Lo que hicieron realmente los que llamaban
El propio equipo de inteligencia de amenazas de Google identificó una campaña de vishing operada por cuatro grupos relacionados que rastrea bajo los nombres Falcon, Helix, Pink y Redact, que según la valoración de Google podrían actuar bajo un mismo colectivo denominado UNC6671. TechCrunch informó de los hallazgos el 6 de agosto de 2026.
El método era directo y poco sofisticado en su base: los atacantes llamaban a los empleados a sus teléfonos móviles personales, no a la línea de trabajo, y se hacían pasar por un compañero o por un miembro del servicio interno de soporte de TI. A las víctimas se las conducía a un sitio web construido para imitar de forma muy fiel el portal de acceso real de su empresa, donde introducían su usuario, su contraseña y el código de su aplicación de MFA.
Ese último paso es el que importa. El sitio falso transmitía las credenciales y el código MFA al atacante en tiempo real, de modo que este podía acceder al sistema real dentro de la misma ventana en la que el código seguía siendo válido, una técnica conocida como relevo de MFA en tiempo real o phishing intermediario. La campaña operó durante los primeros meses de 2026. Las carteras vinculadas a los grupos recibieron en ese periodo unos 10 millones de dólares en bitcoin, y tras cada compromiso solía seguir una exigencia de extorsión de entre 750.000 y 3 millones de dólares.
Por qué capital privado y no un minorista con base de datos
Las organizaciones nombradas en la información son Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's y TPG. No es una muestra aleatoria de grandes empresas, sino una lista de importantes firmas financieras y de capital privado estadounidenses, elegidas con una lógica que merece decirse con claridad.
La mayoría de la cobertura sobre brechas de seguridad asume que los atacantes buscan volumen: una base de datos con millones de registros de clientes para vender o extorsionar. Las firmas de capital privado y gestión de activos poseen comparativamente poco de eso. Lo que poseen en su lugar es autoridad concentrada: un número reducido de empleados, a menudo un puñado por firma, capaces de aprobar una transferencia, refrendar una transacción o mover una suma relevante sin una segunda firma. Esa concentración era el verdadero objetivo de los atacantes.
Esta es una lógica de selección de objetivos distinta de la que suele asumir la cobertura de seguridad, y explica por qué una llamada telefónica, y no un correo de phishing enviado a miles de bandejas de entrada, era la herramienta adecuada. No hace falta comprometer una base de datos cuando comprometer a tres o cuatro personas concretas produce el mismo resultado más rápido y con menos ruido.
Por qué la llamada supera a toda su infraestructura de seguridad
La autenticación multifactor, el inicio de sesión único, la detección en el puesto de trabajo y el filtrado de correo están construidos para interponerse entre un archivo malicioso, un enlace o un intento de acceso y sus sistemas. Ninguno se interpone entre una persona y una llamada telefónica. Una llamada que se hace pasar por un compañero o por soporte de TI no toca en absoluto esa infraestructura: va directa al único componente que ninguna actualización de software puede parchear, una persona bajo una presión leve que intenta ser útil.
Esto explica también por qué el código MFA robado en tiempo real pesó más que la contraseña. Una contraseña robada sola suele ser inútil frente a un MFA bien configurado. Contraseña y código MFA en vivo transmitidos al atacante dentro de la misma sesión anulan por completo esa protección, porque desde el punto de vista del sistema el acceso parece exactamente el del empleado real entrando con su propio segundo factor, solo con segundos de diferencia.
La solución es un protocolo, no un producto
No existe un producto que se pueda comprar para cerrar esta brecha, porque la brecha no es técnica. Cualquier organización en la que un número reducido de personas pueda aprobar grandes transacciones financieras, lo que describe a la mayoría de las funciones de capital privado, gestión de activos y tesorería, y también a muchas empresas medianas corrientes, debería establecer y ensayar de verdad un protocolo de verificación fuera de banda para cualquier llamada inesperada de TI o de un compañero que pida una credencial, un código MFA o una acción urgente.
El protocolo en sí es sencillo: colgar y devolver la llamada a un número interno conocido que uno mismo haya buscado, no a uno facilitado durante la llamada. No volver a introducir nunca una contraseña o un código MFA en un enlace recibido durante una llamada, por convincente que parezca el sitio. Tratar la urgencia misma como la señal de alarma: el soporte de TI genuino rara vez necesita una credencial leída en voz alta en los dos minutos siguientes.
La lección se extiende mucho más allá del sector financiero. Cualquier empresa de la UE o el Reino Unido con un número reducido de personas de alta autoridad, aprobadores financieros, administradores de TI, directivos con capacidad de ordenar transferencias, encaja en el mismo perfil de objetivo del que partían los atacantes. En la UE, las firmas ya sujetas a DORA o a las obligaciones de notificación de incidentes de NIS2 deberían tratar una compromisión de vishing exitosa exactamente como el tipo de incidente que esos marcos esperan que detecten y notifiquen.
Leer a continuación: La IA eligió el exploit: CISA da 2 días | Rote cada credencial de CI usada el 4 de agosto
