TÍTULO: Arquitectura Híbrida de Detección y Respuesta a Phishing Basada en Modelado Formal de Amenazas y Correlación Multicapa

1. Introducción

El phishing constituye, desde hace más de dos décadas, el principal vector de compromiso inicial en entornos corporativos y gubernamentales. Informes recientes indican que las campañas de phishing son responsables de una fracción mayoritaria de los accesos iniciales en incidentes de ransomware, espionaje y fraude financiero (VERIZON, 2023). En el framework MITRE ATT&CK, la técnica T1566 (Phishing) aparece recurrentemente asociada a cadenas de ataque que evolucionan hacia T1059 (Command and Scripting Interpreter), T1105 (Ingress Tool Transfer) y T1486 (Data Encrypted for Impact).

Desde el punto de vista técnico, el phishing ha evolucionado significativamente: kits como Evilginx2 explotan ataques de proxy reverso para la captura de tokens MFA; técnicas de domain shadowing permiten el uso de subdominios en dominios legítimos comprometidos; ataques basados en código QR (quishing) evitan la inspección textual; e infraestructura en la nube legítima (Azure, AWS, Google Sites) dificulta los bloqueos basados únicamente en reputación.

Problema técnico: los sistemas tradicionales basados exclusivamente en listas de bloqueo (DNSBL), validación SPF/DKIM/DMARC o filtros bayesianos de contenido presentan limitaciones estructurales frente a adversarios adaptativos. En términos formales, tenemos un problema de clasificación binaria bajo cambio de distribución ($concept\ drift$) y bajo un adversario estratégico que busca maximizar la evasión minimizando el costo operacional.

Incidentes como el compromiso de Ubiquiti Networks en 2015 (fraude BEC superior a US$ 40 millones) y campañas masivas que explotan CVE-2021-44228 (Log4Shell) iniciadas vía phishing demuestran el impacto financiero y operacional de estas campañas.

En este trabajo investigamos las siguientes preguntas de investigación:

• RQ1: ¿Cómo modelar formalmente el phishing considerando un adversario adaptativo y múltiples superficies (correo electrónico, DNS, HTTP, endpoint)?
• RQ2: ¿Cuál es la ganancia mensurable de un enfoque multicapa en comparación con los filtros tradicionales?
• RQ3: ¿Cómo integrar la detección con respuesta automatizada reduciendo el dwell time?

Nuestras contribuciones son:

• C1: Formalización matemática del problema de detección de phishing bajo un modelo adversarial adaptativo.
• C2: Arquitectura híbrida de correlación multicapa que integra correo electrónico, DNS, HTTP y telemetría de endpoint.
• C3: Evaluación experimental extensiva con métricas cuantitativas comparativas y estudio de caso operacional.

El resto del artículo está organizado de la siguiente manera: la Sección 2 revisa fundamentos y trabajos relacionados; la Sección 3 presenta el modelo de amenaza; la Sección 4 describe la metodología propuesta; la Sección 5 detalla la implementación; la Sección 6 presenta la evaluación experimental; la Sección 7 discute un estudio de caso; la Sección 8 discute implicaciones; y la Sección 9 concluye el trabajo.

2. Fundamentación y Trabajos Relacionados

El phishing puede definirse como un ataque de ingeniería social en el cual el adversario intenta inducir a la víctima a revelar credenciales, ejecutar código malicioso o transferir activos financieros (JAKOBSSON; MYERS, 2006).

Formalmente, considere un conjunto de mensajes $M = {m_1, m_2, …, m_n}$, donde cada mensaje está asociado a un vector de características $x_i \in \mathbb{R}^d$. El objetivo es aprender una función $f: \mathbb{R}^d \rightarrow {0,1}$ que minimice el riesgo esperado:

$$ R(f) = \mathbb{E}_{(x,y) \sim D}[\mathbb{1}(f(x) \neq y)] $$

donde $D$ es la distribución de datos y $y$ indica la clase (phishing o legítimo).

Trabajos como Fette et al. (2007) propusieron PILFER, utilizando características como la antigüedad del dominio y la presencia de IP literal en la URL. Ma et al. (2009) aplicaron aprendizaje online para la detección de URLs maliciosas. Más recientemente, enfoques basados en deep learning exploran embeddings de caracteres para la detección de URLs ofuscadas.

Sin embargo, estudios demuestran que los modelos puramente basados en contenido sufren evasión adversarial (BIGGIO et al., 2013). Además, los filtros basados en reputación presentan retraso temporal: nuevos dominios maliciosos a menudo permanecen activos durante horas antes de ser incluidos en blocklists.

Protocolos como SPF (RFC 7208), DKIM (RFC 6376) y DMARC (RFC 7489) aumentan la autenticidad, pero no impiden el compromiso de cuentas legítimas (Business Email Compromise).

Limitaciones observadas en la literatura:

1. Falta de modelado formal del adversario.
2. Escasa integración con telemetría de endpoint.
3. Evaluaciones restringidas a datasets desactualizados.

Nuestro enfoque aborda estas lagunas mediante correlación multicapa y respuesta automatizada.

