Predicciones de seguridad de primera línea 2026: Las técnicas de phishing para las que hay que prepararse

Anticipando las amenazas impulsadas por IA y cómo evolucionarán las tácticas en el próximo año.

Conclusiones

• Los kits de phishing están evolucionando rápidamente, ahora son capaces de lanzar millones de ataques y cada vez son más sofisticados y difíciles de detectar.
• Para 2026, se predice que los kits de phishing de próxima generación utilizarán herramientas avanzadas para construir perfiles sociales detallados de los objetivos, eludir la autenticación multifactor y emplear IA para ataques más dirigidos y personalizados.
• Es probable que el modelo de negocio de PhaaS se desplace hacia niveles de suscripción estructurados, que van desde kits básicos hasta campañas altamente sofisticadas impulsadas por IA.
• Para finales de 2026, se espera que más del 90% de los ataques de compromiso de credenciales sean facilitados por kits de phishing, representando más del 60% de todos los incidentes de phishing.

En 2025, el panorama de phishing estuvo impulsado por las fuerzas combinadas de la IA, la evolución de los kits de Phishing-as-a-Service (PhaaS) y técnicas de entrega y evasión cada vez más sofisticadas. En este artículo, los analistas de amenazas de Barracuda examinan lo que el próximo año podría deparar para esta amenaza duradera y en constante avance.

Cómo evolucionó el phishing en 2025

Hace un año, el equipo predijo que los kits PhaaS representarían la mitad de todos los ataques de robo de credenciales para finales de 2025, frente a alrededor del 30% en 2024. La proporción real resultó ser ligeramente superior a la mitad.

Más significativamente, el número de kits de phishing se duplicó durante 2025. Cada kit es lo suficientemente potente como para lanzar millones de ataques. Estos kits están en constante evolución, volviéndose más sofisticados y evasivos con el tiempo. El equipo informó regularmente sobre algunos de los kits de phishing más prevalentes a lo largo del año.

Basándose en estos desarrollos y más, el equipo de análisis de amenazas ha elaborado una serie de predicciones sobre cómo podría evolucionar el panorama durante los próximos 12 meses para ayudar a los equipos de seguridad a comprender y prepararse para lo que está por venir.

Qué nos deparará 2026

Kits de phishing 2.0

Tanto los kits de phishing establecidos como los emergentes utilizarán herramientas para construir perfiles sociales detallados de sus objetivos. Desplegarán tácticas automatizadas para eludir medidas de seguridad como la autenticación multifactor (MFA) robando tokens de acceso o retransmitiendo la autenticación a través del sitio web legítimo para romper las protecciones. Harán un mayor uso de la IA para desarrollar sus kits y hacer que los ataques sean más personalizados y efectivos.

• El modelo de negocio para los kits de PhaaS de próxima generación contará con niveles de suscripción estructurados, que van desde kits de phishing básicos hasta campañas altamente dirigidas y sofisticadas personalizadas con IA.
• Para finales de 2026, anticipamos que más del 90% de los ataques de compromiso de credenciales se atribuirán al uso de kits de phishing, representando más del 60% de todos los ataques de phishing.

Técnicas de evasión dinámicas y cargas útiles personalizadas

Los atacantes cambiarán de tácticas estáticas a enfoques dinámicos y conscientes del contexto, con cargas útiles adaptadas en función del dispositivo, la actividad del usuario o el momento, para eludir la detección automatizada.

Técnicas avanzadas de evasión y antidección que se espera que aumenten en volumen incluyen:

• Ocultar código malicioso en archivos de imagen y audio inofensivos (esteganografía).
• ‘ClickFix’ técnicas de ingeniería social donde un usuario es engañado para ejecutar manualmente un comando malicioso que ha sido copiado secretamente a su portapapeles.
• Más códigos QR divididos y anidados en ataques y la introducción de códigos QR dinámicos y de múltiples etapas.
• Abuso generalizado de OAuth (Open Authorization), un sistema ampliamente utilizado para iniciar sesión en aplicaciones o servicios sin compartir una contraseña.
• Técnicas de evasión de URL altamente avanzadas, incluyendo el uso de URIs de Blob efímeros. Blob URIs son un tipo de dirección web utilizada para almacenar datos localmente en la memoria, y a los atacantes les gustan porque no se cargan desde servidores externos y pueden alojar páginas de phishing en el navegador de la víctima, lo que las hace difíciles de detectar mediante medidas tradicionales.
• Inyección de código dinámica y scripts maliciosos completamente disfrazados.

