El email entra en una nueva era: el enemigo es la confianza
- angiecantillo1
- hace 6 horas
- 4 min de lectura
Un nuevo análisis de la firma de investigación SACR sostiene que el correo electrónico dejó de ser un problema de filtrado de contenido para convertirse en un desafío de identidad, contexto y comportamiento. La inteligencia artificial, los ataques contra plataformas en la nube y el abuso de relaciones de confianza están obligando a las empresas a replantear por completo su estrategia de defensa.
Durante casi tres décadas, la seguridad del correo electrónico se construyó sobre una idea relativamente sencilla: impedir que los mensajes maliciosos llegaran a la bandeja de entrada. Antivirus, filtros antispam, reputación de dominios, inspección de enlaces y análisis de archivos adjuntos conformaron una arquitectura que logró contener millones de amenazas. Sin embargo, el problema cambió de naturaleza. Los atacantes también evolucionaron.
El informe From Perimeter to Proof: The New Architecture of Email Security, elaborado por la investigadora Anna Perrone para SACR, sostiene que la industria enfrenta un punto de inflexión.
En 2026, afirma el documento, la seguridad del correo electrónico ya no debería entenderse como un sistema para filtrar contenido, sino como una plataforma capaz de interpretar relaciones humanas, validar identidades y generar evidencia verificable sobre cada decisión de seguridad.
La afirmación refleja una realidad que comienza a repetirse en organizaciones de todos los tamaños. Los ataques más costosos ya no dependen de virus sofisticados ni de archivos infectados. Aprovechan algo mucho más difícil de detectar: la confianza.
El fraude por correo electrónico empresarial (BEC), el fraude cometido mediante cuentas legítimas de proveedores (VEC), el robo de cuentas (ATO) y el abuso de permisos OAuth apenas presentan señales técnicas evidentes. Los mensajes suelen carecer de malware, utilizan dominios auténticos y respetan los protocolos tradicionales de autenticación, como SPF, DKIM y DMARC. Desde la perspectiva de un filtro convencional, parecen correos completamente legítimos.
Lo que cambia es el contexto.
Una solicitud de transferencia enviada por un supuesto director financiero puede resultar técnicamente impecable, pero ser completamente anómala respecto al comportamiento habitual de esa persona.
Una factura enviada desde la cuenta real de un proveedor puede ocultar un cambio fraudulento en los datos bancarios. Un enlace alojado en Microsoft 365, Google Workspace, Dropbox, Adobe, DocuSign, Atlassian, Confluence, Power BI, Notion, Figma, Vercel o Replit puede conducir a un proceso de phishing sin que el dominio presente ninguna anomalía.
En todos esos casos, la infraestructura es legítima. Lo que ha sido comprometida es la relación de confianza.
El informe identifica cinco transformaciones que están redefiniendo el mercado.
La primera consiste en que la seguridad del correo electrónico se ha vuelto profundamente contextual. Las plataformas modernas ya no pueden limitarse a inspeccionar archivos adjuntos o enlaces. Deben comprender quién envía el mensaje, cuál es la relación histórica entre remitente y destinatario, si la solicitud coincide con procesos habituales del negocio y si el comportamiento observado resulta coherente con el patrón normal de comunicación de la organización.
La segunda transformación es la convergencia entre seguridad del correo electrónico, gestión de identidades y protección de datos. Un correo de phishing ya no representa un incidente aislado. Puede convertirse rápidamente en el robo de credenciales, la toma de control de aplicaciones SaaS, el abuso de permisos OAuth, la exposición de información sensible o el acceso persistente a sistemas corporativos.
En consecuencia, las plataformas de protección necesitan integrarse con soluciones de identidad, herramientas SIEM, sistemas SOAR y mecanismos automatizados de respuesta a incidentes.
El tercer cambio responde a la creciente complejidad del mercado. Durante años predominaron las pasarelas seguras de correo electrónico (SEG), diseñadas para inspeccionar mensajes antes de su entrega mediante redireccionamiento MX. Posteriormente aparecieron las plataformas integradas de seguridad en la nube (ICES), conectadas mediante API con Microsoft 365 y Google Workspace, capaces de observar el comportamiento interno de los buzones y actuar incluso después de que un mensaje hubiera sido entregado.
Lejos de sustituirse entre sí, ambas arquitecturas comenzaron a complementarse.
Las SEG siguen siendo fundamentales para sectores altamente regulados que requieren cifrado, archivado, prevención de pérdida de datos, continuidad del servicio y cumplimiento normativo.
Por su parte, las plataformas ICES ofrecen una capacidad mucho mayor para detectar secuestros de conversaciones, fraude entre proveedores, robo de cuentas y anomalías en los patrones de comunicación.
El informe sostiene que ninguna arquitectura resuelve por sí sola el problema completo. La tendencia apunta hacia modelos híbridos donde múltiples capas de protección colaboran para generar una visión integral del riesgo.
La cuarta transformación proviene directamente de la inteligencia artificial.
Aunque la IA también fortalece las capacidades defensivas, ha reducido drásticamente el costo operativo del phishing. Antes, elaborar campañas altamente personalizadas requería semanas de investigación manual.
Hoy basta con combinar información pública, datos filtrados, perfiles en redes sociales y modelos generativos capaces de producir miles de mensajes con excelente gramática, referencias específicas a cada empresa y un nivel de personalización que dificulta enormemente distinguirlos de una comunicación auténtica.
La consecuencia es evidente. Los sistemas basados únicamente en plantillas estáticas o coincidencias léxicas pierden efectividad frente a mensajes que cambian constantemente de redacción, estructura y estilo.
En lugar de analizar palabras, las plataformas deben interpretar intención. La quinta tendencia identificada por SACR quizá sea la más novedosa: la explicabilidad.
A medida que las organizaciones integran inteligencia artificial en decisiones críticas de seguridad, los responsables corporativos ya no aceptan respuestas del tipo "el algoritmo decidió bloquear este mensaje".
Los directores de seguridad, auditores, reguladores y aseguradoras exigen conocer qué evidencias sustentaron cada decisión, qué indicadores fueron analizados y por qué un sistema clasificó una comunicación como maliciosa.
La transparencia deja de ser una característica deseable para convertirse en un requisito operativo.
El informe también describe cómo evolucionó el propio concepto de superficie de ataque. Durante años el correo electrónico fue considerado el principal punto de entrada para los ciberdelincuentes. Hoy representa apenas el inicio de cadenas de ataque que continúan en plataformas como Slack, Microsoft Teams, WhatsApp, servicios de almacenamiento en la nube, aplicaciones SaaS, navegadores web y sistemas de identidad.
Comentarios