Check Point Research, la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), pionero y líder global en soluciones de ciberseguridad, ha detectado una campaña de phishing que está afectando a miles de usuarios de Microsoft Teams. Los ciberdelincuentes están utilizando la propia funcionalidad de la plataforma para distribuir contenido malicioso que aparenta provenir de servicios legítimos, engañando a las víctimas para que llamen a un número de soporte fraudulento.
En esta sofisticada campaña, los ciberdelincuentes comienzan creando equipos en Microsoft Teams con nombres relacionados con finanzas, diseñados para parecer avisos urgentes de facturación o suscripciones. Los nombres incluyen técnicas de ofuscación, como sustituciones de caracteres y glifos (símbolos gráficos que representan ideas, sonidos o conceptos) visualmente similares, que permiten que el mensaje pase desapercibido para los sistemas de seguridad, pero siga siendo comprensible para los usuarios.
Una vez creado el equipo, los ciberdelincuentes envían invitaciones a través de la función Invitar a un invitado de Microsoft Teams. Los destinatarios reciben un correo desde una dirección legítima de Microsoft, con el nombre del equipo destacado de manera que parece totalmente genuino. A primera vista, el mensaje podría confundirse con una notificación real de la compañía, lo que aumenta la probabilidad de que los usuarios confíen en el contenido y sigan las instrucciones.
Lo llamativo de esta campaña es que no depende de enlaces maliciosos ni de remitentes falsificados. En lugar de ello, recurre a la ingeniería social por teléfono, instando a las víctimas a llamar a un número de soporte fraudulento para resolver el supuesto problema de facturación.
Industrias afectadas
El alcance de la campaña es considerable: se han enviado 12.866 correos electrónicos, lo que ha afectado a 6.135 usuarios, con un promedio diario de 990 mensajes. El análisis sectorial muestra que la campaña ha impactado a empresas de distintos ámbitos, principalmente manufactura, ingeniería y construcción (27,4%), seguido de tecnología y educación (18,6%), aunque también se han registrado casos en servicios profesionales (11.2%), Gobierno (8.1%) y finanzas (7.3%). Esto sugiere que el objetivo principal de los ciberdelincuentes no es un sector concreto, sino aprovechar la amplia adopción de Microsoft Teams como plataforma de colaboración confiable.

Geográficamente, Estados Unidos concentra la mayoría de los incidentes, con un 67,9% de las empresas afectadas. Europa representa un 15,8% y Asia un 6,4%, mientras que Australia, Nueva Zelanda (ambas con un 3.9%) y Canadá (3.1%) registran una menor incidencia. En LATAM, donde tienen lugar el 2,4% de los incidentes, Brasil (44%), México (31%) y Argentina (11%) son los países más impactados, por encima de Colombia (8%), Chile (4%) y Perú (2%).
“Este tipo de ataques demuestra cómo los delincuentes pueden aprovechar flujos de invitación confiables y plataformas ampliamente utilizadas para propagar phishing sin necesidad de enlaces maliciosos ni correos falsificados”, advierte Ángel Salazar, Gerente de Ingeniería de Canales en Latinoamérica de Check Point Software.
Los usuarios deben extremar la precaución ante invitaciones inesperadas en Microsoft Teams, especialmente cuando los nombres de los equipos parecen notificaciones importantes de facturación, incluyen números de teléfono o tienen un formato inusual.
Para proteger a las empresas frente a este tipo de amenazas, Check Point Software recomienda contar con soluciones de defensa avanzadas y en capas, como Check Point Harmony Email & Collaboration, que permiten detectar y bloquear ataques de phishing incluso cuando se ocultan a plena vista. La campaña confirma, una vez más, que la confianza en plataformas digitales ampliamente adoptadas puede utilizarse en contra de los usuarios si no se aplican los controles de seguridad adecuados.
“Los atacantes están utilizando funciones legítimas de Microsoft Teams y nombres de equipos ofuscados para evadir la seguridad y engañar a los usuarios con notificaciones de facturación falsas. Esto demuestra que la ingeniería social combinada con plataformas confiables puede ser muy efectiva. Es clave contar con protección avanzada en capas y educar a los usuarios para detectar invitaciones sospechosas”, agrega Ángel Salazar.

