VBSpam Q3 2026 muestra por qué el phishing ya no se decide solo en el correo

El correo de phishing ya no necesita incluir un adjunto malicioso ni proceder de un remitente ostensiblemente sospechoso para ser peligroso. La comparativa VBSpam del tercer trimestre de 2026, de Virus Bulletin, puso el foco en campañas que usaban infraestructura de entrega plausible y mensajes HTML sin adjuntos, para trasladar el fraude decisivo a cadenas de redirecciones y código ejecutado en el navegador. 2021

El correo es solo la primera fase

La prueba pública duró 16 días y evaluó 11 productos de seguridad de correo frente a 103.969 mensajes, de los que 103.380 eran spam. Los productos empresariales líderes lograron tasas de detección de phishing cercanas al 100%. Net at Work NoSpamProxy obtuvo, según los informes, la puntuación final más alta —99,995—, con un 100% de detección de malware, un 99,990% en phishing y ningún falso positivo. 2021

Esto no significa que los gateways de correo hayan dejado de funcionar. Más bien evidencia que los atacantes están adaptando la entrega: evitan colocar el contenido más claramente malicioso dentro del mensaje y lo reservan para después del clic, cuando la víctima abre una URL cuya conducta puede cambiar.

VBSpam es un programa comparativo orientado a productos de seguridad de correo para empresas. Mide la protección frente a spam, phishing y malware, sin dejar de considerar los falsos positivos, y se basa en amenazas de correo actuales en lugar de una colección estática de muestras antiguas. 61213

Tres campañas que reflejan el cambio

Un falso aviso de impago en alemán enviado mediante Amazon SES

Una campaña en alemán con el pretexto de un Mahnschreiben —un aviso de pago atrasado— habría utilizado Amazon SES y el dominio moolaah[.]com, alineado con DKIM. El mensaje no llevaba adjuntos. El enlace conducía primero a una página diseñada para parecer menos sospechosa ante sistemas automatizados: incluía marcado señuelo, texto oculto, un iframe de tamaño cero y JavaScript ofuscado.

Según el análisis reportado, la página recogía señales del navegador y de la zona horaria antes de usar una solicitud POST oculta para redirigir al visitante a opensea[.]io. La valoración fue que se trataba de una ruta encubierta de fraude relacionado con criptomonedas o NFT, no de una entrega de malware confirmada. La distinción importa: la lógica fraudulenta puede no activarse si el visitante no parece una víctima real o no cumple determinadas condiciones. 20

Una falsa renovación de antivirus en neerlandés con destinos cambiantes

Otro correo, en neerlandés, suplantaba a McAfee y TotalAV. El mensaje HTML aseguraba que el destinatario tenía «631 virus peligrosos», amenazaba con cerrar la cuenta y ofrecía un 90% de descuento.

En vez de depender de una única página de phishing, la campaña separaba las rutas de seguimiento, baja y llamada a la acción mediante infraestructura de redirección. Esas rutas pueden cambiar de destino, caducar o mostrar contenido distinto según la hora o la ubicación. Por ello, una comprobación de URL en el gateway, realizada una sola vez, puede resultar menos eficaz que el análisis cuando la persona hace clic. El objetivo evaluado fue fraude de renovación o afiliación y posible robo de datos de pago, no una descarga de malware confirmada. 20

Un pretexto de consentimiento PSD2 que suplantaba a BCR S.A.

La tercera campaña suplantaba a BCR S.A. y usaba como señuelo un supuesto consentimiento bajo PSD2, la normativa europea de servicios de pago. El enlace codificaba el destino mediante una representación de dirección mapeada a IPv6, una técnica de ofuscación que puede sortear análisis simplistas de URL o controles basados únicamente en reputación.

La campaña fue evaluada como probable robo de credenciales, aunque la información disponible no confirma la página final ni permite una atribución más concreta. 20

Qué dicen —y qué no dicen— los resultados

Los datos de Q3 apuntan a una diferencia notable entre los mejores gateways empresariales y el despliegue de código abierto Rspamd incluido en la prueba pública. Un informe situó la tasa de detección de phishing de Rspamd en el 62,550%, muy por debajo de los resultados de los productos líderes. 21

Ese porcentaje no debe extrapolarse a cualquier instalación de Rspamd ni al software de código abierto en general. La configuración, las fuentes de inteligencia de amenazas, el ajuste de reglas y los controles complementarios influyen en el rendimiento real. Pero sí refuerza una conclusión práctica: una capa de correo configurada de forma limitada puede tener dificultades para clasificar flujos de phishing que cambian rápidamente de infraestructura y reaccionan al navegador.

Como contexto, la revisión independiente de VBSpam del segundo trimestre de 2026 registró para Rspamd una detección de phishing del 54,810%. Son periodos de prueba distintos, por lo que no deben interpretarse como un único indicador intercambiable. 5

Prioridades de defensa: del momento de entrega al momento del clic

La lección operativa es ampliar el análisis desde la entrega del mensaje hasta el momento en que se abre el enlace.

• Tratar SPF y DKIM como señales de identidad, no como garantías de seguridad. Que el correo esté autenticado o se envíe a través de un servicio reconocido indica cómo se envió; no demuestra que su oferta comercial ni su destino sean legítimos.
• Seguir las redirecciones de forma recursiva. Conviene inspeccionar cada salto y volver a evaluar la URL cuando el usuario hace clic, ya que el destino y su reputación pueden cambiar tras la entrega.
• Usar análisis con capacidad de navegador. La inspección debe ejecutar JavaScript y detectar formularios ocultos, actividad de iframes, huellas del navegador y redirecciones condicionales; no basta con escanear el cuerpo del mensaje o la URL visible.
• Normalizar formatos inusuales de URL. Los controles deben interpretar de forma segura direcciones codificadas y representaciones mapeadas a IPv6 antes de aplicar reglas de reputación o bloqueo.
• Vigilar los cambios de infraestructura. Cambios en DNS, dominios nuevos, redirecciones HTTP y reputación del destino pueden revelar campañas que evolucionan después de que el correo llegue al buzón.
• Reducir el daño de un clic exitoso. La autenticación resistente al phishing y las protecciones de endpoint pueden limitar la toma de cuentas incluso si una página de robo de credenciales llega al usuario.

Para los usuarios, el último control sigue siendo fundamental: avisos de pago, consentimientos bancarios y renovaciones de suscripciones deben verificarse en la web, aplicación o canal de soporte conocido de la organización, no mediante el enlace recibido por correo.

En síntesis

VBSpam Q3 2026 no concluye que la seguridad convencional del correo haya fracasado de forma generalizada: los mejores productos empresariales siguieron registrando resultados excepcionales. 2021 La conclusión es más concreta: los operadores de phishing están desplazando sus tácticas más engañosas a fases personalizadas y mediadas por el navegador, que un gateway convencional puede no observar plenamente en el momento de la entrega.

La respuesta duradera es una defensa por capas: filtrado de correo sólido, análisis de redirecciones, inspección consciente del navegador y protecciones de cuenta que resten valor a una contraseña robada.