«Ghost Phishing»: La nueva amenaza que burla la seguridad tradicional del correo electrónico
En el dinámico panorama de la ciberseguridad, las tácticas de los atacantes evolucionan constantemente para evadir las defensas corporativas. Una reciente campaña denominada EvilTokens está exponiendo un punto ciego crítico en la seguridad del correo electrónico tradicional mediante una técnica conocida como «Ghost Phishing» (phishing fantasma).
¿Qué es el Ghost Phishing y por qué es tan peligroso?
A diferencia del phishing convencional, donde un enlace malicioso conduce directamente a una página de inicio de sesión falsa que los escáneres de URL pueden detectar, el Ghost Phishing mantiene la página maliciosa oculta. El contenido HTML del ataque está cifrado mediante AES-GCM (un algoritmo de cifrado avanzado) y solo se «materializa» una vez que llega al navegador de la víctima.
Para los líderes de seguridad, el riesgo es evidente: las inspecciones automáticas de URLs y los controles a nivel de red pueden marcar el enlace como seguro porque, en el momento del análisis, no ven nada malicioso. La amenaza solo cobra vida cuando el navegador del empleado descifra el código y renderiza el contenido en el DOM (Document Object Model).
El mecanismo: EvilTokens y el secuestro de cuentas de Microsoft 365
Esta campaña no busca necesariamente robar contraseñas de forma directa. En su lugar, utiliza el Microsoft Device Code Phishing. Este método convence a los usuarios para que completen un flujo de inicio de sesión legítimo de Microsoft y, sin saberlo, autoricen el acceso a sus cuentas mediante tokens de dispositivo.
Este vacío de visibilidad genera una serie de riesgos operativos para las empresas:
- Mayor tiempo de exposición: El ataque puede permanecer activo durante días antes de ser detectado.
- Acceso no autorizado: Los atacantes obtienen entrada a correos corporativos, archivos en la nube y servicios críticos de Microsoft 365.
- Costos operativos elevados: La falta de evidencia clara dificulta la labor de los analistas del SOC, aumentando la carga de trabajo y los tiempos de respuesta.
Sectores bajo el punto de mira
Según datos recientes de inteligencia de amenazas, la actividad de EvilTokens se ha concentrado en Estados Unidos y Europa, afectando especialmente a sectores donde la información es el activo más valioso:
- Consultoría (75.6% de exposición)
- Servicios Financieros y Banca (72.8%)
- Manufactura (71.9%)
- Tecnología y Proveedores de Servicios Gestionados de Seguridad (MSSP)
Cómo proteger a su organización
La seguridad tradicional basada en firmas y análisis estáticos ya no es suficiente. Para combatir el Ghost Phishing, las empresas deben adoptar un enfoque de visibilidad a nivel de navegador. Esto implica:
- Uso de Sandboxing Interactivo: Abrir enlaces sospechosos en entornos aislados que permitan inspeccionar los datos dentro del navegador, revelando el contenido una vez descifrado.
- Análisis del comportamiento del DOM: Identificar cuándo una página aparentemente vacía solicita recursos externos o genera formularios de inicio de sesión tras la carga inicial.
- Formación avanzada: Capacitar a los empleados para desconfiar de procesos de autenticación de dispositivos que no hayan iniciado ellos mismos, incluso si parecen provenir de plataformas oficiales.
En Intedya, subrayamos la importancia de actualizar los protocolos de respuesta ante incidentes para incluir estas nuevas amenazas persistentes. El phishing moderno ya no se revela por completo en el correo electrónico; la batalla por la seguridad ahora se libra dentro del navegador del usuario.
Fuentes
- The Hacker News — New Ghost Phishing Wave Is Breaking Traditional Email Security
https://thehackernews.com/2026/07/new-ghost-phishing-wave-is-breaking.html