• 8 min de lectura
El phishing potenciado por IA deja atrás las listas de bloqueo
Páginas de phishing generadas por IA e infraestructuras desechables superan a las listas de bloqueo. Push Security sostiene que los defensores deben detectar el comportamiento del ataque en su lugar.
Imagen: BleepingComputer
Los dominios de phishing desaparecen más rápido de lo que las listas de bloqueo pueden seguirles la pista. Según la firma de seguridad Push Security, el 89% de los dominios de phishing permanecen activos menos de dos días, mientras que solo el 6,5% sobreviven más de 15 días. Para cuando un dominio se identifica y añade a una lista de bloqueo, la campaña puede haberse movido ya a una nueva infraestructura.
Esa brecha se está ampliando porque los atacantes usan IA para construir páginas de phishing convincentes a partir de capturas de pantalla, generar bases de código completamente nuevas y desplegar y desmantelar campañas con rapidez. El resultado, argumenta Push, es que las defensas basadas principalmente en dominios, URL o hashes de archivos maliciosos conocidos se vuelven estructuralmente menos eficaces.
El cambio importa más allá del phishing tradicional por correo electrónico. Los ejemplos de la compañía incluyen ataques adversario-en-el-medio (AiTM), phishing por código de dispositivo, campañas ClickFix, descargas de archivos y malvertising. Estos ataques aparecen cada vez más dentro de sesiones y servicios legítimos del navegador, donde las herramientas convencionales de red y endpoint pueden tener visibilidad limitada.
La tendencia se suma a los problemas que enfrentan los defensores, que ya lidian con cebos escritos por IA, abuso de OAuth y interacciones de “soporte” falsas. Las campañas de phishing recientes son más difíciles de detectar, y ni siquiera la autenticación multifactor garantiza la seguridad cuando los atacantes se dirigen a sesiones autenticadas o a flujos de inicio de sesión legítimos.
Recomendado
Horizon3 recauda 250 millones de dólares con una valoración de 2.000 millones de dólares
Por qué la infraestructura de phishing desechable vence a las listas de bloqueo
Las campañas modernas no se limitan a reemplazar la infraestructura tras la detección. Push dice que los atacantes la diseñan para ser desechable desde el principio, tratando cada dominio o página como de uso efectivamente único.
Los atacantes además combinan servicios de hosting y productividad ampliamente confiables con capas destinadas a frustrar el análisis. Entre los servicios citados por Push están Cloudflare Workers, Railway, Vercel, Microsoft Dynamics, SharePoint, Adobe, Google Firebase, Google Sites, Jotform, Linode, Azure y Atlassian.
La protección contra bots, las comprobaciones de referrer, la huella digital del navegador y las cadenas de redirecciones pueden impedir que los escáneres automáticos y los investigadores vean el mismo contenido que una víctima. Push informa que el 95% de los ataques en el navegador que detecta usan alguna forma de protección contra bots. Una página puede mostrar contenido inofensivo a un rastreador, enseñar un flujo de phishing a un usuario real y desaparecer antes de que los investigadores puedan inspeccionar su carga útil.
La IA también ha reducido el esfuerzo necesario para clonar una página de inicio de sesión legítima. Los atacantes pueden usar una captura de pantalla para “vibe-codear” un sitio de phishing cuyo front-end parece auténtico pero cuyo código subyacente comparte poco o nada con el original. Eso dificulta la detección estática basada en patrones familiares de HTML o JavaScript.
También está cambiando la entrega. Push dice que los atacantes abusan de servicios legítimos, como funciones para compartir de chatbots de IA, publicidad en buscadores, mensajería dentro de apps y correos generados por aplicaciones. Esos canales heredan la reputación de plataformas que las listas de bloqueo difícilmente clasificarían como maliciosas.
Los kits de phishing se fragmentan más rápido de lo que las firmas pueden adaptarse
Las listas de bloqueo no son la única capa de detección bajo presión. Los equipos de seguridad tradicionalmente se han movido hacia arriba en la Pirámide del Dolor identificando huellas reutilizables de kits de phishing, incluidas estructuras de JavaScript, patrones HTML y firmas de código. Una detección basada en un kit podría sobrevivir a un cambio de dominio y atrapar múltiples campañas.
Push dice que esa capa ahora se está erosionando por bifurcaciones de código, desarrollo asistido por IA y el intercambio al estilo de código abierto. El phishing por código de dispositivo ilustra la aceleración: tras surgir en campañas vinculadas a Rusia en 2024, pasó de cero kits criminales en la naturaleza a más de 25 kits distintos en 2026, según la compañía.
