Las campañas de phishing han dejado de ser ataques masivos y rudimentarios. Hoy, los actores de amenaza combinan ingeniería social avanzada, compromiso de infraestructura legítima y abuso de plataformas confiables para evadir controles tradicionales y comprometer entornos corporativos críticos.
Un ejemplo reciente es la campaña de phishing dirigido contra usuarios de HubSpot, que demuestra cómo los atacantes están perfeccionando sus técnicas para mantenerse un paso adelante de los controles de seguridad.
Ataque de phishing dirigido a clientes de HubSpot
Centros de operaciones de seguridad detectaron una campaña activa y sofisticada que combina Business Email Compromise (BEC) con el compromiso de sitios web legítimos para distribuir malware roba-credenciales.
Los correos, que suplantaban a HubSpot, alertaban sobre una supuesta actividad anómala de cancelación de suscripciones. El elemento diferenciador del ataque fue su capacidad de evasión:
- Los enlaces del cuerpo del mensaje no eran maliciosos
- La URL de phishing estaba incrustada en el nombre visible del remitente, eludiendo gateways de correo que priorizan el análisis de links
- Se utilizó una cuenta legítima comprometida, explotada a través de MailChimp, permitiendo escalar la campaña gracias a la reputación del proveedor
Este enfoque permitió que los correos bypassearan filtros de seguridad avanzados, exponiendo a usuarios y organizaciones incluso con controles correctamente configurados.
Infraestructura de robo de credenciales y phishing como servicio
El análisis de la infraestructura reveló el compromiso de un sitio web legítimo, utilizado como redirección hacia una falsa página de login de HubSpot, visualmente indistinguible del portal real.
Las credenciales capturadas eran enviadas a infraestructura alojada en Rusia, asociada a servicios de bulletproof hosting con historial de campañas de phishing. El entorno presentaba características típicas de infraestructura desplegada rápidamente:
- VPS genérico con paneles administrativos expuestos
- Certificados TLS autofirmados
- Servicios SMTP, IMAP y web innecesarios abiertos
- Amplia superficie de ataque visible mediante OSINT y Shodan
Este modelo refleja la industrialización del phishing, donde la rapidez de despliegue y rotación de infraestructura es clave para la persistencia del ataque.
Scattered Spider: cuando la ingeniería social supera a la tecnología
En 2023, tanto el FBI como la CISA publicaron un Cybersecurity Advisory (CSA) conjunto alertando sobre la creciente actividad del grupo Scattered Spider, también identificado como UNC3944, Octo Tempest o 0ktapus.
Este grupo se ha posicionado como una de las amenazas más sofisticadas de los últimos años, apuntando a diferentes plataformas en sectores críticos como:
- Retail
- Aerolíneas
- Servicios financieros
- Instalaciones comerciales
- Proveedores de TI subcontratados
A diferencia de otros actores, Scattered Spider no depende de vulnerabilidades técnicas para el acceso inicial, sino de ingeniería social de alto nivel, explotando debilidades humanas y procesos operativos.
Principales TTP utilizados por Scattered Spider
Según investigaciones públicas (Fuente: Push Security), sus vectores de ataque incluyen:
- Phishing de credenciales por correo electrónico y SMS (smishing)
- SIM swapping para eludir MFA basada en SMS
- Fatiga MFA (push bombing) contra autenticación por aplicaciones
- Vishing dirigido, incluyendo llamadas directas al help desk corporativo
- Ingeniería social contra registradores de dominios para secuestrar DNS y correo entrante
- Uso de kits AiTM que eluden MFA, como Evilginx, robando sesiones en tiempo real
Este grupo ha combinado estas técnicas con ransomware como BlackCat/ALPHV, robo de información sensible y extorsión, logrando paralizar operaciones completas.
Evolución y fusión
Entre 2024 y 2025, la presión de las autoridades comenzó a pasarle la cuenta a Scattered Spider. Varios de sus integrantes fueron arrestados o condenados tanto en Estados Unidos como en Europa, incluyendo casos emblemáticos como el de un miembro sentenciado a diez años de prisión y al pago de 13 millones de dólares en restitución por fraudes asociados a SIM swapping.
