Microsoft Threat Intelligence informó de 7.300 millones de amenazas de phishing por correo detectadas entre julio y septiembre de 2026. En septiembre rozaron los 3.000 millones, un 41% más que en agosto, aunque las tendencias variaron según la técnica, según el balance trimestral de Microsoft, publicado el 5 de noviembre.

El repunte no se repitió en todas las técnicas

El phishing con códigos QR sumó unos 12,1 millones de ataques en el trimestre, un 67% menos que en el segundo trimestre. En septiembre, esta actividad seguía un 86% por debajo del máximo de marzo. Los archivos PDF fueron el formato más habitual para distribuir esos códigos en julio y agosto, mientras que los códigos QR insertados directamente en los correos ganaron presencia durante el trimestre.

El phishing que usaba una prueba CAPTCHA, un reto para comprobar que quien accede no es un programa automatizado, se movió en otra dirección: Microsoft contó 3,1 millones de ataques en septiembre, casi el doble del mínimo de julio. Los archivos SVG representaron el 65% de esa actividad en agosto y el 49% en septiembre.

Microsoft también registró unos 129 millones de mensajes maliciosos que suplantaban dominios de servicios empresariales incluidos en su análisis. En otra categoría, la suplantación de contactos de empresas sumó alrededor de 6,2 millones de ataques; los mensajes genéricos siguieron siendo los más comunes y las solicitudes de pago de facturas llegaron al 3% en septiembre.

Dos campañas usaron señuelos distintos

Microsoft Defender Research observó una campaña de revisión salarial entre el 19 y el 20 de agosto, dirigida a más de 10.000 usuarios de más de 4.800 organizaciones, principalmente en Estados Unidos y, en especial, en el sector jurídico. El correo incluía un documento de Word personalizado con un código QR. Al escanearlo, la persona llegaba a una página falsa de OneDrive que ofrecía un código de dispositivo y la dirigía al portal legítimo de inicio de sesión de Microsoft.

Si el destinatario completaba ese proceso, el atacante podía obtener un token de sesión válido, una credencial digital que permite mantener una sesión iniciada, sin conocer la contraseña ni provocar otra solicitud de autenticación multifactor. El informe describe ese mecanismo como un riesgo de la campaña.

La campaña observada el 21 de septiembre se apoyaba en pedidos de compra y nóminas. Microsoft dijo que alcanzó a más de 56.000 usuarios de más de 8.100 organizaciones: el 63% de los mensajes usaba el señuelo de un pedido y el 37% el de una nómina. España representó el 8% de los destinatarios previstos de esa campaña.

Las dos variantes recurrían a archivos comprimidos camuflados. En la de pedidos, un archivo RAR con apariencia de PDF contenía un descargador JavaScript que obtenía el archivo Lincoln.ps1; en la de nóminas, otro archivo RAR incluía un ejecutable disfrazado con una extensión que imitaba la de un archivo XML. Microsoft vinculó ambas cadenas con Agent Tesla. Aunque el dominio remitente superó las comprobaciones SPF, DKIM y DMARC, el nombre visible imitaba a personal de ventas o recursos humanos de la organización destinataria.

Antes de iniciar sesión desde un enlace abierto con un QR o de ejecutar un adjunto, comprueba por separado el mensaje y la identidad que aparece como remitente.

Las detecciones no equivalen a cuentas afectadas

Los 7.300 millones son detecciones de Microsoft durante el trimestre. Por sí solos, no indican cuántos mensajes llegaron a las bandejas de entrada, se abrieron o acabaron en cuentas comprometidas. Microsoft también observó unos 141.000 intentos de llamadas maliciosas en Teams; la cifra incluye llamadas rechazadas o sin respuesta.

En los ataques con archivos adjuntos analizados por Microsoft, alrededor del 94–96% dirigía a páginas de phishing o mostraba páginas falsas de inicio de sesión. El robo de credenciales fue el principal riesgo asociado a esos adjuntos en el análisis.

Para reducir estos riesgos, Microsoft recomienda revisar la configuración de Exchange y Defender, los controles Safe Links y Safe Attachments, y las excepciones de seguridad; usar autenticación multifactor o sin contraseña; controlar las llamadas externas en Teams, y buscar y retirar mensajes maliciosos. Quienes gestionan Microsoft 365 también pueden consultar la guía de NeoTeo sobre protección de datos de Microsoft 365 para Copilot.