– La IA está transformando la forma en que las industrias operan, compiten y crean valor a una velocidad sin precedentes. Para 2030, se proyecta que añadirá casi 20 billones de dólares al PIB mundial, consolidando su posición como una de las fuerzas económicas más poderosas de nuestro siglo. Sin embargo, a medida que la IA se integra más profundamente en las operaciones comerciales, emerge rápidamente una nueva frontera de riesgo, arraigada en la frágil comprensión que tienen las máquinas del significado y el contexto del lenguaje humano.
La IA de generativa y los grandes modelos de lenguaje (LLM) se están convirtiendo en el núcleo de los flujos de trabajo críticos en todos los sectores. Las instituciones financieras los implementan para analizar los mercados y anticipar la volatilidad. Los fabricantes los integran para orquestar cadenas de suministro complejas. Las organizaciones sanitarias los aplican para clasificar la información y acelerar la investigación.
Pero a medida que aumenta la dependencia de los sistemas de la IA generativa, también lo hace una nueva clase de amenazas que explotan la comunicación, no el código. Se centran en lo que la IA entiende, en lugar de en cómo se ejecuta. Y están surgiendo a una velocidad mayor de la que la mayoría de las organizaciones están preparadas para detectar y defenderse.
LLMs y el panorama de amenazas emergentes
Tradicionalmente, la ciberseguridad se ha centrado en fortalecer la infraestructura: bloquear redes, corregir vulnerabilidades e implementar controles de identidad. Sin embargo, el panorama de amenazas actual está evolucionando hacia algo más sutil y aún más difícil de detectar. Los ciberdelincuentes ya no necesitan explotar fallas de software ni vulnerar una red para causar daños. Pueden manipular la forma en que los sistemas de IA interpretan el lenguaje, convirtiendo la semántica en una superficie de ataque.

Las instrucciones maliciosas ocultas pueden estar a simple vista, en datos públicos, material de capacitación, información de clientes o documentación de código abierto. Estas manipulaciones pueden redirigir el razonamiento de un modelo, distorsionar sus resultados o comprometer la información que proporciona a los responsables de la toma de decisiones. Dado que estos ataques se producen en lenguaje natural, las herramientas de seguridad tradicionales rara vez los identifican. El modelo se ve afectado en su origen, mucho antes de que alguien se dé cuenta de que algo anda mal. Para las organizaciones que carecen de la preparación y la protección adecuadas, esto representa un riesgo grave y, a menudo, invisible.
Esta no es una amenaza hipotética. A medida que más organizaciones adoptan sistemas de IA autónomos y semiautónomos, el incentivo para que los adversarios ataquen la capa de lenguaje no hace más que crecer. El coste de entrada para los atacantes es bajo y el daño potencial es enorme.
La amenaza interna silenciosa
Cuando un modelo de IA se ve comprometido, se comporta como una amenaza interna. Puede filtrar silenciosamente propiedad intelectual, alterar recomendaciones estratégicas o generar resultados que beneficien a un tercero. El reto reside en su invisibilidad: actúa sin alertar. El sistema sigue respondiendo preguntas, resumiendo documentos, procesando datos y ayudando a los empleados. Simplemente, hace todo esto de forma sutilmente desalineada.
Lo que estamos observando ahora es un cambio en el riesgo empresarial: de la protección de datos a la protección del conocimiento. La pregunta clave para los responsables de seguridad ya no se limita a los derechos de acceso, sino a qué han absorbido sus modelos y de dónde.
La brecha de gobernanza
A pesar de la magnitud de la amenaza, muchas organizaciones siguen centrándose en quién utiliza la IA en lugar de en qué asimilan sus sistemas de IA. Esta brecha se amplía a medida que se acelera la adopción de la IA y aumenta la autonomía. Construir ecosistemas de IA confiables y resilientes requiere que las empresas verifiquen la integridad y autenticidad de cada conjunto de datos, instrucción y fuente de contenido que alimenta sus modelos.
Esto se alinea estrechamente con un tema central que emerge para Davos 2026: materializar el enorme potencial económico de la IA depende de una implementación responsable y una confianza verificable. La IA no puede seguir siendo una caja negra, ni puede consumir pasivamente datos sin control. Los sistemas que generen el mayor valor económico y social serán aquellos diseñados con trazabilidad, transparencia y rendición de cuentas como elementos centrales.
Generar confianza en el núcleo de la IA
Abordar este nuevo panorama de amenazas comienza con un principio simple pero transformador: confianza cero. No confiar en nada. Verificar todo, continuamente.
Si bien la confianza cero no es un concepto de seguridad nuevo, su alcance debe extenderse más allá de los controles de acceso e incluir los datos e instrucciones que entrenan y guían los sistemas de IA. Esto requiere una monitorización constante de la evolución de los modelos, rastreando el origen de su conocimiento e integrando la rendición de cuentas a lo largo de todo el ciclo de vida de la IA. La alfabetización en IA, la procedencia de los datos y la confianza digital deben ahora integrarse, junto con los criterios ESG y la ciberseguridad, como prioridades de la junta directiva, ya que la integridad de la inteligencia empresarial depende cada vez más de ellos.
La conciencia global sobre estos riesgos está creciendo. El Marco de Riesgos y Seguridad de la IA de la OCDE, publicado en 2025, e iniciativas internacionales similares reconocen la manipulación de datos y el uso indebido de la IA como áreas críticas que exigen estándares y supervisión compartidos. Para las empresas, alinear la gobernanza con estos marcos fortalece la resiliencia operativa y refuerza la confianza pública.
Protegiendo la IA protegiendo el lenguaje que entiende
Para alcanzar el máximo potencial de la IA, los líderes cibernéticos deben asumir la idea de que la inteligencia segura es inteligencia sostenible. La próxima era de la ciberseguridad se definirá no por la defensa de los sistemas, sino por la defensa de la semántica. La integridad de cómo las máquinas razonan, interpretan y se comunican se está convirtiendo en un activo estratégico.

