Cómo mantenerte protegido online durante las fiestas

Una mujer con un suéter gris sentada a una mesa mirando el teléfono.

Lo que deben saber los equipos de seguridad

A los ciberdelincuentes les encanta encontrar una buena oportunidad para aprovecharse de la gente y, durante las fiestas, les resulta más fácil cuando las personas están distraídas. Entre las compras, el tiempo en familia, esos desagradables resfriados que se propagan y el contacto con los seres queridos por Internet, los actores de amenazas lo tienen fácil.

Por desgracia, ese aumento de la actividad legítima ofrece cobertura a los actores de amenazas. Los datos de Inteligencia contra amenazas Microsoft muestran que los atacantes programan sus campañas para coincidir con momentos en los que las personas están distraídas, tienen prisa y confían más en los correos electrónicos de minoristas o servicios de reparto.

Estos patrones estacionales aparecen de forma constante en la telemetría de Microsoft y en el Informe de protección digital de Microsoft de 2025 (MDDR), que destaca cómo los ataques de ingeniería social y suplantación de identidad impulsados por IA aumentan tanto en volumen como en tasa de éxito durante los periodos con un gran volumen de transacciones.

Esto es lo que los equipos de seguridad y los usuarios deben tener en cuenta cuando se acercan las fiestas.

Phishing mediante código de dispositivo

Durante el ajetreo de las fiestas, cuando realmente aumentan las confirmaciones de pedidos, las actualizaciones de envíos, las comprobaciones de identidad y las alertas de fraude, los actores de amenazas aprovechan el ruido. Envían mensajes en los que piden a los usuarios que introduzcan un "código de verificación" para solucionar un problema con una compra o confirmar una entrega. El pretexto resulta familiar y urgente, lo que reduce las sospechas. Pero introducir ese código puede conceder a los atacantes acceso OAuth a la cuenta del usuario sin que se requiera una contraseña.

Inteligencia contra amenazas Microsoft ha observado un aumento constante de estas técnicas de toma de control de cuentas sin credenciales tanto en entornos de consumo como empresariales. Los atacantes usan códigos de dispositivo y phishing basado en consentimiento porque son métodos sencillos, escalables y muy eficaces para eludir los controles tradicionales contra el robo de credenciales. Durante los periodos de mayor volumen de compras, estos señuelos se confunden perfectamente con las comunicaciones legítimas, lo que dificulta su detección y aumenta la probabilidad de que la seguridad se vea comprometida.

Cómo mitigar el phishing mediante código de dispositivo

Restringe el flujo de código de dispositivo siempre que sea posible
Mejora la claridad del inicio de sesión y la verificación de los usuarios
Revoca el acceso inmediatamente cuando se detecte actividad sospechosa
Usa directivas de riesgo de inicio de sesión para automatizar la contención
Supervisa continuamente los inicios de sesión de riesgo

Ataques con CAPTCHA falsos (técnicas de ClickFix)

Las ofertas de viajes para las fiestas, las ventas flash y la búsqueda de regalos de última hora crean las condiciones ideales para que los atacantes pasen desapercibidos. Los ataques de redirección que suplantan confirmaciones de reservas o correos promocionales suelen llevar a las víctimas a una página de CAPTCHA, un patrón en el que los usuarios confían y que rara vez cuestionan. Pero no son CAPTCHA reales. Ahora los actores de amenazas los usan como medio para transmitir instrucciones de ingeniería social y hacen que las víctimas peguen comandos maliciosos directamente en el cuadro de diálogo Ejecutar de Windows o en terminales.

Inteligencia contra amenazas Microsoft ha advertido recientemente sobre el rápido crecimiento de estas técnicas de ClickFix. No requieren ninguna cadena de vulnerabilidad de seguridad, solo que el usuario actúe. Esta sencillez hace que estas técnicas sean muy escalables y especialmente peligrosas durante los picos estacionales, cuando los compradores actúan con rapidez y es más probable que sigan instrucciones que parecen rutinarias.

Por ejemplo, justo antes de Acción de Gracias, Inteligencia contra amenazas Microsoft detectó y bloqueó una campaña de phishing de gran volumen de Storm-0900 dirigida a decenas de miles de usuarios de Estados Unidos. El actor programó la operación para que coincidiera con un festivo en el que las personas estaban distraídas y esperaban mensajes urgentes.

Los correos usaban señuelos familiares, como multas de aparcamiento, resultados médicos y referencias a Acción de Gracias. Cada mensaje redirigía a las víctimas a un sitio controlado por el atacante con un CAPTCHA falso con un control deslizante, seguido de una instrucción de ClickFix.

Microsoft interrumpió la campaña mediante filtrado, protección de puntos de conexión y bloqueo preventivo de la infraestructura del atacante. Sin embargo, la campaña es un claro ejemplo de cómo los actores de amenazas combinan patrones de UX familiares (como los CAPTCHA) con técnicas que requieren la ejecución por parte del usuario para eludir los controles tradicionales.

