Ciberseguridad

Los investigadores de seguridad llevan meses observando un aumento de ataques de phishing basados en imágenes, especialmente en plataformas como Gmail y Outlook. Los correos llegan con apariencia legítima: una factura en formato PNG, un comprobante de entrega o un mensaje corporativo con el logo de la empresa.

Sin embargo, en su interior se esconde algo más. Formatos como SVG (Scalable Vector Graphics) permiten incrustar código JavaScript dentro de la propia imagen. Esto significa que un gráfico puede comportarse como una página web en miniatura, capaz de redirigir al usuario a un portal de inicio de sesión falso o descargar archivos maliciosos sin levantar sospechas.

En palabras simples: ya no hace falta hacer clic en un enlace para caer en una trampa, basta con interactuar con una imagen aparentemente inofensiva.

Un punto ciego en la seguridad del correo

La razón de este auge está en cómo los sistemas de seguridad procesan los archivos adjuntos. La mayoría de las soluciones antiphishing se centran en analizar texto, enlaces y dominios conocidos, pero no “leen” el contenido de las imágenes.

Esto deja una brecha que los atacantes están aprovechando. Los servidores corporativos suelen permitir el envío de archivos SVG o PNG por defecto, ya que son comunes en el entorno empresarial. Pero esa configuración, combinada con la confianza visual que inspiran las imágenes, se ha convertido en uno de los puntos más débiles de muchas redes.

Un informe reciente de Hoxhunt reveló que en marzo de 2025 el 15 % de los archivos adjuntos de phishing estaban basados en imágenes SVG, una cifra que, aunque descendió a mediados de año, confirmó una tendencia clara. Datos de Trustwave apuntan en la misma dirección: los ataques basados en imágenes se multiplicaron por 18 entre abril de 2024 y principios de 2025.

Objetivos más precisos, engaños más creíbles

El nuevo phishing ya no busca cantidad, sino calidad. Las campañas masivas son cosa del pasado. Ahora, los atacantes lanzan campañas dirigidas a perfiles concretos dentro de las empresas:

• Los equipos de finanzas de las empresas reciben facturas falsas.

• Los de recursos humanos, formularios de selección.

• Los de logística, supuestos avisos de envío.

Cada mensaje se cuida al detalle: tipografía, colores corporativos, logotipos y formato. En apariencia, todo encaja. Y con las herramientas de diseño impulsadas por inteligencia artificial, las falsificaciones son cada vez más realistas y rápidas de producir.

El resultado: un entorno donde la vista ya no es un criterio fiable. Lo que parece un documento corporativo puede ser un ataque perfectamente diseñado para robar credenciales o instalar un troyano silencioso.

Cómo están respondiendo las defensas

Las compañías de seguridad están desarrollando nuevas herramientas capaces de analizar el código interno de las imágenes. Estos sistemas escanean los metadatos, detectan fragmentos de JavaScript ocultos y observan si el archivo intenta establecer conexiones externas al abrirse.

El problema es que este tipo de análisis es pesado en recursos y aún poco accesible para pymes o administraciones pequeñas. Por eso, muchas organizaciones siguen apostando por una solución más sencilla, aunque menos tecnológica: formación en concienciación.

Recordar a los empleados que no abran archivos adjuntos inesperados, verificar siempre la fuente del mensaje o contactar directamente con el remitente si hay dudas sigue siendo, a día de hoy, la primera línea de defensa.

Un punto ciego en expansión

El phishing funciona porque se apoya en la confianza. Cuando los usuarios aprenden a desconfiar de los enlaces, los atacantes se mueven a terrenos más “seguros”: las imágenes, los vídeos o incluso los archivos interactivos.

Esa transición visual es lo que más preocupa a los analistas. El siguiente paso podría ser el uso de clips cortos o imágenes generadas por IA que imiten portales legítimos con un realismo imposible de distinguir a simple vista.

El correo electrónico ya no es solo texto y enlaces: es un lienzo visual donde el diseño se confunde con el engaño.