Proteger la IA significa proteger el lenguaje mismo en el que se basa. La confianza definirá la próxima frontera de la innovación. Las organizaciones y naciones que lideran este espacio tratarán la confianza como un diferenciador competitivo y como una responsabilidad global compartida.

Brasil llega con una participación consolidada a Colombiatex de las Américas 2026,
uno de los eventos más importantes de la industria textil y de confecciones en
Latinoamérica.
En esta edición, 35 empresas apoyadas por el Programa Texbrasil, iniciativa de
internacionalización de la industria de la moda de Brasil, liderada por la Asociación
Brasileña de la Industria Textil y de Confección (ABIT), junto con la Agencia
Brasileña de Promoción de Exportaciones e Inversiones, (ApexBrasil) presentarán
su portafolio de tejidos, insumos, tecnologías y productos innovadores del 27 al 29
de enero en Medellín.
Brasil ha construido una presencia sólida y estratégica a lo largo de las ediciones
anteriores de la feria, consolidándose como uno de los países participantes más
relevantes de la región. Año tras año, las empresas brasileñas han destacado por su
capacidad industrial, innovación tecnológica y visión integral de la cadena de valor,
presentando soluciones que abarcan desde fibras, hilados y textiles técnicos, hasta
acabados funcionales, insumos químicos, maquinaria, sostenibilidad y servicios
especializados para la moda y el retail. Esta trayectoria ha posicionado a este país
como un socio confiable y competitivo para los mercados latinoamericanos y
globales.
“En Colombiatex 2025, la delegación brasileña generó aproximadamente USD 8,5
millones en negocios concretados durante la feria, y generó expectativas de hasta
USD 91 millones adicionales en ventas a lo largo del año, consolidando nuestro
liderazgo y la relevancia de los vínculos comerciales Brasil-Colombia. Esto fortalece
la presencia de nuestra industria en mercados clave y demuestra el impacto directo
de la internacionalización promovida por Texbrasil”, señaló Rafael Cervone,
presidente Emérito de ABIT.
La industria textil brasileña cierra el año con cifras muy significativas, lo que refleja
su papel esencial como generadora de empleo y producción industrial, y la hace
destacar dentro de las principales industrias manufactureras de ese país.
Brasil también mantiene vínculos comerciales sólidos con Colombia, donde los
principales productos exportados incluyen tejidos planos de algodón, que
representaron casi la mitad del valor total exportado, junto con pastas, telas no
tejidas y filamentos de elastano, todos ampliamente utilizados por confeccionistas y
fabricantes colombianos.

