Un ataque, muchos canales, una unidad USB

Cada paso de la secuencia utiliza un canal diferente

El FBI describe la secuencia en orden. Primero, un correo electrónico que se hace pasar por un aviso de TI, factura, cobro o suscripción insta al empleado a llamar a un número de teléfono. Luego, el atacante se hace pasar por soporte técnico, ya sea cuando el empleado llama o cuando el atacante llama directamente.

A continuación, el atacante pide al empleado que abra una sesión de escritorio remoto con herramientas como Quick Assist, AnyDesk o Splashtop. Si el acceso remoto falla, un atacante visita la oficina. El visitante conecta un dispositivo de almacenamiento al ordenador y dice que es necesario para crear una imagen del dispositivo o realizar una copia de seguridad (FBI FLASH-20260526-01, mayo de 2026).

Una vez dentro, el atacante copia los datos con herramientas como WinSCP o Rclone, o los transfiere personalmente a la unidad USB. La extorsión llega entonces por correo electrónico, y el atacante también llama a empleados o clientes para aumentar la presión.

Si se lee como una lista de canales, abarca un correo electrónico o mensaje de texto, una llamada telefónica, una sesión de escritorio remoto, una visita física y una campaña de extorsión por correo electrónico y teléfono. Cada uno cumple una función distinta. El correo electrónico consigue la llamada, la llamada consigue el acceso y la visita cubre el caso en el que el acceso falla.

Cada canal tiene un responsable, pero la secuencia no tiene ninguno

Los equipos de seguridad suelen organizar sus controles por canal. La puerta de enlace de correo electrónico supervisa los correos. El equipo de TI o telefonía gestiona las llamadas. Las herramientas de punto final vigilan el software de acceso remoto. Las instalaciones gestionan a los visitantes. Un mensaje de texto a menudo no tiene ningún responsable.

En esta secuencia, cada uno de esos equipos ve un fragmento plausible. El primer correo electrónico pide una llamada telefónica, por lo que un filtro tiene poco que evaluar más allá del remitente y la redacción. La llamada no deja ningún archivo que escanear. Las herramientas de acceso remoto son software legítimo que los empleados y los equipos de TI ya conocen.

Incluso el visitante encaja en la historia. Según The Register, los atacantes presenciales se hacen pasar por personal de TI y dicen que necesitan evaluar los daños causados por el correo electrónico de phishing (The Register, 27 de mayo de 2026). El último paso hace referencia al primero.

El pivote es la señal

Una secuencia puede imitar cada paso de forma convincente, pero no puede evitar el momento en que cambia de canal. Un empleado recibe un correo electrónico y, después, una llamada que hace referencia a él. Más tarde, llega un visitante y hace referencia al mismo correo electrónico.

Ese momento es el único lugar donde un empleado posee información que ninguna herramienta tiene. El correo electrónico y la llamada pertenecen a la misma historia. Un filtro no puede saber que la llamada trata sobre el correo electrónico. El empleado sí puede.

Esto cambia lo que vale la pena entrenar. Detectar un correo electrónico malicioso es una habilidad. Notar que una solicitud se ha trasladado de un canal a otro, y tratar ese cambio como una razón para verificar, es algo distinto.

Qué significa esto para los equipos de seguridad

Mapee la responsabilidad antes de mapear los controles. Anote quién supervisa los correos electrónicos, mensajes de texto, llamadas, sesiones de acceso remoto y visitantes, y qué sucede cuando un caso involucra a tres de ellos. Si la respuesta es una conversación que nadie ha programado, la secuencia encontrará esa brecha.

Ofrezca a las personas un único lugar para informar. Un empleado que reciba un correo electrónico, un mensaje de texto, una llamada o una visita debería utilizar la misma vía. De esa manera, los informes llegan a una sola cola y alguien puede compararlos.

Adopte una regla de pivote. Cuando una solicitud en un canal hace referencia a otro, como una llamada sobre un correo electrónico, el empleado debe verificarla a través de un número o contacto que él mismo encuentre. Las propias recomendaciones del FBI incluyen establecer políticas de verificación de TI.

Pruebe toda la secuencia, no cada canal por separado. Un ejercicio de simulación o mesa redonda que pase del correo electrónico al teléfono y a un visitante muestra si alguien nota el pivote. En Zepo, construimos nuestras simulaciones de ataques múltiples basándonos en esa idea.

Los atacantes necesitan un empleado que vea un paso a la vez. Medir si las personas notan el pivote proporciona a los equipos de seguridad una señal que ninguna puerta de enlace puede reportar.

Preguntas frecuentes

¿Qué es un ataque de ingeniería social multicanal? Es un ataque que se desplaza a través de correos electrónicos, mensajes de texto, llamadas telefónicas, acceso remoto o contacto en persona para generar confianza paso a paso. Cada canal cumple una función distinta y, por lo general, es supervisado por un equipo o herramienta diferente.

‍

¿Qué es el phishing de devolución de llamada? Es un correo electrónico o mensaje de texto que solicita al objetivo que llame a un número de teléfono en lugar de hacer clic en un enlace, de modo que la conversación con el atacante se produzca por voz. El FBI lo describe en su alerta de mayo de 2026 sobre el Silent Ransom Group (FBI FLASH-20260526-01, mayo de 2026).

‍

¿Por qué los filtros de correo electrónico no detienen secuencias como esta? Un filtro solo ve el primer paso. La llamada, la sesión remota y la visita ocurren fuera del sistema de correo electrónico, por lo que ninguna herramienta por sí sola puede ver la secuencia completa.

‍

¿Qué debe hacer un empleado cuando una llamada hace referencia a un correo electrónico? Verificar la solicitud a través de un contacto que el empleado encuentre de forma independiente, no mediante el número que aparece en el mensaje, y reportar tanto el correo electrónico como la llamada al mismo canal de seguridad.