Vulnerabilidades de «zero-click»: qué son y cómo funcionan

Los exploits «zero-click» ejecutan código remoto sin necesidad de que el usuario realice ninguna acción. No hay que hacer clic en ningún enlace ni descargar ningún archivo adjunto. El ataque comienza en el momento en que el software receptor procesa los datos entrantes. Para los ciberdelincuentes, el correo electrónico es una de las formas más fiables de enviar esos datos.

La formación tradicional en concienciación sobre seguridad insta a los empleados a mantenerse alerta: verificar el remitente, no abrir archivos adjuntos inesperados y no hacer clic en enlaces sospechosos. Ese modelo parte de la base de que hay una decisión humana entre el atacante y la ejecución. Los exploits «zero-click» no la requieren.

Para los responsables de seguridad que evalúan el nivel de exposición de su organización, esa diferencia es significativa.

Cómo funcionan los exploits sin clic

Los atacantes crean una entrada maliciosa diseñada para aprovechar una vulnerabilidad en el software que procesa automáticamente los datos entrantes. El ataque se produce en el momento en que la aplicación analiza el contenido. No se requiere ninguna acción por parte del usuario.

Esto difiere fundamentalmente del phishing. El phishing se basa en la ingeniería social para convencer al usuario de que realice una acción. Los exploits «zero-click» se aprovechan de las vulnerabilidades del software y no requieren ninguna intervención humana. Eso es lo que los hace especialmente difíciles de contrarrestar.

El correo electrónico es uno de los canales de entrega «zero-click» más fiables porque los clientes de correo procesan el contenido entrante por diseño. Encabezados, el cuerpo del mensaje, los archivos adjuntos y los enlaces se procesan generalmente de forma automática. Ese comportamiento de análisis es esencial para que el correo electrónico funcione, y es el mismo comportamiento que aprovechan los exploits «zero-click».

Las consecuencias son graves. Una vez que un atacante consigue acceder al sistema, puede instalar malware, sustraer datos o desplazarse lateralmente por la red antes de que el departamento de TI se dé cuenta de lo que ha ocurrido. En entornos grandes y distribuidos, el margen para la detección es reducido y el daño potencial es considerable.

Vulnerabilidades explotadas en la vida real sin necesidad de hacer clic

No se trata de riesgos teóricos. Tres vulnerabilidades documentadas entre 2024 y 2025 demuestran con qué frecuencia se ha utilizado la bandeja de entrada del correo electrónico como mecanismo de entrega y lo poco que se requería la intervención del usuario.

CVE-2024-30103: Microsoft Outlook

En abril de 2024, los investigadores de Morphisec descubrieron una vulnerabilidad crítica en Microsoft Outlook que permitía a los atacantes ejecutar código en el momento en que se abría un correo electrónico malicioso. La vulnerabilidad utilizaba formularios de Outlook inyectados para lograr la ejecución remota de código. La función de apertura automática de correos electrónicos de Outlook eliminaba por completo la necesidad de interacción.

Morphisec advirtió de que, dada la sencillez del exploit, era probable que los atacantes lo utilizaran para obtener acceso inicial. Los atacantes que aprovecharan la vulnerabilidad podrían ejecutar código arbitrario con los mismos privilegios que el usuario, lo que podría dar lugar a un compromiso total del sistema. Microsoft corrigió la vulnerabilidad en su actualización del «Patch Tuesday» de 2024. El CVE tiene una puntuación CVSS de 8,8.

CVE-2025-21298: OLE de Windows

Revelada en enero de 2025, esta vulnerabilidad en la tecnología Object Linking and Embedding (OLE) de Windows permitía a los atacantes ejecutar código remoto mediante un documento RTF especialmente manipulado. El fallo se encontraba en ole32.dll, donde se producía un error de doble liberación de memoria al procesar objetos OLE incrustados.

Bastaba con abrir o previsualizar el correo electrónico malicioso en Microsoft Outlook para que se desencadenara el ataque. No se requería ninguna otra acción por parte del usuario. Se clasifica como crítica, con una puntuación CVSS de 9,8.

CVE-2025-32711 (EchoLeak): Microsoft 365 Copilot

En junio de 2025, Aim Labs, la división de investigación de Aim Security, dio a conocer EchoLeak, el primer exploit «zero-click» documentado contra un agente de IA. La vulnerabilidad afectaba a Microsoft 365 Copilot y no requería ninguna interacción por parte del usuario más allá de recibir un correo electrónico.