“La industria textil brasileña ha demostrado año tras año que sabe competir con
innovación y calidad en los principales mercados de la región, dentro de los que se
destaca Colombia por su industria de confección, altamente competitiva", afirma
Cervone.
Una delegación completa
Llegan a la feria las más destacadas empresas de textiles e insumos para la moda.
Se encuentran empresas como: Altero, Brand Têxtil, Canatiba Têxtil, Capricórnio
Têxtil, Cardenas, Cataguases, Cedro Têxtil, Coltex, Chargeurs PCC Brasil, Dalila
Ateliê Têxtil, Diklatex, Doptex, Ematex WorkWear, Fabril Mascarenhas, Fiorella, FB
do Brasil, Hyosung, Kalimo, Kirimurê Brasil, Lunelli Têxtil, Martine Digital, Nova
Kaeru, Pantextil, Paranatex Têxtil, Pollibox, Rovitex, Sancris Hilos y Cierres,
Santista Têxtil, Nilit/Sensil, SPA Têxtil, Tecelagem Columbia, Texneo, The LYCRA
Company, Linhas Triche, y Vicunha Têxtil, quienes mostrarán soluciones desde
fibras y tejidos técnicos, hasta desarrollos sostenibles de alto valor agregado.
A esta delegación se suman seis empresas de maquinaria y tecnología que
participan a través de ABIMAQ (Asociación Brasileña de la Industria de Máquinas y
Equipos), por medio de su Programa de internacionalización Brazil Machinery
Solutions. Las empresas presentarán soluciones en automatización, impresión textil
y equipos de última generación para el sector. Las compañías participantes son:
SPGPrints, Audaces, Castilho Máquinas Têxteis, Comelato Roncato, Inarmeg
Máquinas e Redutores y Socio Tec Automação.
Los visitantes a la feria encontrarán propuestas que combinan diseño, desempeño,
eficiencia productiva y responsabilidad ambiental, así como desarrollos orientados a
optimizar procesos, reducir impactos y responder a las nuevas exigencias del
consumidor y de las marcas. Más que proveedores, las compañías brasileñas se
presentan como aliados estratégicos, capaces de acompañar a la industria en sus
procesos de innovación, diferenciación y expansión comercial.
La participación brasileña en Colombiatex 2026 reafirma la importancia de este
evento como plataforma estratégica para fortalecer relaciones comerciales,
promover innovación y abrir nuevas oportunidades de exportación en toda la región.

Colombia, el quinto mayor destino de las exportaciones brasileñas de calzado, se
prepara para recibir un showroom en enero de 2026. La iniciativa se llevará a cabo
en Bogotá, los días 21 y 22, y contará con 22 marcas brasileñas de calzado para
todos los segmentos —hombre, mujer y niños— y para diferentes estilos y
momentos de la vida.
Las marcas de Brasil llevarán al mercado colombiano innovaciones y tendencias
del cuarto mayor productor de calzado del mundo y el mayor de Occidente. El
showroom es una de las acciones de Brazilian Footwear, programa creado por la
Asociación Brasileña de las Industrias del Calzado (Abicalçados) en alianza con la
Agencia Brasileña de Promoción de Exportaciones e Inversiones (ApexBrasil), con
el objetivo de aumentar la presencia del calzado hecho en Brasil en todo el
mundo.
Según Carla Giordani, de la unidad de Negocios de Abicalçados, Colombia se
encuentra entre los principales destinos del calzado brasileño. El país importo
entre enero y noviembre de 2025, US$35.325.571 correspondiente a 7.639.232
pares de calzado, agrega. De enero a noviembre del 2025, las empresas de Brasil
han exportado al mundo US$885.266.384, correspondiente a 94.209.198 de pares
de calzado.
“La Misión Colombia, el Showroom de Brasil es uno de los eventos más
importantes para las empresas brasileñas vinculadas al programa Brazilian
Footwear, precisamente por el alto retorno de la inversión. Colombia es un país
con un gran mercado de consumo y depende de las importaciones, siendo Brasil
uno de sus principales proveedores”, explica Carla, enfatizando que las similitudes
culturales y la proximidad geográfica contribuyen positivamente.
Para el showroom de enero, está prevista la participación de compradores
nacionales, cadenas de tiendas, boutiques, distribuidores, minoristas y

comercializadores en general. El encuentro contará con compradores de Bogotá,
Medellín, Cali, Barranquilla, Pereira y Manizales, y se realizará los días 21 y 22 de
enero, en el Hotel Estelar Parque de la 93, en Bogotá, de 9:00 de la mañana a
6:00 de la tarde.
Las marcas participantes en esta primera misión comercial del 2026 son: Actvitta,
Bebeco, Beira Rio, BKR, BR Sport, Capodarte, Dian Patris, Dumond, Freeway,
Leveratti, Manchester, Miss Love, Modare Ultraconforto, Moleca, Molekinha,
Molekinho, Sameka, Santa Flor, Santinelli, Torx, Via Marte y Vizzano.

