Cómo la IA y el phishing-as-a-service están cambiando el panorama de las amenazas de correo electrónico

Conclusiones del Email Threats Report 2026 de Barracuda

Conclusiones

• Las amenazas de correo electrónico se centran cada vez más en el engaño y la suplantación de identidad, siendo el phishing casi la mitad de la actividad de correo electrónico malicioso.
• Los atacantes están alejándose del malware tradicional basado en archivos hacia URLs, códigos QR y HTMLs, donde las amenazas pueden ser más difíciles de detectar y bloquear.
• La usurpación de cuentas es un riesgo recurrente para muchas organizaciones, aumentando la probabilidad de fraude, exposición de datos y disrupción del negocio.
• El Phishing-as-a-service está industrializando los ataques, permitiendo campañas de alto volumen que son más fáciles de lanzar e iterar para los criminales.
• La defensa eficaz requiere cada vez más seguridad del correo electrónico en capas más protección de identidad, respaldada por una detección rápida y respuesta automatizada.

Los ataques por correo electrónico están evolucionando más rápido que nunca, y el Email Threats Report 2026 de Barracuda arroja luz sobre por qué las organizaciones deben replantearse su enfoque de la protección del correo electrónico. Los atacantes están aprovechando la inteligencia artificial (IA) y plataformas de phishing-as-a-service para aumentar tanto la escala como la sofisticación de sus campañas, convirtiendo el correo electrónico en un objetivo principal para el robo de identidad y la interrupción empresarial.

Según el análisis de Barracuda Research, la división de inteligencia de amenazas de Barracuda, de más de 3.100 millones de correos electrónicos en enero de 2026, uno de cada tres mensajes de correo electrónico es malicioso o spam no deseado, y casi la mitad de toda la actividad maliciosa proviene de ataques de phishing. Los ciberdelincuentes se están volviendo más inteligentes, alejándose de las cargas útiles tradicionales basadas en archivos y utilizando métodos de entrega más sigilosos como ataques basados en URL, documentos incrustados con códigos QR y usurpación de cuentas. Estas tácticas están diseñadas para eludir las defensas convencionales, lo que hace cada vez más difícil para las organizaciones detectar amenazas antes de que ocurra el daño.

¿Cuáles son las principales conclusiones del Informe de Amenazas de Correo Electrónico de Barracuda de 2026?

Estadísticas clave del informe — y lo que señalan para los defensores — incluyen:

• El 48 % de la actividad de correo electrónico malicioso es phishing, lo que refuerza la necesidad de priorizar los controles antiphishing y las defensas centradas en la identidad.
• El 34% de las empresas informa de al menos un incidente de usurpación de cuentas cada mes, por lo que la detección rápida y la respuesta a las cuentas comprometidas son esenciales.
• Más del 10 % de los archivos adjuntos en HTMLs son maliciosos, lo que destaca la necesidad de inspeccionar y controlar el contenido basado en HTML, no solo los tipos de archivos tradicionales.
• El 70 % de los PDFs maliciosos contienen códigos QR que conducen a sitios web de phishing, por lo que el escaneo de códigos QR y la protección de enlaces deben considerarse defensas fundamentales del correo electrónico.
• El 90% de las campañas de phishing de alto volumen utilizan kits de phishing-as-a-service. Los atacantes pueden escalar rápidamente, lo que hace que la automatización y los controles en capas sean críticos.

Estos hallazgos subrayan que los ataques por correo electrónico no solo están aumentando en frecuencia, sino también en complejidad. Como señala Merium Khalid, Directora de SOC Offensive Security, Oficina del CTO en Barracuda, "el correo electrónico ya no es solo un canal de comunicación, sino la primera línea de defensa para la identidad, la confianza y la continuidad del negocio".

Para defenderse de las amenazas en evolución, las organizaciones necesitan priorizar la seguridad integrada del correo electrónico, complementada con protección de identidad y respuesta automatizada, como parte de una estrategia más amplia impulsada por la resiliencia.

La detección rápida, la prevención y la respuesta automatizada son ahora componentes esenciales de cualquier estrategia de ciberresiliencia. Al combinar estos elementos, las empresas pueden reducir riesgos, limitar el impacto de la usurpación de cuentas y mantener la continuidad operativa, incluso a medida que las amenazas se vuelven más rápidas y más industrializadas. El futuro de la protección del correo electrónico exige resiliencia, integración y automatización.

¿Qué medidas deberían adoptar las organizaciones para reducir el riesgo de phishing y de apropiación de cuentas?

• Reducir el éxito del phishing con una verificación de usuario más sólida, controles de anti-suplantación y concienciación continua adaptada a las tácticas actuales (URLs, códigos QR y señuelos HTML).
• Reforzar la seguridad de la identidad aplicando MFA siempre que sea posible, monitorizando inicios de sesión sospechosos y ajustando las políticas de acceso para limitar el impacto de las credenciales robadas.
• Ampliar la inspección más allá de los archivos adjuntos aumentando el escrutinio de los enlaces incrustados y los códigos QR en documentos y mensajes.
• Prepararse para la usurpación de cuentas con guías que incluyen restablecimientos rápidos de credenciales, revocación de tokens/sesiones y rutas claras de escalamiento.
• Automatizar la detección y respuesta para poner en cuarentena rápidamente los mensajes sospechosos y reducir el tiempo de permanencia cuando los ataques logran pasar.

¿Quiere el desglose completo? Consulte el Email Threats Report 2026 de Barracuda para conocer los hallazgos, datos y recomendaciones completos, y manténgase atento a las nuevas e interesantes innovaciones en protección del correo electrónico que llegarán pronto.