🛡 THREAT INTELLIGENCE 🛡

Correos de phishing sobre Anthropic eluden las principales herramientas de seguridad.

⏰30 de octubre de 2026🛡CyberObservatorio

Idioma

◢ THREAT INTELLIGENCE ◣

Correos de phishing sobre Anthropic eluden las principales herramientas de seguridad.

⟫ 29/10/2026 ⟫ Nate Nelson

Fuente: Dark Reading

**Phishing de baja calidad logra eludir la seguridad por correo electrónico de marcas reconocidas: el caso de la suplantación de identidad de Anthropic**

En el complejo panorama de la ciberseguridad actual, los ataques de phishing continúan evolucionando, poniendo a prueba la efectividad de las soluciones de seguridad de correo electrónico que emplean las empresas. Un reciente ejemplo de ello es una campaña de suplantación de identidad que utiliza el nombre de la empresa Anthropic, especializada en inteligencia artificial (IA). Esta situación pone de relieve no solo la vulnerabilidad de las tecnologías de defensa más avanzadas, sino también la creciente sofisticación de las tácticas de los atacantes, que son capaces de eludir incluso las medidas de seguridad más robustas.

Desde septiembre de este año, un actor de amenazas no identificado ha estado enviando correos electrónicos fraudulentos en un intento por robar las credenciales de cuentas de Google y Microsoft. Estos correos se presentan como invitaciones para acceder anticipadamente a una supuesta herramienta de IA de redes sociales de Anthropic, lo que refleja un enfoque astuto para atraer a los usuarios a caer en la trampa. La campaña, aunque poco sofisticada en comparación con otros ataques, ha demostrado ser sorprendentemente efectiva.

Los atacantes han recurrido a tácticas rudimentarias para evitar que sus correos sean dirigidos a las carpetas de spam. Entre ellas, se encuentra el acortamiento de las URLs maliciosas, la inclusión de CAPTCHA en el flujo de phishing y el uso de herramientas legítimas de videoconferencia. Lo que sorprende de esta campaña es que, a pesar de su simplicidad, parece estar logrando sus objetivos.

Los correos electrónicos transmiten un sentido de exclusividad al ofrecer "invitaciones VIP" para una "vista previa privada" de la herramienta de IA, enfatizando que este acceso anticipado es solo por invitación. Sin embargo, ya desde el comienzo hay señales que deberían levantar sospechas. Por ejemplo, los títulos de los correos contienen errores gramaticales, el nombre del remitente presenta un error tipográfico (“Austin de nthropic”) y el dominio utilizado pertenece a GoTo Webinar, no a Anthropic. Visualmente, los mensajes son básicos y carecen de elementos gráficos que intenten imitar la marca de Anthropic.

Si un usuario accede al enlace de registro falso, que no dirige a un dominio asociado con Anthropic, terminará en una página de reunión falsa de Zoom. Si el individuo no se percata de que una invitación de GoTo Webinar lo ha llevado a una llamada de Zoom, podría optar por iniciar sesión en Zoom utilizando la opción de inicio de sesión único (SSO) de Google o Microsoft. En el caso de elegir Google, no se le pedirá una contraseña, lo que convierte en inútil una parte considerable de esta campaña maliciosa.

Las inconsistencias en la suplantación de marcas y los flujos de robo de datos defectuosos son comunes en las campañas generadas por IA, aunque Cofense no pudo confirmar si se utilizó inteligencia artificial en este caso. Sin embargo, el investigador Jacob Malimban de Cofense señala que, debido a las múltiples variaciones de las páginas de Zoom, es probable que se haya empleado IA generativa. Además, desde el 28 de octubre, el actor de amenazas comenzó a suplantar el sitio web de Anthropic en lugar de Zoom, lo que sugiere un uso previo de IA en la creación de estas páginas.

