Una nueva plataforma de cibercrimen llamada ATHR está facilitando a los atacantes la ejecución de operaciones de phishing telefónico a gran escala, también conocido como vishing. En lugar de depender de enlaces maliciosos o archivos adjuntos infectados en correos electrónicos, esta plataforma envía correos electrónicos de apariencia sencilla que solo incluyen un número de teléfono.

Una nueva plataforma de cibercrimen llamada ATHR está facilitando mucho a los atacantes la ejecución de operaciones de phishing telefónico a gran escala, también conocido como vishing.

En lugar de depender de enlaces maliciosos o archivos adjuntos infectados en correos electrónicos, esta plataforma envía correos que parecen simples y solo incluyen un número de teléfono.

Cuando la víctima llama a ese número, es guiada hacia una trampa cuidadosamente diseñada. El resultado son credenciales robadas, cuentas comprometidas y una amenaza que las herramientas tradicionales de seguridad de correo electrónico a menudo no logran detectar.

ATHR está construida en torno a un método de ingeniería social bien conocido llamado Entrega de Ataques Orientados a Teléfono (TOAD, por sus siglas en inglés). En un ataque TOAD, la parte peligrosa no ocurre en el correo electrónico en sí, sino por teléfono.

La víctima llama a un número que cree pertenece a una empresa de confianza, y un interlocutor al otro lado la engaña para que revele información sensible o instale software de acceso remoto. Como el correo no contiene enlaces maliciosos ni archivos, la mayoría de los filtros de seguridad no tienen motivos para bloquearlo.

ATHR lleva este concepto más allá al hacer que todo el proceso sea automatizado, escalable y disponible en redes de cibercrimen por $4,000 más el 10% de las ganancias.

Analistas e investigadores de Abnormal identificaron esta plataforma mientras monitoreaban actividad cibercriminal en la dark web y publicaron sus hallazgos detallados el 16 de abril de 2026.

Los investigadores Aaron Orchard, Callie Baron y Piotr Wojtyla señalaron que ATHR no es solo otro kit de phishing. Es un sistema de ataque completamente integrado con cuatro componentes clave que trabajan juntos: un envío de correos integrado, un agente de voz con IA, un panel de recolección de credenciales en tiempo real y un espacio de trabajo unificado para el operador.

Cada componente maneja una etapa específica del ataque, pero todos funcionan desde una única interfaz basada en navegador.

La plataforma soporta paneles de recolección de credenciales para ocho marcas importantes, incluyendo Coinbase, Binance, Gemini, Crypto.com, Google, Microsoft, Yahoo y AOL.

Cuando una víctima llama y es atendida por el agente de IA, el operador puede redirigirla simultáneamente a una página de inicio de sesión falsa que captura su dirección de correo y contraseña en tiempo real.

El panel en vivo mostraba 243 interacciones totales, 12 sesiones activas y un 87% de utilización de la campaña en el momento de la captura, demostrando lo activas que pueden ser estas operaciones.

Panel en vivo de ATHR mostrando monitoreo de llamadas en tiempo real (Fuente – Abnormal)

Lo que hace destacar a ATHR frente a operaciones TOAD anteriores es el nivel de automatización que aporta a cada parte del ataque.

Antes, ejecutar una campaña TOAD requería coordinar manualmente herramientas separadas para el envío de correos, la gestión de llamadas y la captura de credenciales. ATHR elimina esa complejidad y lo integra todo en un solo lugar, permitiendo que una sola persona ejecute una campaña de ataque completa sin necesidad de un gran equipo o habilidades técnicas profundas.

El agente de vishing con IA de ATHR: el núcleo del ataque

La característica más notable de ATHR es su agente de vishing con IA integrado, que realiza la ingeniería social basada en voz sin necesidad de un interlocutor humano.

Cuando una víctima llama al número de teléfono incluido en el correo de phishing, el agente de IA responde y sigue un guion estructurado de múltiples pasos.

Comienza verificando la llamada de vuelta, luego describe actividad sospechosa en la cuenta, pide a la víctima que confirme un número de teléfono, inicia un falso proceso de recuperación y finalmente solicita un código de verificación de seis dígitos. El guion contiene 10 secciones en total, como se ve en la siguiente imagen.

El agente funciona con un motor de texto a voz personalizado llamado ATHR TTS, que utiliza un modelo etiquetado como Sonic 3. La voz es clara, suena natural y está diseñada para parecer una llamada real de soporte de una empresa conocida.

Esto es lo que la hace realmente peligrosa. Como el interlocutor suena profesional y el correo parece una alerta real de cuenta con una marca de tiempo, ubicación e IP específicas, la víctima tiene muy pocas razones para sospechar que algo anda mal.

Los señuelos por correo electrónico se crean utilizando un envío de correos NFA que falsifica nombres de remitentes para que coincidan con marcas de confianza. Por ejemplo, una plantilla preconfigurada para Google envía un correo con el asunto "Alerta de seguridad: Cuenta bloqueada temporalmente" con 10 campos personalizables.

Para defenderte de los ataques TOAD impulsados por ATHR, las organizaciones deben entrenar a los usuarios para que nunca llamen a números encontrados en correos de alerta de seguridad inesperados y para que verifiquen cualquier alerta a través del sitio web oficial de la empresa.

Los equipos de seguridad deben monitorear patrones inusuales en la actividad de correos entrantes, como múltiples destinatarios en la organización recibiendo mensajes con el mismo número de teléfono incrustado en un corto período de tiempo.

Como los señuelos de ATHR pueden pasar las verificaciones SPF, DKIM y DMARC, confiar únicamente en señales técnicas de autenticación no es suficiente.

La detección basada en IA y comportamiento, que mapea los patrones normales de comunicación para cada usuario y remitente, es más adecuada para identificar estas anomalías antes de que alguien realice una llamada.

Fuentes:
https://cybersecuritynews.com/hackers-use-athr-to-run-ai-powered-vishing-credential-theft/