Phishing en 2026: modelado operativo, cadena de ataque, telemetría defensiva y evaluación de contramedidas en entornos de correo, identidad y colaboración SaaS

1. Introducción

El phishing ha dejado de ser una técnica “clásica” asociada exclusivamente a correos mal redactados y enlaces sospechosos. En 2026, se trata de un vector de intrusión altamente adaptativo, industrializado y medible, que opera en una economía del fraude donde la personalización, la velocidad y la confianza contextual son más importantes que la mera suplantación visual. La transición desde campañas masivas hacia ataques dirigidos, multicanal y apoyados por automatización ha sido acelerada por la migración de procesos críticos a SaaS, la autenticación federada y el uso de canales no tradicionales como mensajería empresarial, invitaciones de documentos compartidos, flujos de aprobación y notificaciones de identidad. En consecuencia, un análisis contemporáneo del phishing debe superar la narrativa centrada únicamente en “el correo” y tratarlo como una operación de ingeniería social y secuestro de identidad.

La superficie de ataque está dominada por tres tendencias estructurales. Primero, la ubiquidad del acceso basado en navegador y la dependencia de proveedores como Microsoft 365, Google Workspace y entornos colaborativos reduce la fricción para que el atacante imite flujos legítimos. Segundo, el fortalecimiento de controles como DMARC, SPF y DKIM ha desplazado a muchos adversarios hacia dominios de compromiso, servicios de correo legítimos, URL shorteners, infraestructuras efímeras y abuso de OAuth. Tercero, la automatización basada en IA generativa ha multiplicado la escala de la personalización: correos con tono corporativo, referencias a proyectos reales, adaptación lingüística por geografía y redacción sin errores obvios pueden producirse a coste ínfimo y en múltiples variantes para evadir firmas y filtros.

Desde la perspectiva defensiva, el problema es particularmente complejo porque el phishing combina componentes de contenido, reputación, identidad, comportamiento y contexto. Un mensaje puede ser técnicamente “limpio” en términos de análisis estático, pero malicioso en la lógica de negocio; puede provenir de un dominio con reputación intermedia, usar servicios cloud legítimos y explotar ventanas temporales de confianza asociadas a eventos reales como renovaciones, cierres financieros o campañas de RR. HH. Por ello, las defensas eficaces en 2026 ya no dependen de una sola capa, sino de la correlación entre seguridad del correo, identidad, endpoint, red y telemetría del usuario. La detección, además, se ve afectada por el ruido derivado de la colaboración legítima y del uso extendido de IA en productividad, lo que obliga a modelar falsos positivos con rigor.

Este artículo contribuye en cuatro dimensiones. En primer lugar, presenta una taxonomía operativa del phishing moderna, distinguiendo entre credential phishing, token theft, adversarial consent grant, smishing, vishing, QR phishing y BEC asistido por automatización. En segundo lugar, formaliza el problema como una cadena de ataque probabilística donde la probabilidad de compromiso es función de la exposición, la interacción y la resiliencia de la autenticación. En tercer lugar, propone una metodología defensiva de múltiples capas con métricas cuantitativas, útil para SOC, blue teams y arquitecturas Zero Trust maduras. En cuarto lugar, ofrece una evaluación experimental con tablas comparativas y un estudio de caso que refleja patrones observables en campañas de 2024–2026, sin depender de datos sensibles ni de infraestructura real de terceros.

La relevancia del tema en 2026 es evidente. A medida que se consolidan las estrategias de Zero Trust, el control de identidad se convierte en el perímetro operativo. Eso significa que el phishing ya no busca únicamente “una contraseña”, sino un token, una aprobación MFA, un permiso OAuth, una cookie de sesión o una excepción temporal en una política de acceso. Bajo esa lógica, la defensa debe anticipar el comportamiento del atacante en cada etapa, desde la entrega hasta la persistencia. Este trabajo adopta precisamente ese enfoque.

2. Background and Related Work

El phishing tiene raíces documentadas en los primeros años de la comercialización de Internet, pero su evolución técnica responde a hitos concretos en la historia de la seguridad. En sus primeras iteraciones, el atacante dependía de masa y volumen; el objetivo era maximizar la tasa bruta de respuesta. Con el tiempo, la disponibilidad de listas de correo, la automatización de envío y el comercio de credenciales robadas favorecieron una especialización económica donde el fraude se separó en roles: infraestructura, señuelo, monetización y lavado. Esa división del trabajo se intensificó con la aparición de kits de phishing, plataformas de servicio y, más recientemente, con la integración de modelos generativos en la producción de contenido.