La moda es una industria en constante evolución y cada vez son más las personas
que buscan prendas que sean sostenibles y respetuosas con el medio ambiente.
El año 2025 ha sido testigo de un período de transformación y reinvención en la
industria textil a nivel mundial. Este sector, históricamente es conocido por su
rápida adaptación a las tendencias cambiantes y su importante contribución a la
economía global.
Marcado por innovaciones tecnológicas, un enfoque creciente en la sostenibilidad
y la necesidad de adaptarse a nuevos desafíos económicos y ambientales, el
sector textil ha navegado a través de un panorama en constante evolución.
The LYCRA Company, líder mundial en el desarrollo de soluciones innovadoras de
fibras y tecnologías para la industria textil y de la indumentaria, es un referente a
nivel mundial en el desarrollo de fibras sostenibles, con tecnologías que no solo
ofrecen la posibilidad de reducir drásticamente el consumo de agua y energía en
los procesos textiles, sino que, además, permiten crear una variedad de acabados
y efectos. Esto no solo representa un avance en términos de eficiencia de
producción, también es un paso importante hacia una industria textil más
respetuosa con el medio ambiente.
Durante Colombiatex 2026, la compañía presentará productos como la fibra
LYCRA® EcoMade Renovable, elaborada con un 70% de contenido renovable
derivado de maíz cultivado en el medio oeste de Estados Unidos. Esta fibra tiene
el potencial de reducir la huella de carbono hasta en un 44%*.
Ofrece el mismo rendimiento que la fibra tradicional, con un impacto más suave en
el planeta.
Así, las marcas y las fábricas de tejidos pueden incorporarla fácilmente y
acercarse a sus objetivos de sostenibilidad, ya que reemplaza un recurso no
renovable por uno renovable y trae beneficios para las textileras, las marcas y los
minoristas ya que no se producen cambios en el rendimiento de la fibra, lo que
elimina la necesidad de reingeniería de telas, patrones o procesos, convirtiendo la
moda en una moda sostenible.

También se presentará la fibra LYCRA® ADAPTIV, que brinda una excelente
calidad en las prendas, mayor comodidad y durabilidad. Es una tecnología
avanzada que responde a una demanda creciente, prendas que se ajusten a las
múltiples formas y movimientos del cuerpo de una manera natural y cómoda.
Ofrece una elasticidad dinámica, lo que significa que la pueden expandir o
contraer de acuerdo con los movimientos y la forma del cuerpo, proporcionando un
ajuste personalizado y flexible.
Por primera vez, se presentará la tecnología LYCRA® FitSense™, aplicada
directamente en la tela desde su fabricación, una innovación revolucionaria que
transforma las prendas añadiendo potencia ligera y localizada exactamente donde
se necesita.
“El compromiso de la compañía se mantiene firme, guiando cada una de nuestras
plantas de fabricación hacia una energía más limpia, un mejor uso de los recursos
y prácticas ambientales más sólidas. La sostenibilidad está plenamente integrada
en nuestra forma de operar a diario. Vamos por buen camino y estamos logrando
importantes avances en el cumplimiento de nuestros compromisos climáticos
originales para 2030, por eso, dentro de las propuestas que presentaremos en la
Feria, están las fibras EcoMade hechas con contenido reciclado para reducir los
desechos, la tecnología inclusiva de LYCRA® ADAPTIV, y la tecnología de
impresión LYCRA FITSENSE® que proporciona compresión sin volumen, levanta,
suaviza, esculpe y moldea, exactamente donde se desee”, afirma María Luiza
Amaro, Gerente de Marketing para Brasil y Colombia.
Durante la feria también estarán fibras como LYCRA® T400®, una fibra única que
combina lo mejor de la comodidad y flexibilidad con “fácil cuidado, fácil uso”,
concepto que describe las prendas que no se arrugan fácilmente y siempre lucen
como nuevas. Mantiene sus propiedades de elasticidad y recuperación durante
más tiempo, lo que la hace ideal para prendas profesionales que exigen tanto
rendimiento como durabilidad.
La compañía también presentará soluciones en fibras de poliéster para el confort
térmico, tanto para el frío como para el calor, hechas 100% de residuos textiles.
Una es la fibra COOLMAX® EcoMade, tecnología que ayuda a mantener al
usuario fresco, seco y cómodo durante cualquier actividad, ya que su diseño aleja
la humedad del cuerpo y la lleva al exterior haciendo que se seque más rápido.
Funciona en casi cualquier tipo de prenda, como ropa íntima, deportiva, interior,
jeans, entre otros.
Como complemento de este grupo, está la fibra THERMOLITE® EcoMade,
fabricada a partir de un conjunto de fibras de poliéster sostenibles también hechas
100% de desechos, diseñada para brindar calidez liviana y permanente a las
necesidades de confort térmico de los consumidores.
La fibra THERMOLITE® EcoMade proporciona calidez ligera para todas las
actividades. Fabricada con fibras huecas funcionales, aislantes y duraderas, esta
tecnología puede utilizarse en prendas de vestir y productos no textiles. Además,
los consumidores con conciencia ecológica apreciarán que estas fibras se pueden
fabricar con botellas de PET 100% recicladas o con residuos textiles 100%
reciclados.
“En The LYCRA Company, estamos comprometidos a ofrecer tecnologías de fibras
avanzadas que permitan a nuestros clientes alcanzar sus objetivos de
sostenibilidad mientras mejoran el rendimiento de sus productos”, dijo Gary Smith,
CEO de The LYCRA Company. “Esta combinación de innovación con propósito
que genera narrativas impactantes es una de las razones por las que somos un
socio de confianza.”
En el stand, la compañía realizará presentaciones especiales de sus
lanzamientos, con colecciones de marcas colombianas e internacionales, bajo la
visión de una moda sostenible.
Todas las innovaciones serán presentadas del 27 al 29 de enero, ubicado en el pabellón Blanco de Plaza Mayor de Medellín,
en la Feria Colombiatex 2026.