Campañas auto-adaptativas basadas en IA

• Los atacantes utilizarán IA generativa para crear mensajes individualizados a gran escala y para adaptar campañas automáticamente de manera rápida.
• Estos ataques impulsados por IA se moverán a gran velocidad y contarán con un cifrado mejorado, capas más profundas de ofuscación y cargas útiles adaptativas.
• Se espera que los atacantes también intensifiquen sus esfuerzos para explotar la propia IA utilizando técnicas de inyección de órdenes y apuntando a agentes de IA, con el objetivo de manipular o comprometer herramientas de seguridad habilitadas por IA.

Robo y falsificación del código MFA

• Habrá un aumento en el robo de códigos MFA a través de phishing, utilizando tácticas como la fatiga de aprobación push y ataques de retransmisión.
• La ingeniería social se dirigirá a los flujos de recuperación de MFA, como los códigos de restablecimiento de contraseña u otras opciones de recuperación de cuenta.
• Los atacantes también utilizarán la ingeniería social para los ataques de degradación de MFA, tratando de eludir la autenticación resistente al phishing obligando o engañando al usuario a seleccionar un método de autenticación alternativo que sea más fácil de sortear.

Más ataques abusarán de CAPTCHA

• Las campañas avanzadas de phishing están utilizando cada vez más CAPTCHA para engañar a las víctimas haciéndolas sentir seguras y para ocultar la verdadera intención de los atacantes. El equipo espera que para finales de 2026, más del 85% de los ataques de phishing utilicen CAPTCHA para evadir las herramientas de seguridad automatizadas y asegurar que las interacciones sean realizadas por un humano.
• Los atacantes también están alejándose de los CAPTCHA legítimos y confiables hacia alternativas falsas, y esperamos que eso aumente durante 2026.

Tácticas más polimórficas

• Un ataque polimórfico es aquel que cambia continuamente su contenido, cargas útiles, patrones de entrega o huellas técnicas de modo que cada instancia se ve diferente, lo que hace que la detección automatizada y las defensas basadas en firmas sean ineficaces.
• Las técnicas populares que se espera que aumenten en uso, especialmente entre los kits de phishing, incluyen el uso de cadenas alfanuméricas aleatorias en el cuerpo del correo electrónico o en el asunto, la ofuscación de la dirección del remitente o el empleo de encabezados largos que incluyen marcas de tiempo o nombres de destinatarios en el asunto, el uso de enlaces ligeramente diferentes en cada correo electrónico y la variación de los nombres de los archivos adjuntos.

Explotación adicional de plataformas legítimas

• En 2025, alrededor del 10% de los ataques de phishing explotaron plataformas legítimas, en consonancia con 2024. El equipo espera que la proporción se mantenga estable durante 2026.
• Los atacantes explotarán cada vez más las plataformas sin código impulsadas por IA para crear y alojar rápidamente sitios de phishing. Estas herramientas eliminan las barreras técnicas, lo que permite a los actores de amenazas lanzar campañas sofisticadas a gran escala con un esfuerzo mínimo.

Objetivo: Servicios de protección de URL y enmascaramiento de URL

• La explotación de servicios de protección de URL y tácticas de enmascaramiento de URL, como el abuso de redirecciones abiertas, enlaces de marketing/seguimiento y URLs legítimas, está en aumento, y en 2025 esto se observó en alrededor del 25% de los ataques de phishing. Anticipamos que esta tendencia al alza continuará.

Amenazas más avanzadas basadas en malware

• Los ataques de malware se espera que se vuelvan más sofisticados, con un aumento del malware sin archivos, que se oculta en la memoria del dispositivo, y cargas útiles polimórficas que pueden evadir las defensas tradicionales basadas en firmas.
• Malware-as-a-Service evolucionará y prosperará.

Junto con las nuevas y evolutivas técnicas detalladas anteriormente, el equipo espera que continúen los enfoques tradicionales y perdurables como las estafas relacionadas con recursos humanos y nóminas, las estafas de entrega y logística, las notificaciones falsas de MFA, las estafas de impuestos y servicios gubernamentales, y las estafas de intercambio de archivos.

Protección contra técnicas en evolución

Las amenazas de phishing avanzaron significativamente durante 2025, volviéndose más prolíficas, complejas y evasivas. Estas tendencias continuarán a lo largo de 2026 y más allá. La protección del correo electrónico debería ser un componente crítico de una estrategia de seguridad robusta y ciberresiliente.

Pocas organizaciones escapan al impacto de un ataque de phishing o de ingeniería social. Nuestra última investigación de mercado muestra que el 78% de las organizaciones sufrieron una brecha de seguridad del correo electrónico en los últimos 12 meses. Cuanto más tiempo tardó la víctima en detectar y contener la amenaza, más profundo fue el daño.

Los enfoques tradicionales ya no son suficientes para mantener a raya el phishing avanzado. Las organizaciones necesitan una plataforma de seguridad integrada impulsada por IA, como BarracudaONE, con supervisión 24 horas al día, 7 días a la semana y una sólida cultura de seguridad.