En este contexto, el grupo incluso publicó en 2025 una supuesta carta de “despedida”, en la que anunciaba el cese de sus operaciones debido al acoso policial, aunque dejando entrever una posible reaparición bajo otra identidad, como ShinySp1d3r RaaS. Lejos de significar el fin de su influencia, ese mismo año comenzaron a detectarse nuevas alianzas criminales, dando origen a lo que algunos investigadores denominan Scattered LAPSUS$ Hunters: una convergencia de actores y técnicas provenientes de Scattered Spider, Lapsus$ y ShinyHunters, responsables mediantes diferentes plataformas, de brechas de datos a gran escala que habrían afectado a cerca de mil organizaciones mediante ataques a plataformas como Salesforce y Gainsight.
Un blanco recurrente: la infraestructura virtual
Scattered Spider ha intensificado sus ataques contra entornos virtualizados, en particular VMware ESXi, explotando fallas en la gestión de identidades y accesos privilegiados.
Lo más preocupante es que el acceso inicial se logra mediante llamadas telefónicas perfectamente ejecutadas al help desk, demostrando que la ingeniería social sigue siendo el eslabón más débil incluso en organizaciones maduras.
Phishing y ransomware siguen liderando el vector de entrada
Las estadísticas son claras: el 91% de los incidentes de seguridad comienza con un correo electrónico.
Si bien muchas organizaciones cuentan con EDR, MFA, WAF, respaldos y programas de concienciación, el problema persiste cuando no se mide la efectividad real de estos controles ni la evolución del riesgo asociado al factor humano.
Las simulaciones controladas de phishing y ransomware permiten:
- Evaluar el comportamiento real de los usuarios
- Identificar áreas y perfiles de mayor riesgo
- Medir tiempos de detección y respuesta
- Validar planes de continuidad y contención
Plataformas como SMARTFENSE integran estas capacidades con métricas precisas, reportes accionables y refuerzo educativo automatizado, cerrando el ciclo entre concienciación y control.
Simular para resistir: Alerta Temprana como estrategia clave
En CronUp hemos abordado estos riesgos mediante un enfoque claro: en ciberseguridad, reaccionar no es suficiente.
Nuestra estrategia de Alerta Temprana de Riesgos – ATRc® integra:
- Pruebas continuas de phishing
- Simulaciones de ransomware
- Red Teaming controlado en entornos productivos
- Análisis de superficie de ataque e inteligencia de amenazas
Estas simulaciones permiten replicar amenazas reales sin afectar la operación, entregando evidencia concreta del nivel de exposición en cada plataforma y permitiendo ajustar defensas antes de que el ataque ocurra.
Este enfoque no solo mejora la capacidad de respuesta, sino que fortalece una cultura de prevención continua, alineando la ciberseguridad con los objetivos del negocio.
Cumplimiento normativo: demostrar, no solo implementar
El contexto regulatorio actual eleva aún más el estándar. En Chile, normativas como:
- Ley N.º 21.663 – Marco de Ciberseguridad
- Ley N.º 21.459 – Protección de Datos Personales
exigen a las organizaciones medidas técnicas y organizacionales eficaces, y la capacidad de demostrar su funcionamiento bajo escenarios reales.
Las sanciones por infracciones gravísimas pueden alcanzar hasta 20.000 UTM, lo que convierte a las pruebas, simulaciones y ejercicios controlados en un componente estratégico, no opcional.
Anticipar al adversario es una ventaja competitiva
Las campañas como la de HubSpot y la actividad de grupos como Scattered Spider confirman una realidad ineludible: los atacantes evolucionan más rápido que los controles estáticos.
Anticipar estas amenazas requiere:
- Ciberinteligencia activa
- Evaluación continua del factor humano
- Simulación realista de ataques
- Evidencia para toma de decisiones ejecutivas
En CronUp ayudamos a las organizaciones a anticipar, detectar y responder, reduciendo el tiempo de exposición y fortaleciendo su postura de seguridad antes de que el impacto sea real.
Referencias
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