Este informe de Check Point Researchers describe una campaña de phishing en la que atacantes suplantan mensajes legítimos generados por Google mediante el uso indebido de la integración de aplicaciones de Google Cloud para distribuir correos electrónicos maliciosos que parecen provenir de una infraestructura confiable de Google. Los correos electrónicos imitan notificaciones empresariales rutinarias, como alertas de correo de voz y solicitudes de acceso o permisos a archivos, lo que los hace parecer normales y confiables para los destinatarios.
En este incidente, los atacantes enviaron 9394 correos electrónicos de phishing dirigidos a aproximadamente 3200 usuarios durante los últimos 14 días. Todos los mensajes se enviaron desde la dirección legítima de Google noreply-application-integration@google.com, lo que aumentó significativamente su credibilidad y la probabilidad de llegar a las bandejas de entrada de los usuarios finales.
Método de ataque
Según las características del correo electrónico observadas y la infraestructura del remitente, la campaña parece aprovechar la tarea "Enviar correo electrónico" de la integración de aplicaciones de Google Cloud, una función diseñada para la automatización legítima del flujo de trabajo y las notificaciones del sistema. Esta funcionalidad permite que las integraciones configuradas envíen correos electrónicos a destinatarios al azar, lo que explicaría cómo los atacantes pudieron distribuir mensajes directamente desde los dominios de Google sin comprometer a la propia Google.
"Este comportamiento sugiere un uso indebido de las capacidades legítimas de automatización en la nube para suplantar notificaciones auténticas de Google, eludiendo los controles tradicionales de detección basados en dominios y reputación del remitente", dijo Ángel Salazar Gerente de Ingeniería de Canales en Latinoamérica de Check Point.
Para aumentar aún más la confianza, los correos electrónicos seguían fielmente el estilo y la estructura de las notificaciones de Google, incluyendo un formato y un lenguaje habituales. Los señuelos solían hacer referencia a mensajes de correo de voz o afirmaciones de que el destinatario había obtenido acceso a un archivo o documento compartido, como el archivo "Q4", lo que inducía a los destinatarios a hacer clic en enlaces incrustados y actuar de inmediato.

Como se ilustra en el diagrama adjunto, el ataque se basa en un flujo de redirección de varias etapas diseñado para reducir la sospecha del usuario y retrasar la detección:
1. Clic inicial
El usuario hace clic en un botón o enlace alojado en storage.cloud.google.com, un servicio confiable de Google Cloud. Usar una URL legítima alojada en la nube como primer paso ayuda a generar confianza y reduce la probabilidad de que el enlace sea bloqueado o cuestionado.
2. Etapa de validación y filtrado
El enlace redirige al usuario a contenido proporcionado por googleusercontent.com, donde se presenta un CAPTCHA falso o una verificación basada en imágenes. Este paso tiene como objetivo bloquear los escáneres automatizados y las herramientas de seguridad, permitiendo a los usuarios reales continuar.
3. Destino final: Recopilación de credenciales
Tras pasar la etapa de validación, el usuario es redirigido a una página de inicio de sesión falsa de Microsoft alojada en un dominio ajeno a Microsoft. El atacante captura las credenciales introducidas en esta etapa, completando así la cadena de phishing.
Este enfoque de redirección por capas combina una infraestructura en la nube confiable, comprobaciones de la interacción del usuario y suplantación de marca para maximizar el éxito y minimizar la detección temprana.