Cómo mitigar los ataques con CAPTCHA falsos y ClickFix

Aplica el control de aplicaciones y restringe las rutas de ejecución de comandos
Deshabilita o restringe al máximo las interfaces de línea de comandos que no sean necesarias
Refuerza las directivas de filtrado de navegadores y URL
Mejora la capacidad de los usuarios para detectar acciones inesperadas
Supervisa patrones inusuales de ejecución de comandos
Mantén un diseño de cuentas con privilegios mínimos

Estafas de suplantación del soporte técnico

Las personas viajan con dispositivos personales menos seguros, usan la WiFi de los hoteles y se encuentran con más problemas técnicos. Los atacantes se aprovechan de ello suplantando al personal de soporte para resolver problemas inexistentes. Estas estafas aumentan de forma sistemática entre noviembre y enero, sobre todo entre familiares de edad avanzada o personas con pocos conocimientos técnicos.

El MDDR de 2025 destaca las estafas de soporte técnico como una de las categorías de fraude con más éxito en todo el mundo. Más concretamente, la extorsión y el ransomware están detrás de la mitad de todos los ciberataques.

Los actores de amenazas utilizan cada vez más guiones generados por IA, identidades convincentes por teléfono y suplantación de marcas para dar credibilidad. El resultado es un pretexto convincente que puede provocar la instalación de malware de acceso remoto, el robo de credenciales o el control total de una cuenta.

Para los equipos de seguridad y los directivos, estas estafas son especialmente preocupantes porque difuminan la línea entre el riesgo personal y el corporativo: un dispositivo personal comprometido conectado a la WiFi de un hotel puede convertirse rápidamente en punto de partida para ataques de mayor alcance.

Cómo mitigar las estafas de suplantación del soporte técnico

Reduce la superficie expuesta a ataques con controles estrictos de acceso remoto
Refuerza la cultura de verificación en toda la organización
Enseña a los usuarios a desconfiar de la urgencia y de las ofertas de ayuda
Refuerza la seguridad de los dispositivos utilizados durante los viajes
Bloquea dominios similares y sitios de suplantación de identidad
Supervisa el uso indebido de herramientas de acceso remoto y patrones inusuales del servicio de asistencia
Ofrece canales de notificación claros y rápidos

Notificaciones falsas de envío y entrega

Durante las compras navideñas, todo el mundo se convierte en una máquina de rastrear paquetes. Los actores de amenazas se cuelan en ese proceso mental. Cuando alguien está pendiente de una docena de envíos, un correo más que afirma que hay un retraso o que es necesario confirmar la dirección no despierta sospechas.

Según el Informe de protección digital, el phishing relacionado con envíos es una de las categorías de suplantación más explotadas. Inteligencia contra amenazas Microsoft observa picos previsibles en estos señuelos relacionados con la logística cada temporada festiva, en los que los atacantes suplantan a transportistas conocidos, como UPS, USPS, FedEx, Amazon, DHL y servicios postales regionales. La imagen de marca resulta convincente, el momento es plausible y las expectativas de los usuarios durante las semanas de mayor volumen de compras hacen que estos ataques sean especialmente eficaces.

Como estas campañas imitan los flujos de transacciones legítimos y suelen incorporar números de seguimiento reales obtenidos de filtraciones de datos o buzones rastreados, a los usuarios les resulta cada vez más difícil distinguirlas de las notificaciones auténticas.

Cómo mitigar las estafas de notificaciones falsas de envío y entrega

Aplica protecciones de URL y dominios que neutralicen los intentos de suplantación
Refuerza los hábitos de verificación de los usuarios durante los periodos de mayor volumen de compras
Introduce comprobaciones adicionales de Acceso condicional en las acciones financieras sensibles
Añade detección basada en comportamiento para la creación de reglas de correo y las anomalías de reenvío
Implementa protección contra la suplantación y directivas de autenticación del remitente

Estafas de organizaciones benéficas y donaciones

La generosidad estacional aumenta en el cuarto trimestre, especialmente durante el Giving Tuesday, y los atacantes se aprovechan de ello. La IA permite ahora a los actores de amenazas generar a gran escala sitios web profesionales de organizaciones sin ánimo de lucro, historias emotivas y formularios de donación persuasivos. Crean relatos urgentes y conmovedores sobre ayuda en catástrofes, campañas comunitarias o campañas navideñas de última hora, con la esperanza de combinar la buena voluntad con la distracción y la presión.

Cómo mitigar las estafas de organizaciones benéficas y donaciones

Refuerza la cultura de verificación, especialmente durante las épocas de mayor actividad de donaciones
Promueve el uso de plataformas de donaciones verificadas
Bloquea y supervisa dominios similares o registrados recientemente
Aplica controles de identidad resistentes al phishing y detección de anomalías
Informa a empleados y partes interesadas sobre la evolución de las estafas

Disfruta de estas fechas, pero mantente alerta

La seguridad no debería restarle alegría a estas fechas, pero estar alerta es aún más importante en momentos de mucha actividad y distracción. Las recomendaciones de Microsoft incluidas en el Kit Be Cybersmart coinciden en este punto: detenerse un momento, realizar una comprobación o echar un segundo vistazo suele marcar la diferencia entre mantenerse a salvo y convertirse en víctima.

Informe de protección digital de Microsoft

La extorsión y el ransomware están detrás de más de la mitad de los ciberataques

Aprovecharse de la economía de la confianza

Comprender el impacto del fraude de ingeniería social

Dibujo lineal blanco de un papel dentro de un sobre con la palabra "Nuevo" sobre fondo azul.

Obtener CISO Digest

Mantente al día con la información de expertos, tendencias del sector e investigaciones sobre seguridad en esta serie bimestral de correos electrónicos.