La torpeza general de la campaña genera la pregunta de cómo estos correos electrónicos lograron eludir los filtros de spam en primer lugar. Cofense descubrió que estos correos estaban pasando a través de productos de seguridad de correo electrónico líderes en el mercado, como Proofpoint Secure Email Gateway (SEG) y Microsoft Defender para Office 365. La explicación de esta anomalía radica en varios detalles. En primer lugar, los correos son enviados desde una dirección legítima, customercare@gotowebinar.com, que cualquier usuario de GoTo Webinar podría utilizar para distribuir información sobre seminarios. Esta dirección compartida confiere al remitente un aire de legitimidad que evita un escrutinio más riguroso.

En segundo lugar, el enlace de registro malicioso fue acortado a través de un servicio como Zapier, lo que impide que los productos de seguridad puedan identificar posibles banderas rojas en el dominio. Por último, el flujo de phishing incorpora dos CAPTCHA separados. El primero, un CAPTCHA de Cloudflare, se presenta antes de la página falsa de Zoom o Anthropic y tiene como objetivo detener a los escáneres automatizados. El segundo CAPTCHA, situado entre la página falsa de Zoom o Anthropic y la página falsa de SSO, está diseñado para bloquear servicios de VPN, navegadores Tor y otras herramientas que podrían utilizar los defensores. Malimban explica que algunos kits de phishing han utilizado este tipo específico de CAPTCHA anteriormente y que parece haber sido desarrollado activamente por actores de amenazas para detectar herramientas tanto automatizadas como humanas.

Aunque ninguna de estas tácticas es particularmente innovadora, en conjunto parecen ser efectivas. Shane Barney, director de seguridad de información de Keeper Security, señala que no es sorprendente que los actores de amenazas estén logrando eludir las defensas de correo electrónico, incluso con tácticas estándar.

"La realidad de la ciberseguridad moderna es que las puertas de enlace de correo electrónico seguro (SEG) siempre tendrán puntos ciegos", afirma Barney. Añade que las organizaciones deben asumir que los correos de phishing eventualmente llegarán a las bandejas de entrada de los empleados, por lo que los equipos de seguridad deben construir defensas centradas en la identidad.

"Si un empleado es engañado por una trampa falsa de Anthropic y sus credenciales de Microsoft o Google se ven comprometidas, las estrictas políticas de acceso mínimo, la autenticación multifactor resistente al phishing y la gestión de acceso privilegiado son lo que impide que el atacante se mueva lateralmente, eleve privilegios y acceda a datos sensibles", aconseja. Finalmente, menciona que utilizar un gestor de contraseñas centralizado que valide las URL de dominio antes de completar automáticamente las credenciales proporciona una última línea de defensa crítica contra los dominios similares utilizados en este ataque, neutralizando la amenaza en el punto de interacción.

En el marco del Mes de Concienciación sobre Ciberseguridad 2026, que enfatiza la importancia de evitar y reportar estafas de phishing, Malimban agrega: "Esperamos que los empleados sean capacitados utilizando la Gestión de Comportamiento Seguro para reconocer y reportar el phishing. Para defenderse contra accesos sospechosos a cuentas, las organizaciones deben contar con un monitoreo robusto de cuentas, como con la herramienta gratuita de CISA (Logging Made Easy). En resumen, tener múltiples controles y una defensa en profundidad es necesario para protegerse contra ataques modernos".