Afectados (últimos 14 días):
Por sector:
El análisis muestra que la campaña se dirigió principalmente a organizaciones de manufactura/industria (19,6%), tecnología/SaaS (18,9%) y finanzas/banca/seguros (14,8%), seguidas de servicios profesionales/consultoría (10,7%) y comercio minorista/consumo (9,1%). Se observó una menor actividad en los sectores de medios/publicidad (7,4%), educación/investigación (6,2%), salud/ciencias biológicas (5,1%), energía/servicios públicos (3,2%), gobierno/sector público (2,5%), viajes/hotelería (1,9%) y transporte/logística (0,9%), junto con otros/desconocido (1,7%).
Estos sectores suelen utilizar notificaciones automatizadas, documentos compartidos y flujos de trabajo basados en permisos, lo que hace que las alertas de Google sean especialmente convincentes.
Por región:
Las organizaciones afectadas se ubicaron principalmente en Estados Unidos (48,6%), seguidas de Asia-Pacífico (20,7%) y Europa (19,8%). Se observó un impacto adicional en Canadá (4,1%), Latinoamérica (3,0%), Oriente Medio (2,2%) y África (0,9%), con un 0,7% de casos desconocidos o sin clasificar.
En Latinoamérica, la actividad se concentró en Brasil (41%) y México (26%), seguidos de Argentina (13%), Colombia (12%), Chile (5%) y Perú (3%), con porcentajes menores en otros países.
Declaración de Google:
“Hemos bloqueado varias campañas de phishing que implicaban el uso indebido de una función de notificación por correo electrónico dentro de Google Cloud Application Integration. Cabe destacar que esta actividad se originó por el uso indebido de una herramienta de automatización de flujos de trabajo, no por una vulneración de la infraestructura de Google. Si bien hemos implementado protecciones para proteger a los usuarios contra este ataque específico, recomendamos mantener la cautela, ya que los actores maliciosos con frecuencia intentan suplantar marcas de confianza. Estamos tomando medidas adicionales para evitar futuros usos indebidos”.
Esta campaña destaca cómo los atacantes pueden usar indebidamente funciones legítimas de automatización y flujos de trabajo en la nube para distribuir phishing a gran escala sin recurrir a la suplantación de identidad tradicional. Refuerza la necesidad de una vigilancia continua, especialmente cuando los correos electrónicos incluyen enlaces en los que se puede hacer clic, incluso cuando el remitente, el dominio y la infraestructura parecen totalmente legítimos.

Check Point Research, la división de Inteligencia de Amenazas Check Point® Software Technologies Ltd. (NASDAQ: CHKP), pionero y líder global en soluciones de ciberseguridad, ha identificado una campaña de ciberespionaje avanzada atribuida al grupo Ink Dragon y revela cómo este actor convierte servidores comprometidos de organismos gubernamentales en Europa, Sudeste Asiático y Sudamérica en parte de su propia infraestructura de mando y control. La operación se apoya en el uso de módulos personalizados de ShadowPad y en una versión evolucionada del backdoor FinalDraft, diseñada para camuflarse en el uso legítimo de servicios cloud corporativos y mantener acceso persistente de forma silenciosa.
Según Check Point Research, Ink Dragon destaca por reutilizar cada servidor comprometido como nodo de retransmisión, lo que le permite encadenar nuevas víctimas, ocultar el origen real de sus operaciones y mantener comunicaciones encubiertas entre distintos organismos públicos.
“Lo preocupante de Ink Dragon no es solo la calidad de sus herramientas, sino la forma en que reutiliza cada víctima como parte de una red de mando y control distribuida”, explica Ángel Salazar, Gerente de Seguridad de Canales en América Latina de Check Point Software. “Un único servidor mal configurado puede convertirse en un punto de entrada al dominio, en un puente hacia otras organizaciones y en infraestructura permanente para futuras campañas. Las organizaciones no pueden tratar estas intrusiones como incidentes aislados, deben buscar toda la cadena de retransmisión y desmantelarla por completo”.
De fallos web conocidos a dominio completo de la red
La investigación describe una cadena de ataque muy consistente. Ink Dragon comienza aprovechando errores de configuración en servidores IIS y SharePoint, en especial valores predecibles de machineKey en aplicaciones ASP.NET y la cadena de explotación conocida como ToolShell sobre SharePoint local. Estos errores permiten ejecutar código de forma remota mediante deserialización de ViewState o vulnerabilidades de autenticación.

