Nueva ola de phishing financiero: 40.000 correos disfrazados de SharePoint y servicios de firma electrónica ponen en alerta al mundo corporativo
El intercambio digital de documentos y las firmas electrónicas se han convertido en el núcleo de miles de procesos empresariales. Sin embargo, esa misma eficiencia está siendo explotada por ciberdelincuentes que ahora lanzan campañas de phishing cada vez más convincentes. La más reciente, descubierta por investigadores de Check Point, utilizó SharePoint, servicios de firma electrónica y hasta apariencia de DocuSign para engañar a usuarios en todo el mundo.
La escala del ataque sorprende: más de 40.000 correos falsos enviados a unas 6.100 empresas en solo dos semanas, todos cuidadosamente diseñados para parecer notificaciones legítimas de documentos urgentes.
🔍 Cómo funciona este nuevo engaño
Los atacantes lograron mejorar drásticamente su nivel de camuflaje al abusar de la función de reescritura de enlaces seguros de Mimecast, un servicio diseñado precisamente para proteger a los usuarios.
Usaron el dominio confiable:
Este paso hizo que los enlaces corruptos parecieran completamente auténticos, logrando evadir filtros automáticos y la sospecha humana.
Para aumentar aún más la credibilidad, los correos incluían:
- Logotipos y colores de Microsoft y Office
- Encabezados y botones idénticos a los reales (“Revisar documento”)
- Nombres para mostrar como:
- “X vía SharePoint (Online)”
- “eSignDoc vía Y”
- “SharePoint”
Todo esto imitaba casi a la perfección las notificaciones genuinas que muchas empresas reciben a diario.
📝 La variante DocuSign: aún más sigilosa
Además de la campaña principal, Check Point identificó una versión más pequeña pero altamente sofisticada que imitaba notificaciones de DocuSign.
La diferencia clave:
La URL maliciosa quedaba totalmente oculta gracias a una cadena de redireccionamientos que incluía servicios legítimos como:
- GravityZone (Bitdefender)
- Intercom (seguimiento de clics)
El resultado: una redirección tokenizada que invisibiliza por completo la página final del ataque, dificultando incluso la detección por parte de usuarios experimentados.
🌍 Impacto global: sectores más afectados
La campaña apuntó principalmente a organizaciones en:
- EE. UU. (34.057 correos)
- Europa (4.525)
- Canadá (767)
- Asia (346)
- Australia (267)
- Oriente Medio (256)
Los sectores más afectados:
- Consultoría
- Tecnología
- Construcción e inmobiliario
Otros sectores golpeados incluyen salud, finanzas, manufactura, marketing, logística, energía, educación, retail, viajes y gobiernos.
Estos sectores son especialmente vulnerables por su uso constante de contratos, facturas y documentos transaccionales: exactamente lo que los atacantes intentan imitar.
💬 Expertos advierten: los ataques son cada vez más creíbles
Ängel Salazar, Gerente de Ingeniería de Canales para Latinoamérica en Check Point Software, explicó:
“Este ataque demuestra lo fácil que es para los delincuentes imitar servicios confiables. La vigilancia constante es esencial, especialmente cuando hay enlaces clicables, remitentes sospechosos o contenido extraño en el correo.”
🛡️ Cómo protegerse: recomendaciones esenciales
Empresas y usuarios deben reforzar sus prácticas de seguridad digital. Check Point recomienda:
✔️ 1. Desconfiar de correos inesperados
Especialmente si invitan a revisar documentos urgentes.
✔️ 2. Revisar los detalles del remitente
Nombre para mostrar ≠ dirección real del correo.
✔️ 3. Pasar el cursor sobre enlaces
Verifica la dirección real antes de hacer clic.
✔️ 4. Ingresar manualmente al servicio
En lugar de abrir el enlace del correo.
✔️ 5. Capacitar a los empleados frecuentemente
El factor humano sigue siendo el objetivo principal.
✔️ 6. Usar protección avanzada de correo
Incluyendo motores antiphishing, filtrado de URL y herramientas de reporte.
🛠️ Mimecast aclara: no se trata de una vulnerabilidad
Mimecast, cuyo dominio fue usado para ocultar enlaces maliciosos, explicó que:
- No existe una vulnerabilidad en su plataforma.
- Los atacantes simplemente abusaron de un servicio legítimo de redirección, una táctica común en campañas de phishing.
- Los clientes de Mimecast están protegidos gracias a sus motores de detección y escaneo dinámico de URLs.
🔚 Conclusión
Esta campaña confirma que el phishing evoluciona constantemente y aprovecha los hábitos digitales más cotidianos, como revisar documentos o firmar contratos.
Con enlaces que parecen legítimos y correos impecablemente replicados, el mejor escudo sigue siendo una combinación de tecnología, educación y atención al detalle.
Si tu empresa trabaja con archivos, firmas electrónicas o servicios de nube, reforzar la seguridad no es opcional: es imprescindible.