Desde una perspectiva académica, la literatura ha abordado el fenómeno desde múltiples ángulos. Jagatic et al. demostraron tempranamente que la personalización basada en redes sociales incrementa la credibilidad del señuelo, anticipando el rol que hoy desempeñan los datos de OSINT y de presencia digital (JAGATIC et al., 2007). Dhamija, Tygar y Hearst mostraron que incluso usuarios informados pueden fallar en la identificación de páginas fraudulentas cuando el diseño visual replica la interfaz esperada (DHAMIJA; TYGAR; HEARST, 2006). Posteriormente, trabajos sobre mecánica de la toma de decisiones y atención demostraron que la fatiga de alertas y la presión temporal reducen la capacidad de discriminación, especialmente en contextos laborales con alta carga cognitiva (NURRAHMI et al., 2020). La investigación en seguridad del correo evolucionó hacia el análisis de reputación, autenticación y phishing resistente a la suplantación mediante controles como DMARC, presentados en su versión estándar como un mecanismo de política y reporte para reducir el spoofing visible (KLEIN; CAGLAR; HOULDER, 2015).

En el plano industrial, la última década ha visto una migración desde filtros estáticos hacia sistemas híbridos que combinan reglas, reputación, sandboxing y ML. Sin embargo, el adversario también se ha adaptado. La proliferación de proveedores de alojamiento legítimo, la disponibilidad de CDN y WAF, y el uso de dominios desechables ha reducido la eficacia de las listas negras tradicionales. Además, los atacantes han aprendido a distribuir la operación entre múltiples servicios, alojando la carga útil, el recolector de credenciales y el panel de administración en infraestructuras distintas para disminuir la visibilidad de correlación. Esta fragmentación es coherente con observaciones de la industria sobre phishing-as-a-service, donde las capacidades se empaquetan y se alquilan con paneles, plantillas y asistencia técnica.

La evolución más relevante para 2026 es el desplazamiento del objetivo desde la contraseña hacia el token. El endurecimiento de MFA por SMS y TOTP no eliminó el problema; en su lugar, emergieron proxies de adversary-in-the-middle, secuestro de sesión, robo de cookies y abuso de OAuth consent grant. El trabajo de adversary-in-the-middle ha sido ampliamente documentado por la comunidad, particularmente con herramientas y técnicas que interceptan la autenticación web y reenvían credenciales y tokens en tiempo real. Del lado defensivo, la adopción de WebAuthn/FIDO2 introdujo una resistencia notable frente a phishing clásico, pero su despliegue aún es desigual por costos, compatibilidad y procesos de recuperación. Por ello, el phishing contemporáneo se comporta como una operación de “identity attack chain” y no como un simple evento de correo.

La literatura también ha destacado el valor del análisis del lenguaje y de la semántica. Los clasificadores basados en contenido fueron útiles, pero perdieron robustez frente a señuelos mejor escritos y contraofensivas de evasión. Estudios más recientes incorporaron características de comportamiento de usuario, reputación del dominio, edad del dominio, similitud de marcas y estructura del enlace. A su vez, la comunidad de seguridad ha hecho énfasis en la importancia de la conciencia del usuario, aunque la evidencia práctica indica que la formación aislada no resuelve el problema. Los usuarios cometen errores bajo presión, y los atacantes explotan precisamente el contexto. La cuestión, por tanto, es diseñar sistemas que toleren el error humano y limiten su impacto.

El estado del arte en 2026 incluye también el uso de eBPF y telemetría de kernel para observar procesos de navegador, descargas y conexiones salientes; CNAPP para endurecer identidades de servicios cloud; y análisis de identidad para detectar inicios de sesión anómalos. Las investigaciones en seguridad de IA y LLM se han vuelto pertinentes porque los propios usuarios y defensores integran modelos generativos en flujos de trabajo, lo que abre oportunidades tanto para asistencia en detección como para abuso de prompts, generación de señuelos y traducción contextual. En otras palabras, la frontera entre ofensiva y defensiva es cada vez más estrecha, y el phishing se beneficia de esa ambigüedad operativa.

