Proofpoint detectó una campaña de aproximadamente 275,000 correos electrónicos maliciosos dirigidos a México entre el 19 y el 24 de julio de 2026, como parte de un incremento en la actividad de grupos de ciberdelincuentes que buscan robar credenciales, distribuir malware y acceder a los equipos de sus víctimas.
La campaña fue atribuida a TA2725, uno de los grupos monitoreados por la compañía. Los atacantes utilizaron comunicaciones empresariales falsas, incluidas notificaciones de DocuSign, currículums, facturas fiscales, citatorios judiciales y quejas de consumidores para convencer a los destinatarios de abrir archivos o ingresar a enlaces fraudulentos.
Proofpoint también identificó un cambio en la actividad de TA4922, grupo que amplió sus operaciones para atacar México por primera vez.
A diferencia de otros actores que dependen de una sola familia de malware, TA4922 utiliza diferentes herramientas y técnicas orientadas al robo de credenciales, fraude y distribución de código malicioso.
El grupo suele disfrazar sus ataques como comunicaciones relacionadas con asuntos fiscales y aprovechar servicios legítimos en la nube para alojar archivos maliciosos, dificultando que usuarios y herramientas de seguridad distingan estas campañas de actividades empresariales reales.
Los ejemplos mostrados en la investigación incluyen correos que simulan comunicaciones oficiales relacionadas con pagos de impuestos y obligaciones fiscales, utilizando elementos gráficos asociados con autoridades mexicanas.
“Los ciberdelincuentes continúan adaptando sus tácticas para parecer cada vez más legítimos, haciendo que los correos electrónicos maliciosos se asemejen a las comunicaciones empresariales habituales que los empleados reciben todos los días”, señaló Luis Isselin, Country Manager de Proofpoint en México.
Los investigadores encontraron que TA2725 limita la entrega de sus cargas maliciosas a los países objetivo, mientras que TA4922 utiliza plataformas confiables en la nube y servicios de intercambio de archivos para distribuir malware.
Una vez instalado, el código malicioso puede utilizarse para robar información, capturar credenciales, mantener acceso remoto a sistemas comprometidos, realizar fraude financiero o incluso vender el acceso obtenido a otros grupos delictivos.
Proofpoint recomienda desconfiar de correos inesperados relacionados con facturas, impuestos, avisos legales, solicitudes de empleo o documentos compartidos, así como verificar al remitente antes de abrir archivos o enlaces.
También aconseja evitar ingresar credenciales después de acceder desde correos no solicitados, habilitar autenticación multifactor y mantener actualizados los sistemas operativos y las soluciones de seguridad.