Un atacante solo tenía que enviar un correo electrónico manipulado a un objetivo. Microsoft 365 Copilot procesaba las instrucciones ocultas de inyección de prompts incrustadas en el correo electrónico y filtraba datos confidenciales (incluidos registros de chat, documentos y correos electrónicos) sin que el destinatario realizara ninguna acción.

El CVE tiene una puntuación CVSS de 9,3. Microsoft solucionó el problema en junio de 2025.

Las tres vulnerabilidades comparten un punto en común: la bandeja de entrada de correo electrónico fue el mecanismo de entrega, y el ataque se ejecutó antes de que el usuario tomara ninguna decisión. En todos los casos, la vulnerabilidad existía en un software que se comportaba exactamente según lo previsto.

Prevención de vulnerabilidades de «zero-click»

Los exploits «zero-click» no tienen una solución única. Requieren un conjunto de medidas de control que aborden diferentes aspectos de la superficie de ataque. Las medidas que se indican a continuación no eliminan el riesgo por completo, pero, en conjunto, reducen la exposición de forma significativa.

Actualiza el firmware y el software de forma continua. La mayoría de los exploits «zero-click» documentados se aprovechan de vulnerabilidades conocidas para las que ya existen parches. El retraso en la aplicación de parches es donde la mayoría de las empresas permanecen expuestas. Aplica los parches en cuanto se publiquen, dando prioridad a los clientes de correo electrónico, los componentes del sistema operativo y el software que procesa datos externos.

Aplica controles a nivel de red. Los controles de red pueden bloquear el tráfico malicioso antes de que llegue al software vulnerable. La segmentación de la red limita hasta dónde puede llegar un atacante tras la ejecución, restringiendo el movimiento lateral y reduciendo el daño que puede causar una vez dentro.

Restringe las aplicaciones y servicios de alto riesgo. Los servicios que procesan automáticamente contenido externo son la vía de ejecución en la que se basan los exploits «zero-click». Desactivarlos o restringirlos reduce el número de posibles puntos de entrada.

Refuerza la seguridad de los dispositivos y endurece los controles de acceso. El refuerzo de la seguridad limita lo que un componente comprometido puede acceder y reduce el daño que un atacante puede causar una vez dentro. Las medidas incluyen desactivar servicios innecesarios, restringir la ejecución en segundo plano y endurecer permisos de las aplicaciones.

El papel de la autenticación del correo electrónico

Los exploits «zero-click» son un problema con múltiples facetas que requiere una respuesta integral. La aplicación de parches, los controles de red, el refuerzo de la seguridad de los dispositivos y los controles de acceso abordan, cada uno de ellos, una parte diferente de la superficie de ataque.

La autenticación de correo electrónico aborda la propia capa de entrega. Una política DMARC de p=reject bloquea que los correos electrónicos no autenticados y suplantados lleguen a las bandejas de entrada. No corrige las vulnerabilidades del software ni evita los exploits enviados desde cuentas legítimas pero comprometidas. Lo que sí hace es eliminar un vector de entrega principal para las cargas útiles «zero-click» transmitidas por correo electrónico que se originan en fuentes suplantadas o no autorizadas.

Los reportes DMARC agregados dan a los equipos de seguridad visibilidad sobre todas las fuentes que envían correos electrónicos desde su dominio, incluidos los remitentes no autorizados de los que no tienen constancia.

Sendmarc ayuda a los equipos a:

• Reduce el riesgo y evita los envíos no autorizados. Nuestra Plataforma de gestión de DMARC ayuda a las empresas a aplicar p=reject en todos los dominios de envío y ofrece reportes agregados que dan a los equipos una visión unificada de las configuraciones de DNS, SPF, DKIM y DMARC.
• Proteja la reputación de su marca frente a la suplantación de identidad y la usurpación. Lookalike Domain Defense identifica los dominios diseñados para suplantar a su organización antes de que se utilicen en campañas dirigidas a empleados, clientes o socios.
• Detecta credenciales de empleados comprometidas. Breach Detection revela credenciales expuestas antes de que los atacantes las aprovechen. Las cuentas comprometidas pueden enviar correos electrónicos que superan las verificaciones de autenticación, y detectar una vulneración a tiempo ayuda a prevenir su explotación.
• Mantén mejoras continuas en materia de seguridad. Sendmarc ofrece optimización y supervisión continuas. Los equipos de seguridad obtienen visibilidad constante de su estado de autenticación sin la carga de trabajo manual que eso supone.

Que lleguen correos electrónicos no autenticados a las bandejas de entrada supone un riesgo innecesario. Compruebe qué se está enviando actualmente desde su dominio y qué no debería hacerlo.