El engaño avanza a la velocidad de las máquinas. Aprende a mantener el ritmo.
Iniciar sesión en el portalSoporteBlogContactar
Buscar
Iniciar sesión en el portalSoporteBlogContactar
Buscar
Solicita una demo
Empieza gratis
InicioCiberseguridad 101
¿Qué son los ataques de phishing saliente?

¿Qué son los ataques de phishing saliente?

¿Qué son los ataques de phishing saliente?

Escrito por: Nadine Rozell
Publicado: 21/11/2025
Última actualización: 13/3/2026

mujer trabajando en una laptop
Logotipo de ChatGPTChatGPTSe abre en una pestaña nuevaLogotipo de ClaudeClaudeSe abre en una pestaña nuevaLogotipo de PerplexityPerplexitySe abre en una pestaña nuevaLogotipo de Google GeminiGoogle AISe abre en una pestaña nueva
En esta página

El phishing saliente es cuando un hacker toma el control de una de tus propias cuentas de usuario legítimas—como una bandeja de entrada de Microsoft 365 o Google Workspace—y la usa como su altavoz personal y malicioso.

Empiezan a enviar correos de phishing masivos desde tu dominio de confianza a todos con quienes haces negocios. Tus clientes, tus socios y tus propios empleados se convierten en blancos.

Puntos clave

  1. Abuso de remitente confiable: El phishing saliente weaponiza el dominio de la víctima; los destinatarios confían en mensajes de contactos conocidos, lo que aumenta drásticamente la tasa de clics en enlaces maliciosos
  2. Riesgo de bloqueo de dominio: Cuando los proveedores de correo detectan spam que proviene de tu dominio, lo agregan a listas de bloqueo globales, lo que bloquea todo el correo legítimo de tu negocio hasta que se resuelva
  3. Señal de compromiso: El phishing saliente indica que los atacantes ya establecieron acceso persistente; las reglas de bandeja de entrada y los flujos de trabajo ocultos suelen configurarse antes de que empiece el envío
  4. Sigilo del atacante: Los actores de amenazas responden a hilos de correo existentes con mensajes como "Aquí está la factura actualizada", aprovechando la confianza ya establecida en lugar de enviar spam obvio
  5. Respuesta inmediata: Cambia las contraseñas comprometidas, fuerza el cierre de sesión en todas las sesiones, audita las reglas de bandeja de entrada y la configuración de reenvío, y notifica de inmediato a los clientes y socios afectados

Phishing saliente vs. phishing entrante: por qué importa la diferencia

La mayoría de los programas de security awareness training se enfocan en amenazas entrantes: detectar correos sospechosos cuando llegan a la bandeja de entrada. El phishing saliente invierte ese escenario: la amenaza se origina dentro de un buzón comprometido. Con el phishing entrante, tu usuario recibe el correo; con el abuso saliente, el dominio de tu organización se usa para enviar el ataque, lo que te convierte tanto en víctima como en participante involuntario. Esa distinción cambia cómo respondes, qué podrías estar obligado a incluir en un informe, y cómo te comunicas con clientes y socios.


Para los MSP que administran entornos de Microsoft 365 de sus clientes, la capacidad de detectar actividad sospechosa de identidad y buzones —como reglas de reenvío nuevas o modificadas, ubicaciones de inicio de sesión inusuales o uso de VPN, y otras señales de manipulación de buzones— es un diferenciador de servicio concreto. Huntress Managed ITDR monitorea exactamente este tipo de tácticas del atacante, y detecta cuentas comprometidas antes de que se puedan usar de forma generalizada o causar daño reputacional y perjuicios posteriores a los clientes de tus clientes.

Por qué esto es una alarma de cinco niveles

Un ataque de phishing saliente no es un problema menor. Es un incidente crítico y urgente por tres razones.

  • Destruye tu reputación: Primero, destruye la confianza que has construido. Cuando tus clientes y socios son estafados por un correo de tu parte, tu marca sufre un daño increíblemente difícil de reparar.

  • Te pone en una lista de bloqueo: Los proveedores de servicios de correo y los filtros de seguridad verán que tu dominio envía contenido malicioso. Rápidamente agregarán tu dominio a listas de bloqueo globales, lo que significa que incluso tus correos legítimos —facturas, cotizaciones, respuestas de soporte— dejarán de entregarse.

  • Es síntoma de un problema más profundo: Esta es la parte más importante. El phishing saliente es una señal de alerta de que ya has sido vulnerado. El atacante no está en la puerta. Está dentro de tu casa, usando tus herramientas, y lleva tiempo ahí.

Cómo sucede esto

El phishing saliente es el resultado de un ataque anterior y distinto. La cadena de eventos casi siempre se ve así:

  • El compromiso inicial: Un usuario de tu organización cae en un correo de phishing diferente, reutiliza una contraseña o sufre un ataque de omisión de MFA.

  • La toma de control de una cuenta: El atacante logra con éxito robar sus credenciales y tomar control de su cuenta.

  • Weaponization: El atacante ahora "posee" una cuenta legítima y confiable. A menudo crea "flujos de trabajo ocultos" configurando reglas de bandeja de entrada para eliminar automáticamente las respuestas, de modo que el usuario real no se entere. Luego, comienza su ataque, aprovechando toda la confianza de tu marca.

El manual del atacante

Una vez que tienen el control, los hackers se vuelven creativos. No se limitan a enviar spam genérico y obvio.

