Phishing con archivos PDF: cómo los atacantes se aprovechan de los archivos adjuntos de los correos electrónicos

Por qué los archivos PDF adjuntos son un vector de phishing

Los archivos PDF llevan una confianza implícita que otros tipos de archivo no tienen. Se asocian con documentos oficiales y definitivos. Un PDF de un proveedor, un banco o un departamento interno no levanta sospechas: parece simplemente trabajo.

Los atacantes se aprovechan deliberadamente de esa confianza. Al incrustar contenido malicioso dentro de un PDF, se valen del hecho de que a la mayoría de los filtros les resulta mucho más difícil analizar el contenido de los archivos adjuntos que el del cuerpo del correo.

Técnicas de phishing con archivos PDF

Los ataques de phishing mediante archivos PDF utilizan varias técnicas para distribuir cargas maliciosas:

• Enlaces incrustados: Los atacantes incluyen hipervínculos dentro de los PDF que redirigen a los destinatarios a páginas de robo de credenciales o activan la descarga de malware. A diferencia de los enlaces en el cuerpo del correo, por lo general no son visibles para los filtros que buscan URL sospechosas.
• Superposiciones interactivas: Los atacantes colocan enlaces sobre contenido de aspecto legítimo dentro del PDF, como botones o imágenes. El destinatario cree que está interactuando con el documento con normalidad. El clic lo redirige a un sitio de phishing o activa la descarga de malware.
• Códigos QR: Los atacantes insertan códigos QR que, al escanearse, redirigen a las víctimas a sitios de phishing. Dado que la URL de destino está dentro del código QR, las herramientas de seguridad del correo que buscan enlaces maliciosos en el texto no la detectan.

Por qué el phishing mediante archivos PDF elude los filtros habituales

La mayoría de las herramientas de seguridad del correo analizan el cuerpo del mensaje en busca de contenido malicioso – enlaces sospechosos, frases de phishing conocidas y palabras clave marcadas. Los archivos PDF adjuntos plantean un problema distinto. La carga maliciosa se encuentra dentro del archivo, y analizar el contenido de un archivo adjunto es considerablemente más difícil que analizar el cuerpo del correo.

La inspección exhaustiva del contenido de los PDF –incluidos los enlaces incrustados y los códigos QR– requiere herramientas más sofisticadas que no todas las empresas han implementado. Los atacantes son conscientes de esta laguna y diseñan sus campañas aprovechándola.

La confianza en el remitente agrava el problema. Un correo de phishing que parece proceder de un proveedor conocido o de un equipo financiero interno tiene muchas más probabilidades de ser abierto que uno procedente de una dirección desconocida. Cuando el remitente parece legítimo, los destinatarios suelen abrir los archivos adjuntos sin sospechar nada.

Esa combinación – un correo de aspecto impecable y un remitente de confianza – es lo que hace que esta técnica de ataque sea eficaz.

Qué deben hacer las empresas

• Aplica una política de p=reject. El modo de supervisión (p=none) ofrece visibilidad, no protección. Lleva los dominios a la aplicación total, no solo el dominio principal.
• Asegúrate de que SPF y DKIM estén correctamente configurados y alineados. Aplicación de DMARC depende de la alineación de SPF y DKIM. Los registros mal configurados pueden impedir que la política funcione, independientemente del valor establecido en p=.
• Supervisa los dominios similares. Los atacantes que tienen como objetivo a tu organización suelen registrar dominios muy parecidos al tuyo: sustituyendo letras, añadiendo guiones o utilizando dominios de nivel superior diferentes. La supervisión continua de los dominios similares permite detectar campañas con antelación, antes de que lleguen a las bandejas de entrada.
• Implementa un filtro de red que inspeccione el contenido de los archivos adjuntos. El filtrado básico de contenido no es suficiente. Utiliza un filtro que realice una inspección exhaustiva de los archivos PDF adjuntos.
• Imparte formación de concienciación sobre phishing que incluya las amenazas relacionadas con los archivos adjuntos. La mayoría de los programas de concienciación se centran en los enlaces sospechosos del cuerpo del correo. Asegúrate de que la formación abarque los hipervínculos y los códigos QR en los archivos adjuntos.

La realidad operativa

Las grandes empresas que gestionan infraestructuras de envío en múltiples departamentos, regiones y plataformas SaaS se enfrentan a un problema cada vez mayor. Cada herramienta que envía correos electrónicos en su nombre – sistemas de marketing, CRM, software de facturación – representa una posible brecha de autenticación. Cuando SPF y DKIM no están correctamente configurados para cada remitente autorizado, esas brechas crean oportunidades de suplantación que los atacantes pueden aprovechar y, de hecho, aprovechan.

Los equipos de seguridad y de TI no tienen la capacidad de auditar manualmente a todos los remitentes. Aparecen remitentes no autorizados. Se acumulan las desviaciones de autenticación. Sin una visibilidad continua, los problemas suelen pasar desapercibidos hasta que se convierten en problemas reales.

El phishing mediante archivos PDF es una amenaza real y cada vez mayor. DMARC es un control fundamental que cierra un punto de entrada crítico del que dependen los atacantes. Combinarlo con Lookalike Domain Defense, Breach Detection, y el filtrado a nivel de red mejora tu postura de seguridad.

Las empresas que no han implementado DMARC en modo de aplicación siguen siendo vulnerables a la suplantación de dominio, lo que da a los atacantes la posibilidad de hacer que los correos de phishing, y los PDF que contienen, parezcan legítimos. Descubre cómo Sendmarc te ayuda a cerrar esa brecha.