El phishing que venía de un colegio que ya no existía

📧 El phishing que venía de un colegio que ya no existía: El peligro de los dominios caducados en campañas de PhaaS

La reutilización de infraestructura abandonada se ha consolidado como una de las técnicas más efectivas dentro del ecosistema del Phishing como Servicio (PhaaS). Una investigación publicada en Security-Chu analiza la anatomía de una campaña de suplantación de identidad (bajo el gancho de "Meta Business") que utilizaba un dominio perteneciente a una institución educativa de Estados Unidos cerrada en 2015, evidenciando el riesgo de la falta de gobernanza en la baja de dominios corporativos e institucionales.

Aprovechar el historial reputacional (Domain Age y puntuación limpia de spam) de dominios caducados permite a los actores maliciosos eludir los sistemas automáticos de seguridad de correo electrónico (filtros antispam y pasarelas Secure Email Gateway - SEG).

🔍 Rastreo forense y cadena de uso del dominio ⚙️

La investigación técnica del encabezado (headers) y la infraestructura revela la trayectoria del dominio comprometido:

• Historial de propiedad e intercambio de manos: El dominio perteneció al colegio estadounidense desde su creación en 2008 hasta su cierre. En 2016 fue subastado e independientemente adquirido por operadores japoneses, para luego terminar bajo el control de actores de ciberdelincuencia en China.
• Abuso de servicios de entrega en la nube: Para el envío masivo de los correos maliciosos en español, los atacantes integraron el dominio en plataformas modernas de entrega de email como Resend, respaldadas sobre la infraestructura de Amazon Web Services (AWS), garantizando altas tasas de entregabilidad (inbox delivery).
• Superación de filtros de reputación: Al conservar un registro histórico de IPs activo en ViewDNS desde 2011 y no haber sido marcado previamente en listas negras (blacklists), el correo evadió las barreras tradicionales de detección defensiva.

🚨 El impacto operacional y el riesgo institucional 💡

El fenómeno de los dominios huérfanos expone vacíos críticos en la gestión del ciclo de vida digital:

1. Ingeniería social reforzada por reputación heredada: Aunque el contenido del mensaje sea genérico, la firma de autenticación (SPF/DKIM) asociada a un dominio histórico legítimo confiere un halo de confianza que induce al usuario a hacer clic.
2. Negligencia en el decomiso de activos digitales: Cuando entidades públicas, educativas o corporativas cierran sin un protocolo formal para renovar de forma defensiva o retirar sus dominios, estos se convierten en activos codiciados en el mercado negro de dominios (Expired Domain Sniping).
3. Por qué importa: Porque demuestra que las campañas de phishing modernas no solo dependen de la sofisticación del mensaje o la Inteligencia Artificial, sino del reciclaje estratégico de infraestructuras legítimas abandonadas.

🛠️ Guía de mitigación: Gobernanza de dominios y protección antiphishing

Para prevenir el mal uso de identidades corporativas caducadas y mitigar el riesgo de correos de PhaaS, se sugieren las siguientes directrices:

• Implementa un protocolo de retiro defensivo de dominios (Domain Decommissioning): Las instituciones deben mantener registrados sus dominios históricos o de marcas inactivas durante varios años antes de darlos de baja, o transferirlos a entidades reguladoras de control estatal.
• Refuerza las políticas de autenticación de correo (DMARC, SPF, DKIM): En caso de decomiso, configura registros DMARC con política p=reject y registros SPF vacíos (v=spf1 -all) para revocar formalmente cualquier capacidad de envío en nombre del dominio.
• Inspección heurística y contextual en Secure Email Gateways (SEG): Configura los filtros de correo para analizar no solo la reputación del dominio remitente, sino la coherencia técnica entre el dominio de origen, la IP de envío y el idioma/contenido del mensaje.
• Monitoreo continuo de dominios similares e históricos: Utiliza herramientas de ciberinteligencia (Threat Intelligence) para identificar la caducidad y compra de dominios vinculados a la organización por parte de terceros no autorizados.

🌟 Reflexión final

El caso del phishing procedente de un colegio inexistente pone de manifiesto que en el espacio digital la identidad de una organización puede sobrevivir a su propia existencia física. Garantizar una gestión responsable del ciclo de vida de los dominios no es solo una buena práctica administrativa, sino un deber ético de ciberseguridad para evitar que la reputación construida en el pasado sea instrumentalizada para engañar a los usuarios en el presente.

Fuente: El phishing que venía de un colegio que ya no existía.

URL: https://www.security-chu.com/2026/10/el-phishing-que-venia-de-un-colegio-que-ya-no-existia.html