◢ THREAT INTELLIGENCE ◣

Anthropic-Themed Phishing Emails Bypass Top Security Tools

⟫ 29/10/2026 ⟫ Nate Nelson

Source: Dark Reading

Attackers are managing to sneak low-grade phishing emails through brand name email security products, as evidenced by a recentAnthropic impersonationcampaign. The campaign, described in a newblog postby Cofense, won't impress anybody. Since September, an unidentified threat actor has been sending out emails around the world, pretending to grant early access to Anthropic's cutting-edge artificial intelligence (AI) technology. Their goal: stealing Google and Microsoft account credentials. To avoid being relegated to spam folders, the attacker has been using novice tactics: shortening their malicious URLs, adding CAPTCHAs to their phishing flow, and leveraginglegitimate video conferencing tools. The only remarkable thing about the campaign, really, is that it actually seems to be working. Even as far as phishing campaigns go, this one's pretty lazy. Attackers are appealing to targets with VIP invites to a "private preview" of Anthropic's supposed "new social media AI tool." Emails emphasize that this special early look is "private, invitation-only." Right off the bat, there are ample reasons to be suspicious. The email titles have a grammatical error. The email sender's name includes a typo — "Austin from nthropic" — and their domain belongs to GoTo Webinar, not Anthropic. Visually, the messages are barebones, possessing no visual elements that even attempt to impersonate Anthropic branding. If for some reason someone actually clicks on the fake registration link — a link that doesn't point to an Anthropic or even a conferencing app domain — they'll end up on a fake Zoom meeting page. If, further, the victim doesn't catch that a GoTo Webinar invite led to a Zoom call, they might choose to sign into Zoom via Google or MicrosoftSingle-Sign On(SSO). If they choose Google, they won't even be prompted for a password, thus making half of this malicious campaign completely useless, even to the attacker running it. Inconsistent brand impersonations and missing or broken data theft flows are endemic to AI-generated campaigns; Cofense couldn't confirm if AI was used here. "However, due to the multiple variations of Zoom pages, it's likely generative AI was used," Cofense researcher Jacob Malimban says. He points to one bit of additional evidence: Beginning Oct. 28, the threat actor began spoofing Anthropic's website instead of Zoom's. The similar but slightly off format of the Anthropic spoofing page, he says, also suggests AI generation. The overall package is so maladroit that one can only wonder how such an email bypassed any spam filter in the first place. In fact, Cofense found these emails getting through market-leading email security products like the Proofpoint Secure Email Gateway (SEG) and Microsoft Defender for Office 365. Cofense pointed to a few little details that might help explain why. First, the emails are sent from a legitimate email address, customercare@gotowebinar[.]com — a shared sender address that any GoTo Webinar user might use to distribute webinar information. The legitimacy and ubiquity of this shared address shields the sender from scrutiny. Second, the malicious registration link in the emails was run through a URL shortener, Zapier, eliminating a security product's ability to interpret red flags in the domain itself. Lastly, the phishing flow incorporates two separateCAPTCHAs. The first — a Cloudflare CAPTCHA, presented before the fake Zoom or Anthropic page — is meant to stop an automated scanner in its tracks. The second CAPTCHA — placed between the fake Zoom or Anthropic page and the fake SSO page — is a malicious twist on the form, designed to block VPN services,Tor browsers, and other tools defenders might use. "Some phish kits used that specific type of CAPTCHA before. It appears to have been actively developed by threat actors to detect the tools of both automated and human activity, as well as see if the IP address was proxied," Malimban explains. None of these tactics will knock anyone's socks off but, in the gestalt, they seem to do the trick. To Keeper Security chief information security officer (CISO) Shane Barney, it's no surprise that threat actors are successfully bypassing perimeter email defenses, even with cookie cutter tactics, techniques, and procedures (TTPs). "The reality of modern cybersecurity is that Secure Email Gateways (SEGs) will always have blind spots," he says. Barney adds that organizations should assume phishing emails will end up in employees' email inboxes, and therefore security teams need to build defenses that focus on identity. "If an employee is tricked by a fake Anthropic lure and their Microsoft or Google credentials are compromised, strict least-privilege access policies, phishing-resistant multifactor authentication and privileged access management are what prevent the attacker from moving laterally, elevating privileges and accessing sensitive data," he advises. Lastly, he adds, "Utilizing a centralized password manager that validates domain URLs before autofilling credentials provides a critical last line of defense against the lookalike domains used in this attack, neutralizing the threat at the point of interaction." In the spirit ofCybersecurity Awareness Month 2026, and its emphasis on avoiding and reporting phishing scams, Malimban adds, "We hope that employees are trained using Secure Behavior Management to recognize and report phishing. To defend against suspicious account access, organizations should have robust account monitoring, like with CISA's free tool (Logging Made Easy). All in all, having multiple controls and defense in depth is necessary to defend against modern attacks."

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD