Panorama de amenazas por email Q1 2026: claves

Introducción

El análisis de Microsoft sobre amenazas por email en el Q1 2026 destaca la rapidez con la que están cambiando las tácticas de phishing. Para administradores de IT y seguridad, el informe ofrece una visión útil de dónde están concentrando sus esfuerzos los atacantes y qué defensas deberían priorizarse en entornos de Microsoft 365 y Defender.

Novedades en el Q1 2026

Microsoft Threat Intelligence detectó aproximadamente 8,3 mil millones de amenazas de phishing por email entre enero y marzo de 2026. Aunque el volumen mensual general descendió ligeramente, varias técnicas de ataque se volvieron más sofisticadas y más efectivas.

Tendencias principales

• El phishing con códigos QR aumentó de 7,6 millones de ataques en enero a 18,7 millones en marzo, un 146% de incremento.
• El phishing basado en enlaces dominó, representando el 78% de las amenazas por email durante el trimestre.
• Las cargas maliciosas representaron el 19% de los ataques en enero antes de bajar al 13% en febrero y marzo, lo que sugiere que los atacantes favorecieron cada vez más las páginas de phishing alojadas frente a la entrega basada en archivos.
• El business email compromise (BEC) siguió siendo un problema importante, con 10,7 millones de ataques observados en el Q1.
• El phishing con CAPTCHA siguió evolucionando, ya que los atacantes utilizaron pasos de verificación falsos para ralentizar el análisis automatizado y aumentar la confianza del usuario.

Impacto de la interrupción de Tycoon2FA

Microsoft también destacó el efecto de la interrupción en marzo de 2026 de la plataforma Tycoon2FA phishing-as-a-service. Tras una acción coordinada con Europol y otros socios, el volumen de emails vinculado a Tycoon2FA cayó un 15% durante el resto de marzo, y el acceso a páginas de phishing activas se redujo de forma significativa.

Aunque la plataforma se adaptó cambiando de proveedores de hosting y patrones de registro de dominios, Microsoft afirma que la recuperación parece parcial en lugar de un retorno completo a sus capacidades anteriores.

Por qué importa para los administradores

Estas tendencias refuerzan que el phishing sigue centrado en el robo de credenciales, incluso cuando cambian los métodos de entrega. El phishing con códigos QR es especialmente preocupante porque puede llevar a los usuarios a dispositivos móviles no administrados, eludiendo algunas protecciones tradicionales centradas en equipos de escritorio.

Para los administradores de Microsoft 365 y Defender, el informe también recuerda que las operaciones de interrupción son importantes, pero no eliminan la amenaza. Los atacantes son resilientes y a menudo cambian su infraestructura rápidamente tras los desmantelamientos.

Próximos pasos recomendados

• Revisar las protecciones frente al phishing con códigos QR en emails, archivos adjuntos e imágenes incrustadas.
• Reforzar las defensas contra el phishing AiTM con MFA resistente al phishing siempre que sea posible.
• Supervisar patrones de BEC, especialmente la suplantación de bajo esfuerzo y los mensajes genéricos de contacto.
• Utilizar las detecciones y herramientas de hunting de Microsoft Defender para investigar phishing basado en enlaces y actividad sospechosa de cargas maliciosas.
• Formar a los usuarios para que actúen con cautela ante códigos QR, pantallas CAPTCHA y solicitudes de autenticación inesperadas.

Conclusión

Los datos de Microsoft del Q1 2026 muestran que los atacantes siguen girando hacia un phishing de credenciales escalable y basado en enlaces, mientras experimentan con códigos QR, evasión mediante CAPTCHA y métodos más recientes como el phishing con código de dispositivo. Los equipos de seguridad deberían tomar estos hallazgos como una señal para reforzar la detección, fortalecer las protecciones de identidad y actualizar los programas de concienciación de usuarios.