Check Point Research documentó que la participación de Microsoft en intentos de phishing creció 10 puntos porcentuales en Q3 2026, cuadruplicando la de cualquier competidor.
Microsoft representó el 33% de todos los intentos de suplantación de marca rastreados por Check Point Research durante el tercer trimestre de 2026, según datos publicados esta semana. La cifra marca un salto de 10 puntos porcentuales respecto del trimestre anterior, cuando la compañía concentraba el 23% de estos ataques. La distancia con el resto del ecosistema se amplió: Microsoft ahora cuadruplica la participación de cualquier otra marca en el ranking de phishing corporativo. Apple y Google ocuparon el segundo lugar empatadas con 8% cada una, mientras que Dropbox y YouTube registraron los mayores ascensos en la tabla de marcas más suplantadas del período.
Por qué las credenciales de Microsoft valen cuatro veces más que las de Apple en el mercado del phishing
La concentración de ataques en Microsoft no responde a una preferencia estética de los atacantes. Una credencial comprometida de Microsoft 365 entrega acceso simultáneo a correo corporativo, almacenamiento en la nube, herramientas de colaboración y, en muchos casos, sistemas de autenticación federada que abren la puerta a aplicaciones de terceros integradas. Apple y Google, con 8% de participación cada una, ofrecen ecosistemas valiosos pero más acotados en el contexto empresarial: iCloud y Gmail son objetivos rentables, pero no replican la profundidad de acceso que otorga una cuenta corporativa de Microsoft en una organización que depende de Azure Active Directory para gestionar identidades.
El aumento de 10 puntos porcentuales en un solo trimestre sugiere que los atacantes están refinando sus campañas para explotar la adopción masiva de Microsoft 365 en entornos corporativos. Check Point Research no detalló si el crecimiento se concentró en sectores específicos, pero el patrón coincide con la expansión de ataques de compromiso de correo empresarial (BEC) que utilizan credenciales robadas para autorizar transferencias fraudulentas o redirigir pagos a cuentas controladas por atacantes.
Dropbox y YouTube escalan en el ranking — señal de diversificación táctica o de nuevos vectores de distribución
Dropbox y YouTube aparecieron entre las marcas con mayor crecimiento en intentos de suplantación durante Q3 2026, aunque Check Point no publicó cifras absolutas de participación para estas plataformas. El ascenso de Dropbox es coherente con el uso creciente de servicios de almacenamiento en la nube como señuelo en campañas de phishing: los atacantes envían correos falsos que simulan notificaciones de archivos compartidos, redirigiendo a páginas de captura de credenciales. YouTube, por su parte, representa un vector menos convencional: las campañas recientes documentadas por otros investigadores han utilizado enlaces falsos a videos privados o notificaciones de derechos de autor como pretexto para robar credenciales de Google.
La diversificación de marcas suplantadas no implica que Microsoft haya perdido relevancia como objetivo — de hecho, su participación creció — sino que los atacantes están ampliando el repertorio de señuelos para sortear filtros de correo que ya reconocen patrones de phishing asociados a las marcas más explotadas. Un correo que simula una notificación de Dropbox puede tener menor tasa de bloqueo automático que uno que imita a Microsoft, simplemente porque los sistemas de detección han sido entrenados con mayor volumen de muestras de este último.
Cómo impacta la concentración de ataques en Microsoft a organizaciones de América Latina que dependen de su ecosistema
América Latina registra una de las tasas más altas de adopción de Microsoft 365 en pequeñas y medianas empresas, impulsada por programas de licenciamiento accesible y por la migración acelerada a trabajo remoto desde 2020. México, Brasil, Colombia y Argentina concentran la mayor base instalada de suscripciones corporativas de la suite en la región, según datos de distribuidores locales. Esta dependencia estructural convierte el salto del 33% en participación de Microsoft en el ranking de phishing en un riesgo directo para organizaciones latinoamericanas: un ataque exitoso contra una cuenta corporativa de Microsoft 365 en una pyme de Bogotá o São Paulo puede comprometer no solo correo y archivos, sino también acceso a sistemas de facturación electrónica, plataformas de gestión de nómina y herramientas de firma digital integradas al ecosistema de Microsoft.
Check Point no desagregó datos por región, pero el patrón de concentración de ataques en Microsoft coincide con reportes previos de CSIRT locales en México y Brasil que documentaron un aumento de campañas BEC dirigidas a empresas que utilizan Outlook y Teams como canales principales de comunicación interna. La ausencia de autenticación multifactor (MFA) sigue siendo la vulnerabilidad más explotada en estos casos: una credencial robada mediante phishing otorga acceso completo si la organización no implementó MFA obligatorio, una configuración que todavía no es estándar en la mayoría de las pymes de la región.
El ascenso de Dropbox y YouTube como señuelos revela un cambio en la ingeniería social — no solo en la tecnología del ataque
El crecimiento de Dropbox y YouTube en el ranking de marcas suplantadas no es solo un dato de volumen — es un indicador de que los atacantes están ajustando la narrativa de los correos de phishing para explotar comportamientos específicos de usuarios corporativos. Un correo que simula una notificación de archivo compartido en Dropbox apela a la urgencia de revisar un documento antes de una reunión; uno que imita una alerta de derechos de autor de YouTube explota el miedo a perder acceso a un canal o a enfrentar una sanción legal. Ambos vectores funcionan porque el usuario ya está condicionado a actuar rápido ante este tipo de notificaciones — no porque la tecnología del ataque sea más sofisticada.
La diversificación de marcas también complica la defensa: los filtros de correo entrenados para detectar phishing de Microsoft pueden no reconocer con la misma eficacia un correo que imita a Dropbox, especialmente si el atacante utiliza dominios recién registrados que todavía no aparecen en listas de bloqueo. Check Point no publicó datos sobre la tasa de éxito de estos ataques, pero el hecho de que Dropbox y YouTube hayan escalado posiciones en el ranking sugiere que están generando suficiente volumen de clics como para justificar la inversión de los atacantes en estas campañas.
Nuestro análisis
El salto de Microsoft del 23% al 33% en un solo trimestre no es un pico aislado — es la consolidación de una tendencia que viene acelerándose desde que la adopción de Microsoft 365 se convirtió en estándar corporativo. Lo que cambia ahora es la brecha: cuadruplicar la participación de cualquier otra marca convierte a Microsoft en el único objetivo que justifica campañas de phishing a escala industrial. Apple y Google, con 8% cada una, siguen siendo objetivos rentables, pero no ofrecen el mismo retorno por credencial comprometida en un contexto empresarial. Un atacante que roba una cuenta de iCloud obtiene acceso a fotos y contactos; uno que roba una cuenta de Microsoft 365 obtiene acceso a toda la infraestructura digital de una organización.
El ascenso de Dropbox y YouTube en el ranking revela algo más preocupante: los atacantes ya no dependen de una sola marca para sostener operaciones de phishing a gran escala. La diversificación de señuelos les permite sortear filtros de correo que se entrenan con muestras de las marcas más explotadas, y explotar comportamientos de usuario que todavía no están cubiertos por campañas de concientización enfocadas exclusivamente en phishing de Microsoft. Check Point no publicó datos sobre la tasa de éxito de estos ataques ni sobre la distribución geográfica de las campañas, lo que deja sin respuesta dos preguntas clave: ¿están los atacantes concentrando esfuerzos en regiones con menor adopción de MFA, como América Latina? ¿Y cuánto tiempo más va a pasar antes de que Dropbox y YouTube alcancen niveles de suplantación comparables a los de Apple y Google, forzando una nueva ronda de ajustes en los sistemas de detección?