Correo de voz con sorpresa: 26.000 mensajes ocultaban código ejecutable disfrazado de imagen vectoria

Una notificación habitual de llamada perdida se convirtió en una cubierta para código malicioso. Del 1 de junio al 4 de agosto de 2026, especialistas de INKY identificaron una campaña de 26 589 correos de phishing dirigidos a 5 527 organizaciones. El envío fue amplio: un tercio de las empresas recibió solo un correo, pero la mediana fue de dos.

Los correos imitaban notificaciones internas de correo de voz y contenían uno o varios archivos adjuntos con extensión SVG. En el 99,5% de los asuntos los atacantes insertaban parte de la dirección del destinatario antes del símbolo @, creando la apariencia de un mensaje personalizado. La falsificación se evidenciaba por dirigirse de forma extraña a buzones de servicio, donde en lugar del nombre aparecían palabras como Accountspayable.

SVG es una imagen vectorial basada en XML; sin embargo, el formato permite incrustar JavaScript. La técnica SVG Smuggling consiste en ocultar código ejecutable dentro de una imagen aparentemente inofensiva. En esta campaña los remitentes además declaraban el tipo MIME text/plain para los adjuntos, por lo que un filtro que confía en el tipo declarado podría interpretar el archivo como texto normal.

Dentro de la mínima envoltura gráfica había un JavaScript ofuscado. El código ensamblaba la dirección del host remoto a partir de valores numéricos separados, retrasaba la ejecución y, mediante la función fetch, cargaba la etapa siguiente. El propio SVG no contenía una página lista para el robo de datos. Los autores del informe consideran que un formulario de phishing es la continuación más típica de este tipo de ataques, aunque califican esa afirmación como una estimación.

INKY marcó como peligrosos todos los correos que aparecieron en su telemetría. El filtro tenía en cuenta el contenido del adjunto, el señuelo de correo de voz y el remitente interno falsificado. Sin embargo, la comprobación integrada de Microsoft asignó a 75% de los mensajes un nivel SCL 0 o 1, que normalmente significa entrega en la bandeja de entrada, y reconoció como spam solo el 18% de los correos.

A las organizaciones se les recomienda inspeccionar los SVG como contenido activo independientemente del tipo MIME declarado, enviar esos adjuntos a cuarentena o bloquearlos por completo si no son necesarios para la actividad empresarial. La protección también debe detectar mensajes que se presentan como internos pero provienen del exterior sin autenticación. No se debe confiar en archivos SVG inesperados ni en páginas de inicio de sesión que se abran desde un adjunto.