Según el análisis, realizado por la compañía, este método, basado en el uso indebido de códigos de acceso legítimos, se ha multiplicado por 37 entre 2024 y 2026, impulsado por técnicas que aprovechan la confianza de los sistemas de autenticación corporativos.
Tal y como se indica en el estudio, a diferencia del phishing tradicional, esta campaña destaca por su naturaleza ‘cero huella’. Los atacantes no utilizan archivos maliciosos, ni enlaces fraudulentos que puedan ser bloqueados por antivirus convencionales. En su lugar, emplean una estrategia centrada en convencer al usuario de introducir un código legítimo en una página oficial. Este gesto abre la puerta al acceso de la cuenta corporativa, un proceso que se ejecuta íntegramente a través de servicios auténticos y que logra eludir la mayoría de los sistemas de protección instalados en los equipos.
Persistencia y automatización, los pilares del ataque
El análisis de Prosegur Cybersecurity revela un incremento exponencial del riesgo debido a dos factores críticos: persistencia prolongada y alta automatización. Una vez que el atacante obtiene la autorización, puede mantener el acceso durante semanas o incluso meses, gracias a permisos que posibilitan reactivar sesiones sin intervención del usuario, aunque este cambie su contraseña. A ello se suma un nivel de automatización que acelera la intrusión: los atacantes emplean procesos capaces de revisar correos, extraer documentos y crear accesos internos permanentes en cuestión de segundos, mediante la modificación de reglas de correo o el registro de nuevas aplicaciones dentro del entorno corporativo.
Este doble componente, acceso duradero y ejecución a gran velocidad, convierte a la campaña en una amenaza especialmente difícil de detectar y de contener para los equipos de seguridad.
Reforzar la estrategia de protección empresarial
Prosegur Cybersecurity advierte de que este tipo de amenazas obliga a replantear la estrategia de protección empresarial. La seguridad ya no puede depender únicamente de contraseñas o de la detección de archivos maliciosos, sino que debe centrarse en la supervisión continua de los protocolos de autenticación, los permisos concedidos y la salud de la identidad digital.
La compañía insiste en la necesidad de revisar las configuraciones de acceso, monitorizar la creación de nuevas aplicaciones internas, auditar los permisos otorgados a servicios conectados y establecer procedimientos de respuesta que permitan revocar de forma completa los accesos concedidos. También considera esencial disponer de mecanismos que permitan identificar y retirar correos fraudulentos en todos los buzones corporativos para evitar su propagación.
Carlos A. Fernández, director de la división xMDR de Prosegur Cybersecurity, explica que, “estamos ante una campaña que no busca vulnerar sistemas, sino aprovechar la confianza del usuario y de los propios servicios de autenticación. Es un cambio profundo en la forma de atacar a las empresas y obliga a reforzar la vigilancia sobre la identidad digital. Comprender cómo opera esta técnica y su ritmo de crecimiento nos permite anticipar y ayudar a las organizaciones a protegerse frente a una amenaza que ya está activa y que seguirá evolucionando”.