Una alerta falsa de que tu cuenta de Zoom será desactivada ya acumula más de 1.000 correos maliciosos detectados, también contra empresas de América Latina

Kaspersky documentó una campaña de phishing contra cuentas corporativas —incluidas cuentas en América Latina— que, hasta el 11 de septiembre, ya sumaba más de 1.000 correos maliciosos detectados (la cifra corresponde a toda la operación, no solo a la región). La campaña no es estática: empezó suplantando comunicaciones oficiales de DocuSign, con enlaces a páginas falsas diseñadas para capturar credenciales, y evolucionó hacia una variante que se hace pasar por Zoom, advirtiendo que la cuenta del destinatario "será desactivada" si no se verifica de inmediato.

Por qué cambiar de disfraz le sirve al atacante (nuestra lectura)

Según el reporte, el cambio a Zoom buscaba generar urgencia y provocar una reacción inmediata. A nuestro juicio, el miedo a perder acceso a una herramienta de uso frecuente pesa más que la curiosidad por un aviso pendiente. Es el mismo mecanismo de presión que documentamos en el correo falso que advierte la suspensión de una cuenta publicitaria de Meta en 24 horas: entre más rutinaria e indispensable es la herramienta suplantada, más efectiva resulta la amenaza de perderla.

Qué pasa exactamente si haces clic

Según el análisis, la campaña usa dos mecanismos distintos: enlaces que dirigen a páginas falsas diseñadas para capturar credenciales, y formularios incrustados directamente en el correo que piden información personal y financiera, incluyendo datos de tarjetas de crédito. Cuando un atacante obtiene acceso a una cuenta de correo corporativa real, no se detiene ahí: puede leer información sensible de la empresa, hacerse pasar por el empleado legítimo, y enviar mensajes fraudulentos desde una cuenta auténtica hacia clientes, proveedores y otros empleados — el tipo de compromiso de correo corporativo (BEC) que ya vimos escalar industrialmente con el kit de phishing EvilTokens. La reutilización de contraseñas entre plataformas multiplica el daño: una sola credencial robada de Zoom o DocuSign puede abrir la puerta a otros sistemas si el empleado usa la misma contraseña en varios servicios.

Por qué los ataques simples siguen funcionando

Kaspersky advirtió que no hay que bajar la guardia frente a modalidades de phishing conocidas: según el reporte, el phishing corporativo evoluciona menos por sofisticación técnica y más por ingeniería social. Es phishing de credenciales sencillo, que funciona porque explota marcas de uso cotidiano. Que siga funcionando a esta escala confirma algo que ya hemos documentado repetidamente en este sitio: la mayoría de los ataques exitosos no dependen de una vulnerabilidad técnica sofisticada, dependen de que una sola persona, en un momento de prisa o distracción, haga clic antes de verificar.

Cómo protegerte si tu empresa usa Zoom o DocuSign a diario

• Verifica la URL completa antes de ingresar cualquier credencial y accede escribiendo tú mismo la dirección oficial de la plataforma (por ejemplo, zoom.us o docusign.com), no desde el enlace del correo; desconfía de variaciones o subdominios sospechosos.
• Activa la autenticación multifactor en ambas plataformas, si tu organización aún no lo ha hecho — ayuda a reducir el impacto de una contraseña robada.
• Nunca reutilices la misma contraseña entre Zoom, DocuSign, tu correo corporativo y otras herramientas. Es exactamente el patrón que permite que una sola credencial filtrada comprometa múltiples sistemas.
• Ante cualquier advertencia de "cuenta será desactivada", verifica directamente desde la aplicación o el sitio oficial, escribiendo la dirección tú mismo — nunca a través de un enlace recibido por correo, sin importar cuán urgente parezca el mensaje.

Si tu empresa recibió uno de estos correos, documenta el mensaje completo, incluyendo encabezados, y repórtalo a tu equipo de seguridad interno. Si quieres compartir evidencia con nosotros para seguir documentando esta campaña en la región, escríbenos por el canal de alertas.

Corrección (4 de octubre de 2026): una versión anterior decía que la campaña apuntaba "específicamente" a América Latina y que las más de 1.000 detecciones eran de la región; según Kaspersky incluye cuentas de la región, pero la cifra corresponde a toda la operación y se detectó también en otras regiones. También quitamos "documentos por firmar" (la fuente solo dice que suplantaban comunicaciones oficiales de DocuSign), la atribución a Kaspersky de que la técnica no es "novedosa" y la afirmación de que el cambio a Zoom fue una "optimización deliberada".