en 12.000 bandejas de entrada corporativas
Microsoft documentó EvilTokens, una plataforma de 'phishing como servicio' que por una cuota inicial de $1.500 dólares y $500 mensuales ofrecía plantillas listas, páginas falsas y un asistente de IA para redactar el señuelo. Comprometió más de 12.000 bandejas de entrada en más de 10.000 organizaciones, con la mayor actividad en seis países, explotando un mecanismo legítimo de inicio de sesión que no depende de robar ninguna contraseña.
Leer expediente→El cable espía que roba tus datos existe de verdad — el que dicen que te van a dejar tirado en la calle, no tanto
Circula una alerta que advierte no levantar cables USB abandonados en la calle porque podrían robarte contraseñas. La tecnología detrás —un cable de carga con un chip espía adentro— es real y está bien documentada. Lo que no hay son casos públicos confirmados de alguien infectado así. Separamos lo verificable de lo que es puro rumor reciclado.
Leer expediente→El código QR de la multa que tienes pegada en el parabrisas puede ser el robo, no la infracción
El phishing con códigos QR —'quishing'— creció 146% en un solo trimestre según Microsoft, y ya no vive solo en tu bandeja de entrada: en Costa Rica autoridades y municipalidades alertaron sobre avisos de multa de estacionamiento falsos, con un código QR, dejados bajo el limpiaparabrisas. Así funciona el mecanismo, en su versión digital y en su versión física.
Leer expediente→Un carácter que no puedes ver rompe la palabra "funding" para colarse en tu bandeja de entrada
Microsoft documentó una campaña de phishing financiero que llegó a 2.3 millones de correos en un solo día, usando una técnica que nació en los ataques contra inteligencia artificial: caracteres Unicode invisibles que rompen una palabra por dentro sin que se note a simple vista, pero que bastan para esquivar cualquier filtro que busque coincidencias exactas.
Leer expediente→El 2FA no te protege de esto: así te roba la sesión un kit de phishing que se alquilaba desde $120
Tycoon2FA no te roba la contraseña: te roba la sesión completa, después de que ya pasaste la verificación en dos pasos. Microsoft documentó cómo este kit de phishing-como-servicio operó a escala de decenas de millones de mensajes mensuales antes de que lo tumbaran junto con Europol en marzo de 2026 — y, según eSentire, cómo volvió semanas después.
Leer expediente→La multa de tránsito que te llega por SMS no es del gobierno: se parece a la operación de phishing que actúa en al menos 121 países
La SSPC de México alertó sobre SMS de 'multas de tránsito' que en realidad son phishing. Se parece a una operación de phishing-como-servicio documentada globalmente (Smishing Triad, al menos 121 países), con kits que llegaron a mapear más de 20.000 dominios, mensajería cifrada para evadir filtros y suscripciones mensuales; la SSPC no atribuye el caso mexicano a ningún grupo.
Leer expediente→El correo que dice que tu cuenta publicitaria se suspende en 24 horas es falso — y sigue circulando
Recibimos directamente uno de estos correos: remitente falso, asunto que imita una 'verificación de identidad' de Meta y un plazo de 24 horas para presionar al que administra la cuenta. No es un caso aislado: medios de verificación de Argentina y España han documentado variantes del mismo engaño.
Leer expediente→