Phishing con pedidos y nóminas falsas
🛡️
Análisis de ITCM Solutions con contexto de Microsoft (Microsoft Threat Intelligence). Las recomendaciones son de ITCM Solutions.
Un «nuevo pedido» de un cliente, una «actualización de tu nómina». Son correos que cualquier pyme abre sin pensarlo, y por eso son el cebo favorito. Microsoft ha publicado su repaso del phishing del tercer trimestre de 2026 y hay una campaña en español que conviene conocer.
Qué está pasando
Según el informe de Microsoft sobre amenazas por correo del tercer trimestre de 2026 (5 de noviembre de 2026):
- Una campaña en español del 21 de septiembre llegó a más de 56.000 usuarios de más de 8.100 organizaciones. España fue uno de los países más afectados (un 8 % de los destinatarios).
- Los cebos: órdenes de compra (63 % de los mensajes) y nóminas (37 %). El adjunto era un archivo comprimido disfrazado que instalaba Agent Tesla, un malware que roba contraseñas y otros datos.
- Pasaban SPF, DKIM y DMARC. Es decir, los filtros de autenticación del correo los daban por buenos. Que un correo «esté verificado» no significa que sea de fiar.
- En el trimestre, Microsoft detectó unos 7.300 millones de amenazas de phishing por correo. Entre el 94 % y el 96 % de los ataques con adjunto buscaban robar credenciales.
- Los cebos de pago de facturas casi se duplicaron en septiembre (+89 %), y en Teams los atacantes ya no se presentan como «soporte», sino con nombres de persona normales.
Por qué te afecta (pyme / asociación)
- Pedidos y nóminas son el día a día de administración y compras. Nadie sospecha de un correo que parece trabajo.
- Las contraseñas robadas abren todo: el correo, Microsoft 365, el banco online. Con ellas llegan después los fraudes de facturas y cambios de cuenta bancaria.
- Confiar en el filtro no basta. Si el correo pasa las comprobaciones técnicas, la última barrera es la persona que lo abre.
Qué hacer
- Desconfía de adjuntos comprimidos (ZIP, RAR) en pedidos o nóminas que no esperabas. Ante la duda, confirma por teléfono con un número que ya tengas, nunca con el del correo.
- Activa la protección avanzada del correo de Microsoft 365 (Defender para Office 365: Safe Links, Safe Attachments y purga automática) y revisa que no haya excepciones que dejen pasar correos sospechosos.
- Pon MFA en todas las cuentas, a ser posible con app de autenticación o sin contraseña, y MFA resistente al phishing en las cuentas de administración.
- Limita quién puede escribirte por Teams desde fuera de tu organización.
- Forma a tu equipo con simulaciones de phishing reales, incluidos pedidos y nóminas.
- Cuidado también con el teléfono: el mismo engaño llega por llamadas de falso soporte que pide tu SMS.
¿Quieres saber cuántos de estos correos llegarían hoy a tu bandeja? En ITCM Solutions revisamos la configuración de tu correo y formamos a tu equipo. Hablemos.