Los ciberdelincuentes han lanzado una sofisticada campaña de spam aprovechando la infraestructura de confianza de Atlassian Cloud.

Al abusar de funciones legítimas dentro de la plataforma, los atacantes están eludiendo eficazmente los controles tradicionales de seguridad del correo electrónico para llegar a objetivos de alto valor.

Esta campaña se centra en redirigir a los usuarios a esquemas de inversión fraudulentos, utilizando la confianza inherente asociada a proveedores conocidos de software como servicio para engañar a los destinatarios.

Los ataques están altamente dirigidos, enfocándose en entidades gubernamentales y corporativas en diversas regiones, incluyendo demografías de habla inglesa, francesa, alemana, italiana, portuguesa y rusa.

En lugar de spam genérico, estos mensajes están personalizados para grupos lingüísticos específicos. El objetivo final es canalizar el tráfico hacia páginas de destino maliciosas a través de Keitaro TDS, generando ingresos mediante estafas y publicidad ilícita.

Investigadores de Trend Micro identificaron que esta actividad se volvió prominente entre finales de diciembre de 2025 y enero de 2026.

Al operar a través de servicios en la nube establecidos con fuertes reputaciones de dominio, los atacantes aseguran que sus correos pasen las verificaciones estándar de autenticación como Sender Policy Framework y DomainKeys Identified Mail.

Esto hace que la detección sea significativamente más difícil para los filtros de seguridad convencionales, que suelen priorizar notificaciones de plataformas SaaS reputadas.

La campaña demuestra un alto nivel de automatización, permitiendo a los actores de amenazas escalar rápidamente sus operaciones.

Crean múltiples instancias de Atlassian para distribuir sus mensajes, asegurando que, incluso si una instancia es bloqueada, otras continúen funcionando.

Esta resiliencia destaca las tácticas en evolución de los ciberdelincuentes modernos, que armamentizan herramientas legítimas para llevar a cabo actividades maliciosas sin activar alarmas inmediatas.

Mecanismo de abuso de infraestructura

El núcleo de esta campaña radica en la facilidad con la que los actores de amenazas pueden provisionar infraestructura desechable para facilitar sus ataques.

Los atacantes inician el proceso creando cuentas en Atlassian Cloud con convenciones de nombres aleatorios, lo que les permite generar numerosas instancias de Jira Cloud sin requerir verificación de propiedad del dominio.

Estas instancias se resuelven en direcciones IP legítimas de AWS compartidas por implementaciones válidas, enmascarando aún más la naturaleza maliciosa de la actividad. Los atacantes confían en la confianza inherente de los correos generados por Atlassian en lugar de reforzar la legitimidad a través del registro de dominios.

Una vez que la infraestructura está en su lugar, los atacantes utilizan Jira Automation para construir y enviar correos electrónicos elaborados.

Este método les permite entregar mensajes directamente a través del sistema de correo integrado de Atlassian, evitando la necesidad de sus propios servidores de correo.

Los destinatarios no necesitan ser usuarios listados dentro de la instancia, lo que permite una distribución masiva sin exponer la verdadera identidad o infraestructura del atacante.

Las organizaciones deberían reevaluar sus suposiciones de confianza respecto a los correos generados por terceros en la nube para prevenir tales abusos. Los equipos de seguridad están siendo aconsejados a implementar soluciones avanzadas de seguridad de correo electrónico que proporcionen detección en capas y controles conscientes de la identidad.

Estas medidas son esenciales para identificar y bloquear intentos de phishing que explotan plataformas SaaS de confianza. Además, monitorear indicadores de compromiso, como patrones específicos de URL y cadenas de redirección, puede ayudar a mitigar estas amenazas de manera efectiva.