Los ciberdelincuentes inundan los buzones corporativos con miles de mensajes legítimos y después suplantan al soporte técnico para obtener contraseñas o instalar programas de control remoto.
Una avalancha de correos electrónicos puede convertirse en el primer paso de un ciberataque contra una empresa. El trabajador recibe cientos o miles de mensajes, pierde la capacidad de distinguir qué está ocurriendo y, en medio de la confusión, aparece alguien que asegura poder solucionar el problema.
Ese es el mecanismo de una técnica de ingeniería social que combina el bombardeo de la bandeja de entrada con la suplantación del servicio informático. Según los incidentes documentados por el proveedor de mensajería corporativa Retarus y recogidos por Digital Inside, algunos empleados han llegado a recibir hasta 3 000 correos en una sola jornada, mientras el volumen acumulado puede alcanzar decenas de miles de mensajes dentro de una misma organización.
El objetivo no es únicamente saturar el correo y perjudicar la productividad. La estrategia busca crear una situación de desconcierto para que los atacantes puedan presentarse por teléfono o a través de herramientas como Microsoft Teams como supuestos técnicos de la empresa. Bajo la promesa de restablecer la normalidad, intentan conseguir credenciales o convencer a la víctima para que instale software de acceso remoto.
Cómo funciona el bombardeo de correos corporativos
La primera fase consiste en provocar una entrada masiva de mensajes en las cuentas de determinados trabajadores. Para ello, los atacantes pueden utilizar formularios de suscripción y sistemas de notificación legítimos, generando un flujo de boletines y confirmaciones que inunda la bandeja de entrada.
La particularidad de esta técnica es que muchos de los mensajes no contienen malware ni enlaces maliciosos. Pueden proceder de servicios auténticos y superar las comprobaciones habituales de autenticación del correo.
Por eso, un filtro que examine cada mensaje de forma aislada puede no identificar el problema. Un boletín legítimo no resulta necesariamente sospechoso por sí mismo; lo que delata el ataque es el volumen inusual y la concentración de mensajes en una cuenta durante un periodo corto.
De acuerdo con la información publicada, los incidentes analizados por Retarus han incluido casos en los que pequeños grupos de empleados recibieron miles de correos en un día. No se trata de una cifra que deba interpretarse como el volumen habitual de todos los ataques, sino como un ejemplo de la intensidad que puede alcanzar esta táctica.
La segunda fase: hacerse pasar por el soporte técnico
Cuando el trabajador está intentando recuperar el control de su buzón, los atacantes pasan a la fase de ingeniería social. Contactan con la víctima por teléfono o mediante plataformas corporativas como Microsoft Teams y se presentan como integrantes del departamento informático.
El mensaje suele apoyarse en una necesidad real: detener la avalancha de correos y devolver el funcionamiento normal a la cuenta. La urgencia facilita que el empleado baje la guardia y acepte instrucciones que, en circunstancias normales, podría cuestionar.
Los delincuentes pueden intentar que la víctima:
- Revele sus credenciales o introduzca su contraseña en un formulario controlado por terceros.
- Comparta códigos de autenticación o apruebe solicitudes de acceso que no ha iniciado.
- Instale herramientas de control remoto con el pretexto de recibir asistencia técnica.
- Ejecute instrucciones que permitan al atacante acceder a la cuenta o al dispositivo.
Si consigue que el empleado instale una herramienta de acceso remoto o autorice una sesión, el delincuente podría obtener acceso al equipo, dependiendo de los permisos concedidos y de las protecciones existentes. El alcance del daño no es idéntico en todos los incidentes: depende de qué información se haya entregado, qué software se haya instalado y qué controles tenga implantados la organización.
La clave de la operación es aprovechar la confianza en el soporte informático. El atacante no necesita presentarse como un desconocido que solicita una contraseña, sino como alguien que supuestamente está resolviendo una incidencia urgente.
Por qué los filtros de correo pueden no detectar el ataque
Las defensas tradicionales suelen evaluar señales como la reputación del remitente, los enlaces, los archivos adjuntos y los resultados de autenticación. Esas comprobaciones siguen siendo importantes, pero pueden resultar insuficientes cuando los mensajes que componen la avalancha proceden de servicios legítimos.
El patrón anómalo está en el volumen y en el contexto, no necesariamente en cada correo individual. Una cuenta que recibe de repente cientos o miles de notificaciones puede estar sufriendo un bombardeo aunque muchos de los mensajes sean auténticos.
Por eso, las empresas necesitan complementar el filtrado de correo con sistemas de observabilidad y análisis de comportamiento que permitan detectar cambios bruscos en la actividad.
Entre las señales que conviene vigilar figuran:
- Un aumento repentino del número de mensajes recibidos por un empleado.
- La concentración de notificaciones procedentes de numerosos servicios de suscripción.
- Un incremento inusual de errores de autenticación o intentos de acceso.
- Llamadas o mensajes inesperados de personas que dicen pertenecer al departamento informático.
- Instalaciones de software remoto que no coinciden con los procedimientos autorizados.
Ninguna señal aislada demuestra por sí sola que exista un ataque. Sin embargo, correlacionar varias anomalías puede ayudar al equipo de seguridad a detectar la secuencia completa antes de que el trabajador entregue sus credenciales.
