VBSpam Q3 2026: un correo autenticado no es prueba de seguridad

La autenticación técnica de un correo no demuestra que sea seguro. La información publicada sobre la prueba comparativa VBSpam del tercer trimestre de 2026, de Virus Bulletin, describe campañas de phishing que combinaron una infraestructura de envío aparentemente legítima con ocultación de URLs en varias etapas y adaptada al navegador. Es decir, el comportamiento dañino podía aparecer después de la entrega del email, fuera del alcance de una comprobación básica del remitente o de un enlace estático.

La prueba se desarrolló durante 16 días conforme a un plan de AMTSO —organización dedicada a metodologías de pruebas de seguridad— y evaluó 103.969 correos, de los que 103.380 eran spam. 13

Autenticado no significa inocuo

SPF, DKIM y DMARC son mecanismos importantes: permiten validar aspectos de la ruta de envío y de la alineación del dominio. Pero no certifican que el contenido del mensaje sea benigno, que todos sus enlaces sean seguros ni que la página final tras una cadena de redirecciones sea legítima.

Esa diferencia está en el centro de las campañas descritas. Los atacantes aprovecharon infraestructura autenticada o de apariencia fiable y desplazaron la parte maliciosa a un flujo web capaz de revisar el navegador, la ubicación o el momento de acceso antes de mostrar un destino concreto. 35

Tres patrones de phishing identificados

Un señuelo de pago vencido enviado mediante Amazon SES

Una campaña en alemán empleó el pretexto de un pago atrasado y se distribuyó a través de Amazon SES desde un dominio alineado con DKIM. En vez de adjuntar un archivo malicioso, el email HTML incluía marcado de señuelo, texto oculto, un iframe de tamaño cero y JavaScript ofuscado. 35

Según lo publicado, el enlace evaluaba al visitante: recopilaba información del navegador y de la zona horaria, realizaba una solicitud POST oculta y redirigía a los visitantes que cumplían determinadas condiciones hacia OpenSea. La secuencia es compatible con fraude encubierto relacionado con criptomonedas o NFT y dificulta que una revisión sencilla del mensaje o de la URL inicial revele el objetivo real. 35

Falsas renovaciones de McAfee y TotalAV

Otra campaña, en neerlandés, suplantaba a McAfee y TotalAV. Advertía de “631 virus peligrosos” y ofrecía una renovación con descuento. El engaño se apoyaba en ingeniería social dentro de HTML, no en un adjunto malicioso convencional. 35

Su principal mecanismo de evasión era la entrega condicional: el destino podía cambiar según la hora, la ubicación o el perfil aparente de la víctima. Así, un sistema automatizado podía recibir una página inocua, un error o una cadena de redirección distinta de la que vería el destinatario elegido. El objetivo atribuido a la campaña era el fraude de suscripciones. 35

Suplantación de BCR S.A. con el pretexto de PSD2

Un mensaje de phishing en rumano suplantaba a BCR S.A. y afirmaba que era necesario renovar el consentimiento de PSD2. PSD2 es una normativa europea de servicios de pago; por ello, la renovación de un consentimiento bancario puede parecer un trámite habitual para un destinatario.

La información sobre la campaña indica que el destino se ocultaba mediante una dirección IPv6 mapeada, una técnica de ofuscación que puede complicar el análisis de URLs y de los escáneres. 3

El argumento de una renovación bancaria obligatoria puede presionar al usuario para actuar con rapidez dentro de un flujo financiero conocido, una circunstancia útil para el robo de credenciales. 3

El fraude se decide en el navegador

Los casos apuntan a un cambio relevante: una parte decisiva de la lógica del phishing ya no reside necesariamente en el correo inicial. El email puede proceder de un remitente que supera las validaciones de autenticación y contener un enlace cuya intención no resulta evidente de inmediato. La conducta crucial ocurre después, en el navegador:

• El HTML y JavaScript pueden ocultar la estructura inicial del mensaje.
• Las cadenas de redirección separan la URL entregada del destino final.
• Las comprobaciones de navegador, zona horaria, ubicación y momento de acceso pueden distinguir a una posible víctima de un sistema automatizado.
• Las respuestas condicionales pueden reservar el contenido más dañino para el objetivo y alejarlo de entornos de análisis o verificaciones de reputación simples. 35

La conclusión no es prescindir de la autenticación del correo. Es tratarla como una señal dentro de una evaluación más amplia que incluya contenido, reputación del remitente, comportamiento de los enlaces y riesgo del destino. 35

Qué deberían priorizar las defensas

A partir de estos hallazgos, una estrategia más sólida de seguridad del correo debe inspeccionar todo el recorrido, no solo la primera señal:

1. Normalizar las URLs ofuscadas. Decodificar y convertir formas inusuales de direcciones a una representación canónica antes de aplicar controles de reputación o políticas.
2. Seguir la cadena completa de redirecciones. Evaluar cada salto y la página de destino final, no únicamente el enlace original.
3. Analizar el comportamiento del navegador. Detectar redirecciones condicionales, huellas del navegador, solicitudes ocultas y otras conductas que solo emergen al ejecutar la página.
4. Poner la autenticación en contexto. SPF, DKIM y DMARC aportan información valiosa, pero no deben anular señales de contenido malicioso o de riesgo en el destino.
5. Medir también los falsos positivos. Bloquear amenazas a costa de interrumpir correo legítimo genera otro riesgo operativo. 35

Resultados con una brecha notable entre productos

Los resultados compuestos publicados sugieren que los productos con mejor desempeño lograron niveles muy altos de detección, aunque no todos rindieron de forma uniforme. Net at Work NoSpamProxy registró una puntuación final de 99,995 sin falsos positivos; Bitdefender GravityZone Premium obtuvo 99,994; SEPPmail.cloudfilter, 99,985; y Rspamd, 62,5 %. 35

Estas cifras corresponden a esta prueba comparativa concreta, no constituyen una garantía universal para cualquier entorno. Aun así, la diferencia refuerza la lección práctica: detectar remitentes autenticados, URLs ofuscadas y flujos web condicionados requiere inspección por capas, no depender de un único control. 135

En síntesis

La prueba VBSpam Q3 2026 ilustra un modelo de phishing basado en una ventaja para el atacante: el correo puede parecer aceptable cuando se entrega y el fraude solo se revela cuando el navegador de la víctima cumple ciertas condiciones. La autenticación del remitente sigue siendo necesaria como higiene de seguridad, pero la decisión de confianza debe extenderse a toda la cadena de redirecciones y a la experiencia web final. 35