El phishing por correo electrónico sigue siendo uno de los métodos más frecuentes para acceder a cuentas empresariales. Durante el segundo trimestre de 2026, los atacantes emplearon páginas de inicio de sesión falsas, archivos adjuntos maliciosos y mensajes convincentes para robar credenciales o distribuir malware. Además, se ha detectado que esta amenaza ya no se limita al correo electrónico, sino que se ha expandido hacia las herramientas de colaboración.

El phishing por correo electrónico sigue siendo una de las formas más comunes en que los atacantes obtienen acceso a cuentas empresariales.

Durante el segundo trimestre de 2026, los criminales continuaron utilizando páginas de inicio de sesión falsas, adjuntos maliciosos y mensajes empresariales convincentes para robar credenciales o distribuir malware.

El problema ya no se limita a la bandeja de entrada. Los atacantes utilizan cada vez más herramientas de colaboración para contactar a los empleados directamente, haciéndose pasar por personal de soporte técnico y presionándolos para que compartan el acceso, ejecuten una herramienta o visiten un sitio fraudulento.

Analistas de Microsoft identificaron un aumento brusco en la actividad de phishing a través del correo electrónico y Microsoft Teams, demostrando cómo los atacantes se desplazan entre los canales de confianza del lugar de trabajo.

La actividad combina campañas de correo electrónico de alto volumen con phishing de voz, también llamado vishing, dirigido a empleados cuando están activos en línea.

La escala crea un desafío serio para las organizaciones porque muchos de estos ataques dependen de la confianza humana más que de fallos de software.

Un mensaje que parezca rutinario, o una llamada que parezca provenir de IT interno, puede ser suficiente para iniciar un compromiso costoso.

Microsoft dijo en un informe  que detectó aproximadamente 7.600 millones de amenazas de phishing basadas en correo electrónico entre abril y junio de 2026.

El volumen mensual cayó ligeramente de 2.700 millones en abril a 2.400 millones en junio, pero el robo de credenciales siguió siendo el objetivo principal.

7.600 Millones de Amenazas de Phishing por Correo y Ataques de Vishing en Teams

El phishing de credenciales representó entre el 94 y el 96 por ciento de los ataques de carga útil maliciosa observados durante el trimestre.

Estas campañas suelen dirigir a las víctimas a una página de inicio de sesión falsa o cargan una pantalla de inicio de sesión copiada localmente, permitiendo a los atacantes capturar contraseñas y, potencialmente, evadir los controles normales de la cuenta.

Los archivos HTML y PDF fueron los formatos de entrega más frecuentes, representando juntos entre el 60 y el 70 por ciento de los ataques basados en carga útil.

Debes mantenerte cauteloso ante documentos inesperados, especialmente porque las campañas de phishing de código de dispositivo de Microsoft 365 pueden abusar de flujos de autenticación legítimos en lugar de depender de sitios web obviamente maliciosos.

El phishing mediante códigos QR también siguió siendo una amenaza notable, a pesar de disminuir desde su pico de marzo de 18,7 millones de ataques a 8,3 millones en junio.

La mayoría de los señuelos de QR llegaron en adjuntos, y los atacantes alternaron entre archivos PDF y Word mientras adaptaban sus métodos, un patrón también visto en operaciones sofisticadas de phishing de códigos QR.

La interrupción del servicio de phishing Tycoon2FA por parte de Microsoft ayudó a reducir la actividad conectada a la plataforma en un 92 por ciento respecto a los niveles previos a la interrupción.

Sin embargo, la amenaza general no desapareció, ya que los actores diversificaron los métodos de entrega, utilizaron servicios de confianza y continuaron probando nuevas infraestructuras.

Una campaña automatizada de compromiso de correo electrónico empresarial alcanzó a más de 67.000 usuarios en más de 42.000 organizaciones en menos de tres horas.

Utilizó mensajes falsos de ejecutivos, solicitudes de informes de antigüedad y señuelos de desviación de nómina para iniciar conversaciones con los destinatarios antes de realizar solicitudes financieras fraudulentas.

Aumento de la Actividad de Vishing en Teams

Microsoft Teams se ha convertido en un canal atractivo porque los mensajes y las llamadas pueden parecer más confiables que un correo electrónico inesperadamente.

Durante el segundo trimestre, las detecciones de phishing en Teams aumentaron un 19 por ciento de marzo a abril y crecieron otro 10 por ciento en junio.

El vishing mostró el crecimiento más pronunciado. Los intentos semanales de llamadas maliciosas aumentaron aproximadamente un 80 por ciento desde principios de 2026 y alcanzaron casi 10 veces la línea base de mediados de 2025 para finales de junio, con la mayor parte de la actividad ocurriendo en días laborables entre las 14:00 y las 20:00 UTC.

Los atacantes comúnmente se hacen pasar por personal de soporte de IT y advierten a las víctimas sobre un supuesto bloqueo de cuenta o problema de seguridad.

Utilizan cada vez más nombres de pantalla genéricos en lugar de etiquetas obvias de "mesa de ayuda", mientras que sus direcciones de correo electrónico usan términos relacionados con software, escaneo, actualización o infraestructura para parecer creíbles.

Este enfoque puede conducir al abuso de acceso remoto, robo de credenciales o ejecución de malware.

En un incidente reportado, una llamada de suplantación de soporte de Teams persuadió a un empleado para que proporcionara acceso a través de Quick Assist, ilustrando por qué los intentos de compromiso mediante llamadas de soporte de Teams requieren una verificación inmediata a través de un canal interno aprobado.

Las organizaciones deberían revisar la configuración de protección de correo electrónico, habilitar la eliminación de mensajes posterior a la entrega y activar las protecciones de enlaces y adjuntos.

También deberían utilizar capacitación de concienciación sobre el phishing, adoptar la autenticación multifactor resistente al phishing para cuentas privilegiadas, restringir las comunicaciones externas de Teams no confiables y desactivar las herramientas de soporte remoto que no sean operativamente necesarias.

Los equipos de seguridad deberían investigar las llamadas inesperadas de Teams, los chats externos inusuales y las solicitudes sospechosas para ejecutar herramientas de acceso remoto.

Monitorear tanto la actividad de identidad como el comportamiento del endpoint es esencial, especialmente ya que las funciones de colaboración externa abusadas en campañas de vishing pueden evadir los controles tradicionales centrados en el correo electrónico.

Fuentes:
https://cybersecuritynews.com/email-phishing-threats-as-teams-vishing-attacks/