Grafana, Splunk y otras herramientas para detectar anomalías
Retarus recomienda mejorar la visibilidad del tráfico y detectar cambios inusuales en los sistemas corporativos. La información de observabilidad puede exportarse a plataformas de monitorización como Grafana, Splunk, Dynatrace o Elastic, que permiten analizar métricas y eventos procedentes de diferentes componentes tecnológicos.
Estas herramientas no bloquean automáticamente cualquier ataque por el mero hecho de estar instaladas. Su utilidad depende de las fuentes de datos disponibles, las reglas de detección, los umbrales configurados y la capacidad del equipo para responder a las alertas.
La estrategia propuesta se apoya en varias acciones:
- Monitorizar el volumen de correo. Detectar aumentos bruscos en cuentas concretas y compararlos con su actividad habitual.
- Analizar los registros de autenticación. Buscar errores repetidos, accesos inesperados y cambios que coincidan temporalmente con la saturación.
- Correlacionar los incidentes. Relacionar el bombardeo de mensajes con llamadas sospechosas, comunicaciones en Teams o intentos de instalar software.
- Investigar en tiempo real. Filtrar los eventos por remitente, asunto, cuenta afectada y franja horaria para identificar el origen y el alcance.
- Contener el ataque. Bloquear dominios o remitentes identificados como hostiles y aplicar medidas sobre las cuentas afectadas, cuando la investigación lo justifique.
La integración con sistemas de gestión de eventos e información de seguridad —conocidos como SIEM— puede ayudar a reunir los registros y automatizar determinadas alertas. No obstante, la respuesta debe adaptarse al incidente: bloquear indiscriminadamente servicios legítimos podría interrumpir comunicaciones necesarias para la empresa.
Qué deben hacer las empresas cuando un buzón empieza a saturarse
La respuesta inicial es importante. Si una cuenta empieza a recibir cientos de mensajes inesperados, conviene tratar el episodio como una posible incidencia de seguridad y no limitarse a borrar correos para recuperar espacio.
Las organizaciones deberían disponer de un procedimiento que permita al empleado comunicar el problema y recibir ayuda mediante un canal verificado. El equipo de seguridad puede comprobar los registros, determinar si se están produciendo intentos de acceso y evaluar si existe una segunda fase de ingeniería social.
Entre las medidas de respuesta se encuentran:
- Avisar al servicio informático por los canales oficiales, sin utilizar teléfonos o enlaces facilitados por el contacto sospechoso.
- No compartir contraseñas ni códigos de autenticación con ninguna persona que asegure estar resolviendo la incidencia.
- No instalar programas de acceso remoto ni aceptar sesiones de asistencia que no se hayan solicitado y verificado.
- Revisar la actividad de la cuenta y cerrar sesiones sospechosas cuando el procedimiento de seguridad lo indique.
- Aislar el equipo si hay indicios de compromiso, siguiendo las instrucciones del departamento responsable.
- Conservar los registros relevantes para que los investigadores puedan determinar cómo comenzó el incidente.
Si el empleado ya ha entregado credenciales, aprobado una autenticación o instalado software por indicación de un supuesto técnico, debe comunicarlo inmediatamente. El equipo de seguridad podrá revocar sesiones, restablecer credenciales, revisar los permisos concedidos y comprobar si hubo acceso a otros sistemas.
La formación de los empleados sigue siendo una parte esencial de la defensa
La tecnología puede detectar comportamientos anómalos, pero no sustituye a unos procedimientos internos claros. El bombardeo de correo funciona precisamente porque explota una situación de estrés y presenta la intervención del atacante como una solución rápida.
Las empresas deben explicar a sus trabajadores que el personal de soporte no necesita conocer su contraseña para resolver una incidencia y que las solicitudes inesperadas de acceso remoto deben verificarse. También conviene establecer una vía sencilla para informar de mensajes sospechosos, sin penalizar al empleado que comunica una posible incidencia.
La formación resulta especialmente útil cuando incluye ejemplos realistas: llamadas inesperadas, mensajes en Teams, peticiones urgentes de códigos y supuestas intervenciones técnicas que aparecen justo después de una anomalía en el correo.
La regla fundamental es verificar la identidad antes de conceder acceso. Ni el nombre mostrado en una llamada ni la presencia de un supuesto técnico en una plataforma corporativa garantizan que el contacto sea legítimo.
Un riesgo que afecta a la seguridad y a la continuidad del negocio
El bombardeo de la bandeja de entrada puede causar interrupciones, consumir tiempo de los equipos y dificultar la comunicación interna. Pero su consecuencia más grave aparece cuando la saturación sirve para facilitar el robo de credenciales o el acceso remoto no autorizado.
La respuesta exige combinar monitorización, correlación de eventos, procedimientos de asistencia verificables y formación de la plantilla. Depender únicamente de los filtros de correo deja un margen de riesgo cuando los mensajes utilizados para saturar el buzón son auténticos.
Según la información recogida por Digital Inside a partir de Retarus, el fenómeno demuestra que una avalancha de correos aparentemente inocuos puede formar parte de una operación de ingeniería social más amplia. Para las empresas, la prioridad no es solo conseguir que la bandeja de entrada vuelva a funcionar, sino asegurarse de que quien ofrece ayuda es realmente quien dice ser.
OnlyBeauty
OnlyBeauty
OnlyBeauty