Una nueva campaña de phishing está atacando activamente a contribuyentes y empresas indias, haciéndose pasar por el Departamento de Impuestos sobre la Renta de India.

Los actores de amenazas han creado sitios web falsos convincentes que parecen casi idénticos a los portales gubernamentales oficiales, utilizando un lenguaje urgente para presionar a las víctimas y que descarguen archivos infectados con malware sin dudarlo.

El ataque se basa en un sitio web fraudulento que muestra la etiqueta “Notificación Oficial de Impuestos – Departamento de Impuestos sobre la Renta, India”. Los usuarios desprevenidos que acceden a esta página se encuentran con lo que parece ser una notificación gubernamental legítima.

El sitio insta a los visitantes a hacer clic en un botón etiquetado como “DESCARGAR ORDEN DE EVALUACIÓN Y DOCUMENTACIÓN”, que, en lugar de proporcionar un documento oficial, entrega inmediatamente un archivo malicioso al ordenador de la víctima.

Investigadores de MalwareHunterTeam identificaron y señalaron el dominio malicioso zyisykm[.]shop el 27 de abril de 2026, llamando aún más la atención sobre esta amenaza activa. La publicación ganó gran tracción, acumulando más de 2.700 visualizaciones en cuestión de horas.

Sus hallazgos fueron rápidamente corroborados cuando el investigador de seguridad Szabolcs Schmidt (@smica83) subió la muestra entregada por el sitio al repositorio de amenazas MalwareBazaar en bazaar.abuse.ch, confirmando que el botón de descarga estaba sirviendo contenido malicioso a los visitantes.

El impacto de esta campaña es significativo porque aprovecha la ansiedad natural que sienten los contribuyentes en torno a los plazos de cumplimiento. Muchos receptores, especialmente aquellos con conocimientos técnicos limitados, probablemente crean que una notificación con marca gubernamental tiene autoridad real.

Esta presión psicológica los hace mucho más propensos a seguir las instrucciones y descargar archivos sin cuestionarlos, que es exactamente lo que los atacantes buscan. Individuos y empresas indias que trabajan en los sectores financiero y corporativo siguen en mayor riesgo mientras este tipo de campañas continúan propagándose.

Esta amenaza no existe de forma aislada. Campañas similares observadas a principios de 2026 han utilizado correos electrónicos falsos de impuestos para distribuir familias de malware peligrosas como Blackmoon (malware bancario) y XRed (troyano de acceso remoto).

La creciente frecuencia de estos ataques durante la temporada de declaración de impuestos en India muestra que los ciberdelincuentes programan deliberadamente sus operaciones para explotar períodos de estrés financiero y urgencia regulatoria.

Cómo funciona la cadena de infección

Entender cómo se desarrolla este ataque de principio a fin ayuda a explicar por qué sigue siendo tan efectivo. El ataque comienza cuando una víctima recibe un correo electrónico de phishing o visita un sitio web falso con la marca oficial del gobierno, completo con números de referencia inventados, plazos de cumplimiento y un lenguaje oficial diseñado para crear urgencia.

Luego, se dirige a la víctima a hacer clic en un botón de descarga, que inmediatamente obtiene un archivo ZIP malicioso en su dispositivo.

Una vez que la víctima extrae el archivo ZIP descargado, encuentra un ejecutable en su interior. Este archivo suele ser un instalador silencioso basado en NSIS, un tipo de instalador que descomprime y instala múltiples componentes maliciosos en segundo plano sin que la víctima note nada sospechoso.

Como se ha visto en campañas relacionadas analizadas por investigadores de seguridad, estos instaladores han sido conocidos por instalar troyanos de acceso remoto (RATs) y ladrones de información capaces de robar datos sensibles, registrar pulsaciones de teclas y conectarse a servidores de comando y control controlados por los atacantes para recibir más instrucciones.

Para completar el engaño, los atacantes incluyen instrucciones falsas dentro del paquete malicioso pidiendo a los usuarios que desactiven su software antivirus antes de ejecutar el archivo, alegando que es necesario para usar el “cliente del Departamento de Impuestos sobre la Renta”.

Este es un truco de ingeniería social bien conocido que elimina la última línea de defensa antes de que el malware se ejecute completamente en el sistema de la víctima.

Los usuarios que reciban notificaciones de impuestos no solicitadas por correo electrónico o encuentren sitios web desconocidos que afirmen representar al Departamento de Impuestos sobre la Renta deben verificar la fuente antes de descargar cualquier cosa. Siempre asegúrate de visitar solo el portal oficial del gobierno en incometax.gov.in para comunicaciones auténticas. Nunca desactives el antivirus ni el software de seguridad basándote en instrucciones encontradas dentro de un archivo descargado.

Las organizaciones deben capacitar a sus empleados para reconocer intentos de phishing y reportar correos electrónicos sospechosos a sus equipos de TI de inmediato. Si crees que tu dispositivo ha sido comprometido, aíslalo de la red y contacta a un profesional de ciberseguridad calificado de inmediato.