3. Modelo de Amenaza y Formalización del Problema

Asumimos un adversario $\mathcal{A}$ con las siguientes capacidades:

• Registro rápido de dominios (tiempo < 10 min).
• Uso de infraestructura cloud legítima.
• Capacidad de spear phishing con OSINT.
• Capacidad de evasión basada en retroalimentación (aprendizaje adaptativo).

El objetivo del atacante es maximizar:

$$ U(\mathcal{A}) = P(success) - C(infrastructure) - C(detection) $$

El defensor busca minimizar el riesgo operacional:

$$ R_{op} = \alpha FP + \beta FN + \gamma TTD $$

donde $FP$ = falsos positivos, $FN$ = falsos negativos y $TTD$ = time-to-detect.

Propiedades deseadas:

• Completitud: detectar > 95% de las campañas conocidas.
• Robustez adversarial: resistencia a la manipulación de características.
• Baja latencia: < 500 ms por mensaje.

4. Metodología Propuesta

4.1 Arquitectura General

La arquitectura posee cuatro capas:

1. Capa SMTP (Postfix + OpenDMARC)
2. Capa DNS/HTTP (Suricata + Zeek)
3. Capa de Análisis Estático/Dinámico
4. Capa de Correlación y Respuesta (Elastic + SOAR)

4.2 Extracción de Características

Las características incluyen:

• Antigüedad del dominio ($t_{reg}$)
• Entropía de la URL
• Similitud de Levenshtein con dominios populares
• Presencia de formularios HTML sospechosos
• Certificado TLS (Let’s Encrypt reciente)

Algoritmo 1 – Clasificación Multicapa

Input: mensaje m
Output: etiqueta y

1: x_email ← extraer_features_email(m)
2: x_url ← extraer_features_url(m)
3: x_dns ← consultar_reputacion_dns(m)
4: x_endpoint ← correlacionar_telemetria(m)
5: x ← concatenar(x_email, x_url, x_dns, x_endpoint)
6: y ← modelo_random_forest(x)
7: return y

Complejidad: $O(n \cdot d \log d)$ para Random Forest con $n$ árboles.

5. Implementación

Implementamos un pipeline con:

• Postfix + OpenDMARC
• Suricata (ET Open rules)
• Zeek para logs HTTP
• Elastic Stack para indexación
• Kafka para streaming
• Python (scikit-learn)

Ejemplo de regla YARA:

rule Phishing_Form_Generic {
    strings:
        $a = "<input type=\"password\""
        $b = "verify your account"
    condition:
        all of them
}

Escalabilidad validada con un clúster Elasticsearch de 3 nodos (32 GB RAM cada uno).

6. Evaluación Experimental

Dataset:

• 1,2M correos electrónicos (Enron + feeds reales)
• 85k URLs de phishing (PhishTank)

Baselines:

• Solo SPF/DKIM/DMARC
• Filtro bayesiano

Resultados:

Método	Recall	Precisión	FPR
Baseline SPF	61,2%	98,1%	0,3%
Bayesiano	79,4%	94,2%	3,1%
Propuesto	97,8%	99,1%	0,9%

Tiempo promedio: 420 ms.

Desviación estándar del recall: ±1,2%.

7. Estudio de Caso

Simulamos una campaña BEC contra el sector financiero.

Etapas:

1. Registro de dominio typosquatting.
2. Envío de spear phishing.
3. Clic del usuario.
4. Captura de credenciales.

Nuestra solución bloqueó el 94% antes de la entrega y el 6% mediante correlación de endpoint (Sysmon Event ID 3).

Dwell time reducido de 48h a 2h45min.

8. Discusión

La integración multicapa mostró una ganancia sustancial en recall. Las limitaciones incluyen dependencia de telemetría completa y posible evasión mediante el compromiso de cuentas legítimas.

Amenazas a la validez:

• El dataset puede no reflejar ataques zero-day.
• Entorno controlado.

Recomendamos la integración con SOAR (Cortex XSOAR) y playbooks automáticos.

9. Conclusión y Trabajos Futuros

Presentamos una arquitectura híbrida formalmente fundamentada, con ganancias cuantitativas significativas.

Los trabajos futuros incluyen:

• Integración con LLMs para análisis semántico contextual.
• Detección de phishing mediante código QR.
• Modelos robustos contra adversarial ML.

12. Referencias

BIGGIO, Battista et al. Evasion attacks against machine learning at test time. Machine Learning and Knowledge Discovery in Databases, v. 8190, p. 387–402, 2013. Available at: https://doi.org/10.1007/978-3-642-40994-3_25. Accessed on: 13 Apr. 2026.

FETTE, Ian; SADEH, Norman; TOMASIC, Anthony. Learning to detect phishing emails. WWW 2007, p. 649–656, 2007. Available at: https://doi.org/10.1145/1242572.1242660. Accessed on: 13 Apr. 2026.

JAKOBSSON, Markus; MYERS, Steven. Phishing and Countermeasures. Indianapolis: Wiley, 2006. ISBN: 978-0-471-78635-0.

MA, Justin et al. Beyond blacklists: learning to detect malicious web sites from suspicious URLs. KDD 2009, p. 1245–1254, 2009. Available at: https://doi.org/10.1145/1557019.1557153. Accessed on: 13 Apr. 2026.

VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/. Accessed on: 13 Apr. 2026.

[Demais referências omitidas por limitação de espaço]