Enfoque	Ventaja principal	Limitación principal	Vigencia en 2026
Filtros estáticos por palabras clave	Bajo costo y rápida implementación	Alta tasa de evasión y falsos positivos	Baja
Reputación de dominio/URL	Captura infraestructura conocida	Débil frente a infraestructura efímera	Media
Sandbox y análisis dinámico	Detecta cargas útiles activas	Lento y limitado frente a páginas “limpias”	Alta
Correlación identidad + endpoint + red	Mejor detección contextual	Requiere telemetría madura	Muy alta
MFA resistente a phishing (FIDO2/WebAuthn)	Reduce robo directo de credenciales	Despliegue incompleto y recuperación compleja	Muy alta

3. Threat Model and Problem Formalization

Modelamos el phishing como un proceso de compromiso secuencial donde el atacante busca maximizar la probabilidad de obtener un artefacto de autenticación o una acción delegada. Sea $A$ el conjunto de activos objetivo, $U$ el conjunto de usuarios expuestos, $S$ la infraestructura de señuelo y $D$ el conjunto de defensas activas. La probabilidad total de compromiso para un usuario $u \in U$ puede expresarse de forma simplificada como:

$$ P(\text{compromiso}_u) = P(E_u) \cdot P(I_u \mid E_u) \cdot P(R_u \mid I_u) \cdot P(M_u \mid R_u) $$

donde $P(E_u)$ representa la probabilidad de exposición al mensaje, $P(I_u \mid E_u)$ la probabilidad de interacción, $P(R_u \mid I_u)$ la probabilidad de revelar credenciales, tokens o aprobar una acción, y $P(M_u \mid R_u)$ la probabilidad de que el artefacto obtenido sea monetizable o explotable antes de su revocación. Esta descomposición es útil porque cada término corresponde a una capa defensiva distinta. El correo seguro reduce $P(E_u)$, la formación y el diseño de UX segura reducen $P(I_u \mid E_u)$, MFA resistente al phishing reduce $P(R_u \mid I_u)$ y la respuesta de identidad reduce $P(M_u \mid R_u)$.

El atacante opera bajo restricciones de costo, tiempo y detectabilidad. Definimos su utilidad como:

$$ U = V \cdot P(\text{exitoso}) - C_{\text{infra}} - C_{\text{contenido}} - C_{\text{evasión}} - C_{\text{riesgo}} $$

donde $V$ es el valor esperado del objetivo, $C_{\text{infra}}$ el costo de infraestructura, $C_{\text{contenido}}$ el costo de elaborar señuelos, $C_{\text{evasión}}$ el costo de evitar detección y $C_{\text{riesgo}}$ el costo asociado a la atribución, el bloqueo y la respuesta del defensor. En 2026, la IA generativa reduce significativamente $C_{\text{contenido}}$, mientras que el mercado de infraestructura desechable reduce $C_{\text{infra}}$. Por ello, la defensa debe elevar $C_{\text{evasión}}$ y reducir $P(\text{exitoso})$ en cada etapa.

La amenaza no es homogénea. Distinguimos cinco clases operativas. La primera es el credential phishing clásico, orientado a capturar usuario y contraseña. La segunda es el token phishing, donde el objetivo es interceptar un flujo de autenticación en tiempo real o extraer cookies y tokens. La tercera es el consent phishing, que intenta inducir al usuario a conceder permisos OAuth a una aplicación maliciosa. La cuarta es el smishing/vishing, donde el canal es SMS o voz. La quinta es el BEC, donde el objetivo es una transacción, una aprobación o una alteración de flujo financiero. Cada clase requiere un análisis distinto de observables y de impacto.

Clase de ataque	Objetivo primario	Artefacto robado	Detección más efectiva
Credential phishing	Acceso inicial	Contraseña	MFA y detección de login anómalo
Token phishing	Secuestro de sesión	Cookie/token	Controles de sesión y revocación
Consent phishing	Persistencia autorizada	Permisos OAuth	Revisión de apps y políticas de consentimiento
Smishing/vishing	Engaño multicanal	OTP, datos, aprobación	Correlación de canal y UX segura
BEC	Fraude financiero	Pago/cambio de cuenta	Flujo de aprobación y validación fuera de banda

Formalizamos la defensa como un problema de minimización del riesgo residual:

$$ R = \sum_{u \in U} P(\text{compromiso}_u)\cdot I_u $$

donde $I_u$ es el impacto esperado. Una política óptima no busca $R=0$, imposible en sistemas abiertos, sino reducir $R$ por debajo de un umbral aceptable mediante controles escalonados, monitoreo continuo y respuesta automatizada. En ese contexto, la prioridad no es “detectar todo” sino detectar rápidamente, contener y revocar.

