Phishing TOAD: campañas con PDF, QR maliciosos y suplantación de marca

Los investigadores de ciberseguridad han advertido sobre una ola creciente de campañas de phishing sofisticadas que utilizan técnicas de devolución de llamada (TOAD, por sus siglas en inglés), suplantación de marca y archivos PDF maliciosos para engañar a los usuarios y obtener acceso a sus datos confidenciales. Estas campañas combinan elementos de ingeniería social, códigos QR maliciosos, números VoIP y funcionalidades legítimas como Microsoft 365 Direct Send para burlar los mecanismos tradicionales de defensa de correo electrónico.

¿Qué es TOAD y cómo funciona este tipo de phishing?

TOAD (Telephone-Oriented Attack Delivery) es una técnica de phishing en la que el objetivo es persuadido para llamar a un número telefónico que en realidad está controlado por ciberdelincuentes. A diferencia del phishing convencional basado únicamente en enlaces o archivos adjuntos, TOAD combina interacción humana con ingeniería social, lo que aumenta su tasa de efectividad.

Citar"Una parte significativa de las amenazas con archivos PDF adjuntos persuaden a las víctimas para que llamen a números controlados por el adversario", explicó Omid Mirzaei, investigador de Cisco Talos.

Durante la llamada, los atacantes se hacen pasar por representantes de atención al cliente, técnicos de soporte o personal de facturación. Mediante el uso de guiones, música de espera y falsificación de identificador de llamadas, logran establecer confianza para extraer datos personales, instalar malware o solicitar acciones que comprometen el dispositivo de la víctima.

Marcas más suplantadas en campañas TOAD

Un análisis realizado entre el 5 de mayo y el 5 de junio de 2025 reveló que las marcas más imitadas en estas campañas incluyen:

• Microsoft
• DocuSign
• NortonLifeLock
• PayPal
• Geek Squad

Los atacantes se aprovechan de la confianza que generan estas marcas para insertar archivos PDF con logos y tipografía oficiales, lo que da credibilidad a los mensajes. Muchos de estos PDF incluyen códigos QR maliciosos, que redirigen a páginas de inicio de sesión falsas o portales de pago fraudulentos.

Códigos QR maliciosos: el nuevo vector en archivos PDF

Una táctica emergente es el uso de anotaciones PDF para ocultar enlaces maliciosos detrás de campos de formulario, notas adhesivas o comentarios, haciendo difícil su detección automatizada. Los códigos QR incrustados pueden dirigir a los usuarios a:

• Falsas páginas de inicio de sesión de Microsoft 365
• Sitios de phishing que simulan servicios como Dropbox o Adobe
• Formularios para robo de credenciales o instalación de software no autorizado

VoIP y anonimato: la infraestructura detrás del phishing telefónico

La mayoría de los números utilizados por los atacantes son de Voz sobre Protocolo de Internet (VoIP), lo que les permite permanecer en el anonimato y reutilizar los mismos números durante varios días. Esta reutilización facilita ataques en múltiples etapas con un mismo número, haciendo seguimiento a víctimas que hayan interactuado previamente.

Direct Send de Microsoft 365: suplantación interna sin comprometer cuentas
Un método de ataque reciente y alarmante es el uso de la función legítima Direct Send en M365, que permite a los atacantes enviar correos desde direcciones internas aparentemente válidas sin necesidad de comprometer una cuenta. Esta táctica ha sido utilizada contra al menos 70 organizaciones desde mayo de 2025, según Varonis.

Citar"Esta simplicidad hace del envío directo un vector atractivo y de bajo esfuerzo para los atacantes", señaló Tom Barnea, investigador de seguridad.

Los correos aprovechan la predictibilidad del host ("<tenant_name>.mail.protection.outlook.com") para evadir controles SPF/DKIM y llegar a las bandejas de entrada con apariencia legítima.

TOAD, vishing y BEC: técnicas que se entrelazan

Aunque TOAD comparte elementos con otras amenazas como el vishing (phishing por voz) y el compromiso de correo electrónico empresarial (BEC), su diferencia clave es la interacción activa con la víctima. Algunos atacantes inducen la descarga de herramientas de acceso remoto como TeamViewer o AnyDesk, mientras que otros recopilan información bancaria o credenciales de forma directa.

IA, phishing y el nuevo riesgo de envenenamiento de modelos

Una investigación de Netcraft ha demostrado que incluso los modelos de lenguaje de IA pueden ser engañados para recomendar URLs falsas al preguntar dónde iniciar sesión en marcas reconocidas. En un tercio de las respuestas, los modelos sugirieron:

• Dominios no registrados o estacionados (30%)
• URLs que apuntan a sitios no relacionados (5%)

Este hallazgo resalta una nueva capa de riesgo: los atacantes podrían reclamar estos dominios y diseñar sitios web falsos que aparecen como sugerencias legítimas provenientes de herramientas de IA como ChatGPT.

Ataques dirigidos a herramientas de desarrollo y asistentes IA
Los ciberdelincuentes también están inyectando contenido malicioso en plataformas como GitHub. Por ejemplo, un atacante publicó el proyecto fraudulento Moonshot-Volume-Bot, promocionándolo mediante cuentas falsas, tutoriales y foros con el fin de sembrar código malicioso en los repositorios y envenenar asistentes de codificación de IA como Cursor.

Citar"Estas cuentas estaban cuidadosamente diseñadas para ser indexadas por canalizaciones de entrenamiento de IA", explicó el investigador Bilaal Rashid.

SEO, phishing y manipulación de motores de búsqueda

En paralelo, los actores de amenazas están utilizando un mercado ilícito conocido como Hacklink, que permite la compra de enlaces en sitios web legítimos (.gov, .edu) comprometidos para manipular algoritmos de búsqueda. Este proceso hace que sitios de phishing aparezcan como resultados destacados en búsquedas relacionadas con marcas confiables.

Citar"Los estafadores insertan enlaces maliciosos y modifican el contenido que aparece en los resultados de búsqueda, sin necesidad de tomar control total del sitio", señaló Andrew Sebborn, experto en seguridad.

Cómo mitigar estas amenazas emergentes

Para reducir el riesgo de caer en este tipo de ataques, los expertos recomiendan:

• Implementar un motor de detección de suplantación de marca
• Desconfiar de correos con archivos PDF que contengan códigos QR o números de teléfono
• Evitar llamar a números no verificados en correos electrónicos
• Utilizar autenticación multifactor y políticas de seguridad en M365
• Monitorizar respuestas generadas por IA y verificar URLs sugeridas

Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta