Phishing en 2026: por qué el segundo factor ya no alcanza
El phishing dejó de buscar tu contraseña y pasó a robar tu sesión ya autenticada. Eso deja fuera de juego al MFA por SMS o app, y cambia lo que hay que hacer al respecto.
Durante años el consejo contra el phishing fue el mismo: revisa el remitente, desconfía de la urgencia, fíjate en las faltas de ortografía, activa el segundo factor. Los tres primeros siguen ayudando. El cuarto se quedó corto, y vale la pena explicar exactamente por qué, porque muchas empresas creen que activar MFA cerró el tema.
El phishing sigue siendo el vector de entrada más usado — en el segundo trimestre de 2026 apareció en más de la mitad de los incidentes que respondió el equipo de Cisco Talos. Lo que cambió no es cuánto se usa, sino qué se roba.
El cambio: ya no quieren tu contraseña
El ataque clásico te llevaba a una página falsa, guardaba tu usuario y clave, y el atacante los usaba más tarde. Con MFA activo eso dejaba de funcionar: la contraseña sola no abría nada.
La respuesta de los atacantes fue dejar de robar credenciales y empezar a robar la sesión. La técnica se llama adversary-in-the-middle (AitM), y funciona así:
- El enlace del correo te lleva a un sitio que no es una copia estática del login real: es un proxy que reenvía todo al sitio legítimo en tiempo real.
- Tú ves la página auténtica, porque es la página auténtica, servida a través del atacante.
- Escribes tu contraseña. El proxy la pasa. El sitio real pide el segundo factor.
- Te llega el código por SMS o la notificación push. La apruebas, porque todo va como debe ir.
- El sitio real emite la cookie de sesión — y esa cookie pasa por el proxy, que se queda con una copia.
A partir de ahí el atacante tiene una sesión ya autenticada. No necesita tu clave ni tu código: entra con tu cookie, que para el servidor es indistinguible de la tuya.
Por qué esto rompe el consejo habitual
No hay nada que "notar" en el momento. El dominio del proxy puede verse razonable, el certificado es válido, la página es la real y el segundo factor funciona de verdad. El MFA no falla: se completa correctamente, y el atacante se lleva el resultado.
Microsoft reportó un aumento del 146% en ataques AitM durante 2024, y la técnica se industrializó desde entonces en kits que se venden listos para usar. En enero de 2026 el FBI documentó una campaña del grupo Kimsuky que combinaba señuelos con QR y proxying AitM para quedarse con tokens de sesión y saltarse el MFA de las cuentas objetivo.
El otro cambio: el enlace ya no es un enlace
El correo corporativo pasa por filtros que analizan URLs: reputación del dominio, listas negras, reescritura de enlaces. Así que el señuelo se movió a un formato que esos filtros no leen bien — un código QR, normalmente dentro de un PDF adjunto o de una imagen.
Se le llama quishing, y su ventaja para el atacante es doble:
- El escáner de correo no ve la URL. Ve una imagen. Extraer el enlace de un QR embebido en un PDF requiere un paso que muchos gateways no hacen.
- Mueve a la víctima al teléfono personal. Ese dispositivo casi nunca tiene las protecciones del equipo corporativo, y la pantalla pequeña oculta la barra de direcciones completa.
Unit 42 (Palo Alto Networks) reportó más de 11.000 detecciones diarias de QR maliciosos. En marzo de 2026 se documentó una operación en tres oleadas dirigida específicamente a buzones corporativos con este método.
El detalle importante: un QR no comunica a dónde va. Un enlace de texto se puede inspeccionar pasando el mouse por encima — un cuadrado de píxeles no.
Cómo se ve un ataque actual, de principio a fin
| Etapa | Phishing de 2020 | Phishing de 2026 |
|---|---|---|
| Señuelo | Correo con faltas de ortografía | Texto correcto, escrito o pulido con IA |
| Vector | Enlace en el cuerpo | QR en un PDF adjunto, o enlace tras varios redirectores |
| Página falsa | Copia estática del login | Proxy en vivo del sitio real |
| Botín | Usuario y contraseña | Cookie de sesión ya autenticada |
| Efecto del MFA | Bloquea el ataque | No lo bloquea |
| Dispositivo | El computador corporativo | El teléfono personal |
La conclusión práctica es que los indicadores que enseñábamos a buscar — errores de redacción, urgencia torpe, dominios obviamente falsos — filtran la versión antigua del ataque. La versión actual los evita casi por completo.
Lo que sigue funcionando
Ninguna de estas medidas depende de que alguien detecte el engaño.
Passkeys (FIDO2/WebAuthn)
Es la única defensa ampliamente disponible que resiste el phishing por diseño, y la razón es técnica, no estadística: la clave criptográfica está atada al dominio que la registró. Si el sitio que pide autenticación no es el dominio correcto, el navegador no firma nada. No hay código que la víctima pueda entregar, porque no hay código.
Un proxy AitM no puede reenviar una passkey: lo que reenviaría no coincide con su propio dominio y la firma no se produce.
Dos advertencias honestas:
- La adopción es baja. Distintas mediciones la sitúan en torno al 19% de las organizaciones, lo que significa que la mayoría sigue expuesta pudiendo no estarlo.
- El fallback la debilita. A mediados de 2025 el grupo PoisonSeed logró saltarse llaves FIDO abusando del flujo de autenticación entre dispositivos por QR — no rompieron la criptografía, usaron la salida de emergencia. Si dejas activo el respaldo por SMS o por código, el atacante simplemente lo pedirá. Habilitar passkeys sin cerrar los métodos débiles deja la puerta abierta al lado de la cerradura buena.
MFA resistente al phishing donde no haya passkeys
Si las passkeys todavía no son viables para todo el equipo, el orden de preferencia es claro: llaves de seguridad físicas, luego aplicaciones con number matching, luego apps de código, y el SMS al final. El SMS es el más débil de todos y además es vulnerable al robo del número.
Acortar la vida de las sesiones y vigilar su uso
Si el botín es la cookie de sesión, entonces importa cuánto vale esa cookie. Sesiones que expiran, reautenticación para operaciones sensibles, y alertas cuando una misma sesión aparece de pronto desde otro país o con otro user agent. Un inicio de sesión imposible es más detectable que el correo que lo originó.
Tratar el QR como un enlace desconocido
Un QR en un correo que no esperabas es un enlace que no puedes inspeccionar. La regla útil no es "no escanees QR", que nadie cumple: es nunca autenticarse en un sitio al que llegaste escaneando un código. Si un QR desemboca en una pantalla de login, ese es el momento de cerrar y entrar por el sitio que tú conoces.
Entrenar al equipo en el ataque correcto
Una capacitación que enseña a buscar faltas de ortografía prepara al equipo para el ataque de hace seis años, y deja una falsa sensación de cobertura. Lo que hay que transmitir hoy:
- Que aprobar un MFA legítimo puede ser parte de un ataque.
- Que la señal ya no está en el mensaje, sino en el contexto: ¿yo pedí esto?
- Que reportar un clic dado no debe tener costo. Una sesión robada que se reporta en diez minutos se puede revocar; una que se descubre en diez días, no.
Para empezar esta semana
- Revisa qué segundos factores están habilitados en tu correo corporativo y en tu proveedor de identidad. Si el SMS sigue activo como respaldo, el resto de la cadena vale lo que vale el SMS.
- Activa passkeys donde tu proveedor las soporte, empezando por las cuentas administrativas.
- Comprueba si tu filtro de correo abre los PDF adjuntos y extrae los QR. Si no lo hace, el quishing te llega sin análisis.
- Define cómo se revoca una sesión y quién puede hacerlo. Si eso hay que averiguarlo el día del incidente, ya es tarde.
En resumen
El phishing dejó de ser un problema de atención y pasó a ser un problema de arquitectura de autenticación. Mientras el factor de seguridad sea algo que una persona puede leer y entregar — un código, una aprobación, una cookie —, un intermediario puede pedirlo. Las passkeys cambian eso porque atan la credencial al dominio, y ahí es donde conviene invertir el esfuerzo.
Este artículo se publicó originalmente en marzo de 2024 y se reescribió en septiembre de 2026. El texto anterior describía un ataque que el MFA todavía bloqueaba; mantenerlo habría sido dar por segura una defensa que dejó de serlo.
¿Te gustó este artículo?
Descubre cómo podemos ayudarte a implementar estas soluciones en tu negocio.