4. Proposed Methodology

Proponemos una metodología defensiva de cuatro capas, diseñada para entornos con correo en la nube, identidad federada y colaboración SaaS. La primera capa es la prevención de entrega, basada en autenticación de dominios, reputación, análisis de URLs, inspección de adjuntos y políticas de anti-spoofing. La segunda capa es la prevención de interacción, apoyada en banners de riesgo, URL rewriting, aislamiento del navegador y advertencias contextuales. La tercera capa es la prevención de compromiso, centrada en MFA resistente al phishing, acceso condicional, validación de dispositivos y evaluación continua de riesgo. La cuarta capa es la respuesta y recuperación, que incluye revocación de sesiones, rotación de credenciales, revisión de permisos delegados, caza de indicadores y aprendizaje post-incidente.

La metodología parte de un inventario de superficies. El defensor debe clasificar canales, proveedores y rutas de autenticación. No es equivalente un usuario que recibe correo externo con archivos adjuntos a uno que trabaja principalmente por Slack, Teams o enlaces compartidos en Drive. Tampoco es igual una organización con SSO centralizado que una con identidades locales dispersas. La detección debe incorporar señales como antigüedad de dominio, similitud de marca, geografía del remitente, hora de envío, relación previa entre emisor y receptor, postura del endpoint y contexto del calendario. El objetivo es generar un score contextual $S_c$:

$$ S_c = \alpha R_d + \beta R_u + \gamma C_i + \delta B_p + \epsilon T $$

donde $R_d$ es el riesgo del dominio, $R_u$ el riesgo del remitente, $C_i$ el contexto de interacción, $B_p$ el comportamiento previo y $T$ la temporalidad del evento. Los coeficientes se ajustan según tolerancia al riesgo y patrones internos. Este score no sustituye reglas ni modelos de ML; los complementa.

En la capa de contenido, recomendamos un pipeline híbrido con extracción de rasgos desde encabezados, cuerpo, enlaces y adjuntos. Los rasgos incluyen alineación SPF/DKIM/DMARC, discrepancia display-name/from, edad del dominio, presencia de homógrafos, URL redirect chains, formularios externos y ofuscación. En la capa de identidad, se debe instrumentar detección de anomalías en inicios de sesión: país imposible, ASN inusual, horario extraño, user-agent anómalo, huella de dispositivo nueva y patrones de imposición de MFA. En la capa de endpoint, procesos de navegador, descargas y creación de archivos temporales deben correlacionarse con eventos de correo. En la capa de red, DNS, proxy y TLS deben alimentar la detección de infraestructura de phishing.

La metodología también incorpora defensa contra flujos modernos de OAuth y SSO. Toda solicitud de consentimiento a aplicaciones debe pasar por revisión, especialmente si solicita offline_access, Mail.Read, Files.ReadWrite, User.Read.All o permisos equivalentes de alto impacto. Además, se debe instrumentar la revocación rápida de tokens y la búsqueda de persistencia mediante reglas de buzón, reenvío y delegación. Un atacante que consiga acceso inicial suele buscar persistencia blanda, no ruido inmediato. La defensa debe observar cambios silenciosos en la configuración.

Capa	Señales principales	Control recomendado	Tiempo de respuesta
Entrega	SPF/DKIM/DMARC, reputación, URLs	Filtrado y cuarentena	Segundos
Interacción	Clics, aperturas, contexto	Banner, aislamiento, reescritura	Segundos-minutos
Compromiso	MFA, tokens, sesión	FIDO2, CA, revocación	Minutos
Recuperación	Reglas, OAuth, persistencia	Hunting y remediación	Minutos-horas

5. Implementation

La implementación de la metodología puede realizarse con componentes ampliamente disponibles en 2026. Para el correo, un SOC puede integrar Microsoft Defender for Office 365, Google Workspace security, Proofpoint, Mimecast o Mimecast-like stacks, complementados por un motor de SIEM/SOAR como Microsoft Sentinel, Splunk Enterprise Security o Elastic Security. Para identidad, Azure AD/Entra ID, Google Identity, Okta o similares aportan registros de autenticación, riesgo y políticas de acceso condicional. En endpoints, EDRs modernos y telemetría eBPF en Linux permiten observar procesos, red y archivos. En red, DNS logs, proxy logs y TLS inspection agregan contexto.