Una vez dentro del servidor expuesto, el grupo:
• Obtiene credenciales y secretos locales del servicio web.
• Escala privilegios hasta conseguir control completo del sistema.
• Establece canales de acceso remoto, a menudo a través de RDP.
• Se mueve lateralmente hacia otros servidores que reutilizan las mismas cuentas de servicio.
El objetivo final es alcanzar cuentas con privilegios de administración de dominio, extraer hashes NTLM y ficheros clave como NTDS.dit y consolidar el control sobre la infraestructura interna.
Víctimas convertidas en parte de la infraestructura encubierta
Uno de los hallazgos más relevantes es que Ink Dragon convierte los servidores comprometidos en parte de su propia infraestructura de mando y control. Para ello utiliza un módulo de ShadowPad integrado dentro del proceso legítimo de IIS, capaz de registrar rutas ocultas, interceptar peticiones web y reenviar tráfico entre distintos sistemas sin levantar sospechas. El resultado es que cada servidor ciberatacado puede actuar como un puente silencioso entre el operador y otros equipos infectados, incluso en redes de otras instituciones públicas.

Este mecanismo hace que comunicaciones que parecen normales entre organismos, por ejemplo, tráfico rutinario entre ministerios o servicios públicos, puedan transportar en realidad órdenes del ciberdelincuente o datos exfiltrados. Además, el módulo deja trazas internas con información sobre el origen y destino de los paquetes, que han permitido a Check Point Research reconstruir parte de esta red de retransmisión entre víctimas.
Herramientas avanzadas y uso intensivo de credenciales
Tras el acceso inicial, Ink Dragon despliega un conjunto de componentes diseñados para mantener presencia prolongada y discreta. Entre ellos se encuentran loaders que se ejecutan bajo binarios firmados por fabricantes legítimos, técnicas de volcado de credenciales para obtener contraseñas y hashes, y el aprovechamiento de sesiones RDP inactivas de administradores para moverse lateralmente sin generar alertas.

Sobre los sistemas más sensibles, el grupo instala una versión evolucionada del backdoor FinalDraft, capaz de camuflar su comunicación dentro de la actividad habitual de Microsoft 365. Para ello utiliza la API de Microsoft Graph y esconde comandos y resultados dentro de borradores de correo cifrados. Esta variante también incorpora funciones de exfiltración de alto rendimiento, recopilación de historiales de acceso RDP y ajustes que debilitan ciertos controles de seguridad de Windows para facilitar la expansión del ataque.
La investigación también reveló que otro actor avanzado, RudePanda, había accedido a algunas de las mismas redes gubernamentales. No existe relación conocida entre ambos grupos, pero el solapamiento demuestra que una única vulnerabilidad expuesta puede convertirse en puerta de entrada para varias operaciones de espionaje simultáneas. Los objetivos identificados incluyen ministerios, organismos públicos y proveedores de servicios críticos en Europa, el Sudeste Asiático y África, lo que amplifica el riesgo de que un compromiso aislado se convierta en un eslabón dentro de una cadena de ataques más amplia.
Recomendaciones para las organizaciones
Check Point Research recomienda a organizaciones públicas y privadas adoptar medidas inmediatas para reducir su exposición frente a Ink Dragon y actores con tácticas similares:
• Auditar y corregir de forma prioritaria la configuración de servidores IIS y SharePoint expuestos a Internet, eliminando machineKeys predecibles y aplicando parches de seguridad.
• Revisar el uso de credenciales compartidas entre servidores y aplicar principios de mínimo privilegio, rotación frecuente y autenticación reforzada.
• Implementar segmentación estricta entre redes de administración, servicios web perimetrales y sistemas críticos, limitando el movimiento lateral.
• Monitorizar de manera específica patrones anómalos de RDP, acceso a LSASS, creación de tareas programadas y servicios sospechosos.
• Supervisar el uso de servicios cloud y correo corporativo, con especial atención a accesos inusuales a APIs como Microsoft Graph.