Ejemplos nombrados incluyen EvilTokens, que Push dice que apuntó a más de 340 organizaciones en sus primeras cinco semanas, así como Kali365, ARToken, DEBULL y Forg365. El FBI emitió un aviso sobre Kali365, mientras que el proveedor AiTM establecido Tycoon 2FA ha añadido el phishing por código de dispositivo a sus capacidades existentes de recolección de credenciales.
Push dice que algunos kits pueden elegir entre métodos de ataque según el comportamiento del objetivo—por ejemplo, intentar primero el phishing por código de dispositivo y pasar a AiTM si el flujo caduca. Paneles de administración pueden controlar cuándo aparece una página maliciosa, a veces activándola solo después de que un atacante haya comenzado una interacción relacionada de ingeniería social por voz. Eso hace que la página sea menos probable de ser observada con la frecuencia necesaria para un bloqueo preventivo.
La detección basada en comportamiento señala el ataque, no su dominio
El objetivo más duradero es la técnica en sí: el comportamiento que se mantiene constante incluso cuando cambian dominios, front-ends y kits de herramientas.
En un ataque AiTM, por ejemplo, el atacante hace de proxy de la sesión de la víctima a través de infraestructura controlada por el atacante, retransmite credenciales y tokens de MFA en tiempo real y captura la sesión autenticada. Push dice que está rastreando más de 75 kits AiTM, pero su implementación de esa técnica de intercepción sigue siendo fundamentalmente similar.
Las campañas ClickFix usan cebos diferentes—incluidos CAPTCHAs falsos, actualizaciones del navegador y cuadros de diálogo de error—pero el comportamiento subyacente es consistente: se persuade a la víctima para que coloque comandos maliciosos en el portapapeles y los pegue y ejecute. CrowdStrike ha informado que los cebos con CAPTCHA falsos aumentaron un 563%, según Push.
El phishing por código de dispositivo también se basa en un proceso de inicio de sesión legítimo por código de dispositivo. La ubicación del hosting y el kit pueden variar, pero la página de destino y el comportamiento de autenticación del usuario son los mismos.
Ese enfoque requiere visibilidad dentro del navegador. Los proxies de red generalmente ven tráfico cifrado, mientras que las herramientas de detección y respuesta en endpoints pueden no observar lo que ocurre en una sesión del navegador. También requiere investigación rápida: Push dice que el phishing por código de dispositivo tardó aproximadamente un año en pasar de rareza de actores estatales a característica de phishing como servicio comercial.
Una detección que no dependiera de indicadores conocidos
Microsoft documentó anteriormente una técnica de phishing que abusaba de redirecciones de manejo de errores de OAuth. El ataque usaba el comportamiento de redirección conforme a estándares para enviar usuarios desde un dominio de proveedor de identidad de confianza a una página controlada por el atacante, dando inicialmente al enlace la reputación de login.microsoftonline.com.
Push dice que su canal de caza de amenazas agente—agentes de IA que trabajan junto a investigadores humanos—estudió la mecánica del comportamiento en lugar de los indicadores publicados por Microsoft. El canal opera sobre telemetría del navegador de más de 3 millones de despliegues y creó una detección para el comportamiento de redirección de OAuth.
Meses después, la detección se disparó en una campaña diferente que involucraba cebos, dominios, infraestructura y un kit de phishing desconocidos. La carga útil también era distinta: una descarga de malware en lugar de la técnica de la campaña original. Ninguno de los indicadores de compromiso originales apareció en la cadena de ataque.
Push dice que el mismo proceso produjo detecciones para tres técnicas adicionales basadas en navegador: InstallFix, que disfraza la entrega de malware como avisos de instalación de software; ConsentFix, que combina phishing de consentimiento OAuth con manipulación al estilo ClickFix; y LLMShare, que entrega malware a través de funciones para compartir de chatbots de IA.
La compañía afirma que su canal protegió a más de 60 clientes durante los últimos tres meses de técnicas de phishing novedosas, interceptando aproximadamente 225 instancias de amenaza antes de que ocurriera la comprometedora de cuentas o la interacción con malware. Esas cifras son resultados propios de Push, no un punto de referencia independiente, y la compañía también es el proveedor detrás del artículo patrocinado.
Los hechos apuntan a una prioridad defensiva clara: la infraestructura y las firmas de kits aún pueden ayudar, pero se degradan rápidamente cuando la IA abarata la reconstrucción de campañas. Las detecciones basadas en comportamiento son más difíciles de eludir—pero solo para los equipos de seguridad que puedan ver la actividad del navegador y convertir técnicas recién descubiertas en protecciones antes de que se conviertan en características de uso común.
Security Editor
Sophia unpacks the invisible wars happening on our networks. Covering cybersecurity, privacy legislation, and cryptography, she exposes how our data is weaponized and defended. Before joining for(geeks), she spent years as a penetration tester. She's the reason the rest of the team uses physical security keys.
vía BleepingComputer