Responderán a hilos de correo existentes y legítimos para sumar una sensación de urgencia y autenticidad. Insertarán un enlace tipo "Aquí está la factura actualizada" o "Por favor revisa este nuevo contrato" en una conversación que estabas teniendo.

Esta es una táctica clásica y devastadora usada en ataques de Compromiso del correo electrónico empresarial (BEC), que el FBI identifica como un problema de miles de millones de dólares. Así es como engañan a tus socios para que transfieran dinero a la cuenta bancaria equivocada o a tus clientes para que entreguen sus propias credenciales.

Cómo recuperarse de un incidente de phishing saliente

Pasos de recuperación en detalle más allá del triaje inmediato:

  1. Cambia la contraseña de la cuenta comprometida y fuerza la revocación de la sesión.
  2. Audita todas las reglas del buzón, la configuración de reenvío y los permisos de las apps de OAuth: los atacantes suelen establecer persistencia mediante reglas de reenvío ocultas antes de enviar mensajes.
  3. Revisa los elementos enviados y eliminados para determinar el alcance del daño.
  4. Notifica a quienes recibieron mensajes suplantados con información clara y objetiva.
  5. Contacta a tu proveedor de correo electrónico o a Microsoft para iniciar la eliminación de la lista de bloqueo.
  6. Realiza un análisis de causa raíz: ¿cómo obtuvo acceso el atacante en primer lugar?

Para los MSP, tener listo un plan de respuesta a incidentes de phishing saliente antes de que ocurra marca la diferencia entre una respuesta controlada y el caos. El impacto en la reputación del dominio del cliente y en la confianza de sus clientes suele superar el daño técnico directo.

En conclusión

El phishing saliente es una de las señales más claras y peligrosas de un compromiso profundo y activo.

Demuestra que tu prevención inicial (como los filtros de spam) falló, y resalta la necesidad crítica de contar con seguridad moderna que detecte una vulneración en curso. Por eso es tan importante la Detección y respuesta ante amenazas de identidad (ITDR). Necesitas una forma de detectar el comportamiento sospechoso de una cuenta comprometida antes de que arruine tu reputación por completo.

Logotipo de ChatGPTChatGPTSe abre en una pestaña nuevaLogotipo de ClaudeClaudeSe abre en una pestaña nuevaLogotipo de PerplexityPerplexitySe abre en una pestaña nuevaLogotipo de Google GeminiGoogle AISe abre en una pestaña nueva
En esta página

Preguntas frecuentes

Entrante es lo que recibes. Es el típico correo de phishing de un desconocido que llega a tu bandeja de entrada. Saliente es lo que envías. Es un correo de phishing enviado desde la cuenta legítima y secuestrada de tu empresa a tus contactos.

Busca actividad sospechosa:

  • Una carpeta de "Elementos enviados" llena de correos que nunca escribiste.

  • Respuestas de personas que no conoces, o que están confundidas por un correo que "enviaste".

  • Reglas nuevas y extrañas en tu bandeja de entrada (por ejemplo, "eliminar automáticamente todas las respuestas") que no creaste.

  • Mensajes de rebote de "correo no entregado" repentinos y en grandes volúmenes.

  • Contén el problema: cambia de inmediato la contraseña de la cuenta comprometida.

  • Exclúyelos: fuerza el cierre de sesión de todas las sesiones activas de ese usuario.

  • Investiga: revisa si hay reglas nuevas en la bandeja de entrada, correos reenviados u otra actividad maliciosa. Aquí es donde un profesional de TI o un socio de seguridad es fundamental.

  • Comunica: debes informar a tus clientes y socios que tu cuenta fue comprometida y advertirles que desconfíen de correos recientes.

MFA es tu mejor herramienta preventiva contra la toma de control de una cuenta inicial. Sin embargo, no es una solución infalible. Los atacantes pueden evadirla (y lo hacen) con técnicas como el secuestro de token de autenticación de sesión o el bombardeo de fatiga de MFA. Aún necesitas detección para lo que pasa después de una evasión.

Las organizaciones globales de lucha contra el spam (como Spamhaus) y los proveedores de correo electrónico (como Google/Microsoft) detectan un alto volumen de correo malicioso proveniente de tu dominio. Para proteger a sus otros usuarios, agregan tu dominio a una lista de bloqueo, que indica a todos los demás servidores de correo que no confíen en tu correo ni lo entreguen.

Recursos adicionales

Más información sobre ¿Qué es el malware sin archivos? Guía de detección y prevención
¿Qué es el malware sin archivos? Guía de detección y prevención
Ciberseguridad 101

¿Qué es el malware sin archivos? Guía de detección y prevención

Aprende cómo funciona el malware sin archivos, por qué es tan efectivo, y las estrategias esenciales para detectar y prevenir estos ciberataques basados en memoria.

Más información sobre Amazon Web Services
Amazon Web Services
Ciberseguridad 101

Amazon Web Services

Aprende los fundamentos de la seguridad en la nube de AWS (cloud), el modelo de responsabilidad compartida, funciones clave como el cifrado y IAM, además de las mejores prácticas para profesionales de ciberseguridad.

Más información sobre Qué es la transformación de la ciberseguridad
Qué es la transformación de la ciberseguridad
Ciberseguridad 101

Qué es la transformación de la ciberseguridad

Descubre qué significa la transformación de la ciberseguridad, por qué es esencial para las organizaciones modernas y cómo implementar una estrategia de seguridad integral.

Protege lo que importa

Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Probar Huntress gratis