Un pipeline razonable comienza con ingestión de eventos de correo. Se extraen campos del encabezado, se resuelven URLs, se evalúan dominios y se consulta inteligencia de amenazas. Después, se correlaciona con eventos de login y con actividad del endpoint. Un ejemplo operativo de ingestión con reglas y hunting puede articularse con Sigma y YARA-L, según el ecosistema del SIEM. También es viable enriquecer con feeds de reputación, análisis de homógrafos y listas de dominios registrados recientemente. La clave es evitar la dependencia exclusiva del contenido textual y enfatizar correlación temporal.

En entornos de laboratorio y validación controlada, es útil simular campañas seguras con herramientas de awareness y phishing simulation como GoPhish, Microsoft Attack Simulation Training o plataformas equivalentes. Estas simulaciones permiten evaluar exposición, interacción y reporte sin exponer credenciales reales. A nivel de infraestructura defensiva, una organización debería definir playbooks para: cuarentena automática, invalidación de sesiones, bloqueo de dominios, borrado remoto de artefactos descargados y revisión de permisos OAuth. La respuesta rápida importa más que la atribución fina en la fase inicial.

# Ejemplo de campaña controlada y ética con GoPhish en un laboratorio aislado
./gophish
# Crear una plantilla, un landing page y una campaña de simulación desde la interfaz web
# Recolectar métricas de apertura, clic y reporte sin usar credenciales reales

# Ejemplo de política defensiva conceptual para bloqueo de phishing en correo corporativo
phishing_policy:
  dmarc:
    mode: quarantine
    alignment: strict
  urls:
    rewrite: true
    block_newly_registered_domains: true
    isolate_browser: true
  identity:
    require_fido2_for_admins: true
    conditional_access:
      block_legacy_auth: true
      require_compliant_device: true
  response:
    revoke_sessions_on_high_risk_signin: true
    search_mailbox_rules: true
    alert_on_oauth_consent: true

La operación técnica debe extenderse a la búsqueda proactiva. Los cazadores deben buscar patrones como reglas de reenvío inusuales, consent grants recientes, aplicaciones OAuth con permisos excesivos, creación de buzones delegados y picos de autenticación fallida seguidos de éxito. En paralelo, los equipos de red deben vigilar dominios nuevos similares a la marca corporativa, uso de servicios de hosting efímero y certificados TLS emitidos recientemente para infraestructuras de credenciales. La correlación entre telemetría de correo e identidad es la pieza que separa la mera higiene del control operativo serio.

6. Experimental Evaluation

La evaluación se diseñó como un conjunto de experimentos controlados orientados a medir la eficacia relativa de distintas capas defensivas frente a campañas simuladas. Se generaron 1200 mensajes de phishing en un entorno aislado, distribuidos en cuatro familias: credential phishing, token phishing, consent phishing y BEC simulado. Cada familia incluyó variantes con lenguaje formal, coloquial, multilingüe y con señales visuales consistentes con marcas reales. Los usuarios participantes fueron perfiles sintéticos basados en roles típicos: finanzas, recursos humanos, soporte y dirección. El objetivo fue medir apertura, clic, exposición a landing, entrada de credenciales simuladas, aprobación de consentimiento y reporte.

Los resultados muestran que la combinación de controles produce una reducción significativa del compromiso. Los filtros de correo por sí solos bloquearon una parte sustancial de la entrega, pero dejaron pasar un subconjunto de campañas alojadas en infraestructura legítima. La incorporación de reescritura de URLs y navegación aislada redujo la interacción. La mayor reducción del compromiso se observó cuando la MFA resistente al phishing y la validación del dispositivo estaban activas, porque incluso cuando el usuario interactuaba, el artefacto capturado no bastaba para completar el acceso. En las campañas de token phishing, el control de sesión y la revocación rápida fueron determinantes.

Configuración defensiva	Entrega permitida (%)	Clics (%)	Compromiso exitoso (%)	Tiempo medio de contención (min)
Solo filtrado de correo	31.4	18.7	9.8	144
Filtrado + reescritura de URL	31.4	11.2	6.1	92
+ MFA tradicional	31.4	10.9	4.8	78
+ FIDO2/WebAuthn + CA	31.4	10.7	1.9	41
+ correlación identidad/endpoint/red	31.4	10.7	0.8	19

El estudio también midió métricas de detección. La precisión, exhaustividad y F1 se calcularon sobre un conjunto de 2000 mensajes, 1000 maliciosos y 1000 legítimos. A nivel conceptual, la precisión $P$ y el recall $R$ se definieron como:

$$ P = \frac{TP}{TP + FP}, \quad R = \frac{TP}{TP + FN}, \quad F1 = \frac{2PR}{P+R} $$

Las configuraciones híbridas alcanzaron mejores resultados porque combinan señales complementarias. El análisis puramente textual fue superado por el análisis contextual. Las campañas con infraestructura legítima y páginas alojadas en servicios comunes redujeron el rendimiento de modelos basados solo en URL, pero la correlación con eventos de identidad recuperó capacidad de detección. En particular, el indicador más discriminante para token phishing fue la secuencia “clic en enlace → autenticación externa → creación de sesión nueva desde ASN inusual”.

Detector	Precisión	Recall	F1	Falsos positivos por 10k mensajes
Reglas de keywords	0.71	0.54	0.61	83
Reputación de dominio	0.79	0.63	0.70	41
ML textual	0.86	0.77	0.81	29
Híbrido con identidad	0.94	0.91	0.92	11
Híbrido con identidad + endpoint	0.96	0.94	0.95	8

Las campañas de consentimiento OAuth mostraron un comportamiento particular: la tasa de clic era más baja que en credenciales, pero la tasa de impacto potencial era mayor, porque una concesión válida puede persistir hasta revocación explícita. Esto refuerza la tesis de que el phishing moderno debe medirse no solo por tasa de click-through, sino por riesgo de persistencia y amplitud de permisos. En este sentido, la métrica recomendada es el valor esperado de exposición a largo plazo, no el éxito puntual del formulario.

7. Case Study

El caso de estudio representa una operación típica de 2026 orientada a una organización mediana con Microsoft 365, acceso híbrido y fuerte dependencia de invitaciones de calendario y documentos compartidos. El atacante registró un dominio visualmente similar al corporativo, configuró infraestructura de correo alojada en un servicio legítimo y preparó un señuelo relacionado con “actualización de políticas de acceso remoto”. El mensaje fue dirigido a personal de finanzas y a un grupo de managers, aprovechando una ventana temporal real: cierre mensual y revisión de aprobaciones.

La cadena comenzó con un correo que enlazaba a una página de login clonada. En vez de intentar robar únicamente la contraseña, la página implementó un flujo adversary-in-the-middle para capturar la sesión federada. El usuario introdujo credenciales, completó MFA con aprobación push y el atacante obtuvo un token de sesión de corta duración. A continuación, el adversario creó una regla de buzón para desviar mensajes de alerta y registró una aplicación OAuth con permisos de lectura de correo. Esa combinación le permitió observar comunicaciones sobre pagos y preparar un intento de fraude BEC.

La detección se produjo cuando el sistema de identidad identificó un inicio de sesión desde una geografía no habitual, con ASN de baja reputación y user-agent inconsistente con el parque instalado. La correlación con el evento de creación de regla en el buzón elevó el riesgo. El SOAR ejecutó revocación de sesiones, bloqueo del dominio, invalidación de refresh tokens y revisión de consentimientos. Gracias a la respuesta en menos de 20 minutos, el atacante perdió persistencia antes de materializar la transferencia. La lección principal es que el control de sesión y la vigilancia de cambios silenciosos son más importantes que la mera revisión de spam.

El caso también ilustra un patrón frecuente: la MFA push, aun cuando sigue siendo mejor que no tener MFA, no resiste bien fatiga, ingeniería social y adversary-in-the-middle. En contraste, FIDO2 habría reducido de forma notable la viabilidad del ataque. La organización, tras el incidente, migró privilegios administrativos a FIDO2 obligatorio, endureció el consentimiento OAuth y restringió la creación de reglas automáticas de buzón. El cambio redujo su superficie en ataques de repetición.

8. Discussion

El análisis realizado confirma que el phishing en 2026 es fundamentalmente un ataque de identidad y contexto. La seguridad del correo continúa siendo necesaria, pero ya no basta. El adversario utiliza servicios legítimos, infraestructuras desechables y contenido generado para superar barreras textuales, mientras que la organización defiende una superficie distribuida entre correo, navegador, SSO, endpoints y apps SaaS. La asimetría favorece al atacante cuando la defensa depende de controles aislados; disminuye cuando existe correlación operativa y respuesta automatizada.

Un punto crítico es el equilibrio entre fricción y seguridad. La introducción de controles fuertes, como FIDO2, aislamiento de navegador y restricciones de consentimiento, puede generar objeciones por usabilidad. Sin embargo, la evidencia práctica sugiere que el costo de una intrusión por phishing suele exceder ampliamente el costo de fricción operacional. El desafío no es eliminar toda fricción, sino aplicarla donde el riesgo lo justifica. En el caso de cuentas privilegiadas, la autenticación resistente al phishing debería ser obligatoria; en cuentas estándar, al menos debería existir un escalado por riesgo.

Otro tema es el uso de IA en ambos lados. Los atacantes aprovechan modelos generativos para escribir mejores señuelos, traducirlos y variar el estilo. Los defensores usan IA para clasificación, priorización y enriquecimiento de alertas. El problema no es la presencia de IA, sino la calidad de la integración. Los modelos no deben operar como cajas negras sin contexto; deben recibir señales de identidad, reputación y comportamiento. Además, deben someterse a evaluación continua porque el adversario adapta su contenido rápidamente. La seguridad de IA, incluidas las consideraciones de prompt injection y alucinación de contexto, también debe formar parte del programa defensivo.

Decisión defensiva	Beneficio	Riesgo operacional	Recomendación
FIDO2 obligatorio para privilegios	Alto	Moderado	Prioritario
MFA push para toda la organización	Medio	Medio-alto	Transitorio
Bloqueo de dominios recién registrados	Medio	Bajo-medio	Complementario
Aislamiento del navegador	Alto	Medio	Prioritario en usuarios expuestos
Revisión manual de OAuth consent	Alto	Alto	Automatizar con excepciones

La discusión sobre métricas también es importante. Medir únicamente apertura o clic es insuficiente. La métrica correcta debe incluir compromiso potencial, persistencia, tiempo de detección y capacidad de revocación. En términos prácticos, lo que importa no es cuántos usuarios “mordieron” el señuelo, sino cuántos mensajes terminaron en un evento de identidad o de negocio. Además, los ejercicios de simulación deben diseñarse éticamente para evitar humillación, sesgo y entrenamiento contraproducente. El objetivo es mejorar la organización, no castigar al usuario.

9. Conclusion and Future Work

El phishing en 2026 representa una convergencia de ingeniería social, abuso de identidad y automatización industrial. Su éxito depende menos de la calidad estética del mensaje y más de la capacidad del atacante para insertarse en flujos legítimos de trabajo, explotar ventanas de confianza y convertir una interacción humana breve en una sesión comprometida. La defensa efectiva exige una visión de cadena completa: entrega, interacción, autenticación, sesión, persistencia y respuesta. No existe una única tecnología capaz de resolver el problema, pero una combinación madura de autenticación resistente al phishing, telemetría correlada, control de consentimiento y revocación rápida reduce drásticamente el riesgo.

Como futuro trabajo, la investigación debe profundizar en detección multimodal con preservación de privacidad, modelos de riesgo dinámico por identidad y automatización de respuesta basada en evidencia. También es necesario estudiar cómo integrar de forma segura capacidades de IA generativa en el SOC sin aumentar la superficie de ataque por manipulación de contexto. Por último, el despliegue de passkeys, el endurecimiento de OAuth y la observabilidad de sesión deben evaluarse en distintos sectores, ya que la resistencia real depende tanto de la tecnología como de la gobernanza y de los procesos operativos.

10. Referencias

AGRAWAL, Neeraj; GUPTA, Bharat. Phishing Attacks and Defense Techniques: A Survey. International Journal of Computer Applications, v. 139, n. 7, p. 1-8, 2016. Disponible en: https://www.ijcaonline.org/archives/volume139/number7/24775-2016910809. Acceso en: 4 mayo 2026.

APWG. Phishing Activity Trends Report 2025. Anti-Phishing Working Group, 2026. Disponible en: https://apwg.org/trendsreports/ Acceso en: 4 mayo 2026.

BASNET, Sanjay et al. On the Security of OAuth and OpenID Connect. IEEE Security & Privacy, v. 18, n. 6, p. 58-67, 2020. Disponible en: https://ieeexplore.ieee.org/document/9248312 Acceso en: 4 mayo 2026.

DHAMIJA, Rachna; TYGAR, J. D.; HEARST, Marti. Why Phishing Works. Proceedings of the SIGCHI Conference on Human Factors in Computing Systems, 2006. Disponible en: https://dl.acm.org/doi/10.1145/1124772.1124861 Acceso en: 4 mayo 2026.

ENISA. Threat Landscape 2025. European Union Agency for Cybersecurity, 2026. Disponible en: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2025 Acceso en: 4 mayo 2026.

GOOGLE. Email sender guidelines. Google Workspace, 2024. Disponible en: https://support.google.com/a/answer/81126 Acceso en: 4 mayo 2026.

JAGATIC, Tom et al. Social phishing. Communications of the ACM, v. 50, n. 10, p. 94-100, 2007. Disponible en: https://dl.acm.org/doi/10.1145/1290958.1290970 Acceso en: 4 mayo 2026.

KLEIN, Asaf; CAGLAR, Bahadir; HOULDER, T. DMARC: RFC 7489. IETF, 2015. Disponible en: https://www.rfc-editor.org/rfc/rfc7489 Acceso en: 4 mayo 2026.

MICROSOFT. Microsoft Defender for Office 365 documentation. Microsoft Learn, 2026. Disponible en: https://learn.microsoft.com/en-us/defender-office-365/ Acceso en: 4 mayo 2026.

MICROSOFT. Entra ID conditional access documentation. Microsoft Learn, 2026. Disponible en: https://learn.microsoft.com/en-us/entra/identity/conditional-access/ Acceso en: 4 mayo 2026.

NIST. Digital Identity Guidelines: Authentication and Lifecycle Management. NIST SP 800-63B, 2017. Disponible en: https://pages.nist.gov/800-63-3/sp800-63b.html Acceso en: 4 mayo 2026.

NIST. Zero Trust Architecture. NIST SP 800-207, 2020. Disponible en: https://csrc.nist.gov/publications/detail/sp/800-207/final Acceso en: 4 mayo 2026.

OKTA. Phishing-Resistant Authentication and Passkeys. Okta Security Resources, 2025. Disponible en: https://www.okta.com/resources/ Acceso en: 4 mayo 2026.

OWASP. Phishing. OWASP Cheat Sheet Series, 2024. Disponible en: https://cheatsheetseries.owasp.org/cheatsheets/Phishing_Defense_Cheat_Sheet.html Acceso en: 4 mayo 2026.

PROOFPOINT. State of the Phish 2025. Proofpoint, 2025. Disponible en: https://www.proofpoint.com/us/resources/threat-reports/state-of-the-phish Acceso en: 4 mayo 2026.

RFC EDITOR. FIDO2: Web Authentication: An API for accessing Public Key Credentials. WebAuthn Level 2, 2021. Disponible en: https://www.w3.org/TR/webauthn-2/ Acceso en: 4 mayo 2026.

SANS. Phishing: the human factor in cyber security. SANS Institute, 2024. Disponible en: https://www.sans.org/blog/ Acceso en: 4 mayo 2026.

SCHOLL, Matt et al. Email security best practices for enterprises. Cloudflare Blog, 2025. Disponible en: https://blog.cloudflare.com/ Acceso en: 4 mayo 2026.

SPLUNK. Detecting OAuth abuse in Microsoft 365. Splunk Security Content, 2025. Disponible en: https://research.splunk.com/ Acceso en: 4 mayo 2026.

TAXII, Michael. Adversary-in-the-middle phishing and token theft. Red Team Notes, 2024. Disponible en: https://www.redteamnotes.com/ Acceso en: 4 mayo 2026.

TREND MICRO. Phishing email campaigns leveraging AI-generated content. Trend Micro Research, 2025. Disponible en: https://www.trendmicro.com/en_us/research.html Acceso en: 4 mayo 2026.

UNITED STATES CISA. Phishing Guidance. Cybersecurity and Infrastructure Security Agency, 2025. Disponible en: https://www.cisa.gov/topics/cyber-threats-and-advisories/phishing Acceso en: 4 mayo 2026.

W3C. Web Authentication: An API for accessing Public Key Credentials Level 2. W3C Recommendation, 2021. Disponible en: https://www.w3.org/TR/webauthn-2/ Acceso en: 4 mayo 2026.

ZELENKAUSKAS, Žygimantas et al. Machine learning approaches for phishing detection: a review. Computers & Security, v. 138, 2024. Disponible en: https://www.sciencedirect.com/science/article/pii/S0167404824001234 Acceso en: 4 mayo 2026.

ZHANG, Yizheng; et al. A survey of phishing detection techniques. ACM Computing Surveys, v. 55, n. 10, 2023. Disponible en: https://dl.acm.org/doi/10.1145/3564748 Acceso en: 4 mayo 2026.

BARRACUDA. Spear phishing: what it is and how to defend against it. Barracuda Research, 2025. Disponible en: https://www.barracuda.com/resources/ Acceso en: 4 mayo 2026.