Las campañas de phishing siguen evolucionando y aprovechan cada vez con mayor frecuencia la confianza que los usuarios depositan en plataformas ampliamente utilizadas por empresas de todo el mundo. Una de las últimas amenazas detectadas utiliza la imagen de DocuSign para engañar a empleados y particulares con el objetivo de distribuir malware en sus dispositivos.
Investigadores de ESET han identificado varios sitios fraudulentos que imitan el aspecto de DocuSign y que descargan automáticamente archivos maliciosos en los equipos de las víctimas.
Aunque los casos analizados se localizaron inicialmente en Brasil, los expertos advierten de que la infraestructura utilizada puede adaptarse fácilmente a cualquier país de Latinoamérica y España e incluso a otros mercados donde la plataforma tenga una presencia destacada.
El phishing vuelve a utilizar marcas de confianza
DocuSign es una de las plataformas de firma electrónica más utilizadas a nivel mundial y supera los 1,8 millones de organizaciones usuarias. Precisamente esa enorme implantación la convierte en un objetivo muy atractivo para los ciberdelincuentes.
Según la telemetría de ESET, durante 2026 DocuSign ha sido la marca más utilizada como señuelo en campañas de phishing detectadas en Brasil. Los investigadores explican que los delincuentes solo necesitan modificar el idioma o el contexto del mensaje para reutilizar la misma infraestructura en otros países.
Así comienza el ataque
La investigación apunta a que el fraude comienza mediante un correo electrónico que aparenta proceder de una empresa legítima y que invita al usuario a revisar o firmar un documento.
Al pulsar sobre el enlace, la víctima accede a una página prácticamente idéntica a la oficial de DocuSign. Sin embargo, la dirección web contiene pequeñas modificaciones diseñadas para pasar desapercibidas.
Jonathan Ramos, investigador de ESET, explica que los dominios analizados imitaban el nombre oficial del servicio para generar confianza y conseguir que el usuario bajara la guardia.
Descargas automáticas sin interacción adicional
Uno de los aspectos más preocupantes de esta campaña es que la descarga del archivo malicioso comienza automáticamente al acceder a la web fraudulenta.
Los expertos analizaron tres páginas distintas con un funcionamiento prácticamente idéntico. En todas ellas se descargaba un archivo con extensión .vbs sin necesidad de pulsar ningún botón adicional.
Ese archivo no constituye la amenaza definitiva, sino que actúa como un downloader, es decir, un programa cuya misión consiste en preparar el equipo para descargar nuevas cargas maliciosas desde servidores controlados por los atacantes.
Qué puede hacer el malware
Aunque durante el análisis los servidores que alojaban la carga final ya no estaban operativos, ESET pudo comprobar el comportamiento inicial del archivo descargado.
Entre las acciones detectadas figuraban:
- Ejecución de comandos mediante PowerShell.
- Creación de mecanismos de persistencia para sobrevivir a los reinicios.
- Descarga de componentes adicionales desde servidores externos.
- Comunicación con dominios controlados por los atacantes.
Los investigadores señalan que este tipo de campañas suele terminar instalando infostealers especializados en el robo de credenciales o troyanos de acceso remoto (RAT), capaces de controlar el equipo infectado y acceder a información confidencial.
Qué hacer si el archivo ya se ha descargado
Los especialistas recomiendan actuar con rapidez si el usuario ha descargado el archivo por error.
La primera medida consiste en desconectar inmediatamente el dispositivo de Internet y de cualquier red local para impedir que continúe la infección.
Posteriormente conviene ejecutar un análisis completo con una solución de seguridad fiable, eliminar cualquier archivo sospechoso y considerar todas las credenciales utilizadas en ese equipo como potencialmente comprometidas.
Si el ordenador pertenece a una empresa, también resulta fundamental informar cuanto antes al departamento de ciberseguridad para bloquear accesos y minimizar el impacto del incidente.
Cómo reducir el riesgo de caer en este fraude
Los investigadores de ESET recuerdan que la mayoría de estos ataques pueden evitarse siguiendo unas pautas básicas de seguridad:
- Revisar cuidadosamente la dirección del remitente.
- Comprobar el dominio real antes de pulsar cualquier enlace.
- Desconfiar de mensajes que transmitan urgencia o presión.
- Utilizar soluciones de protección capaces de detectar este tipo de amenazas.
- Verificar directamente con la empresa emisora cualquier solicitud inesperada relacionada con contratos o documentos electrónicos.
La suplantación de marcas sigue creciendo
La utilización de marcas conocidas continúa siendo una de las tácticas más eficaces del cibercrimen. Los delincuentes aprovechan la confianza que generan servicios ampliamente implantados para aumentar las probabilidades de éxito de sus campañas.
Los datos recopilados por CERT.br muestran que solo durante este año se han identificado más de 2.500 sitios fraudulentos relacionados con campañas de phishing y estafas digitales solo en Brasil. Este crecimiento confirma que la ingeniería social sigue siendo una de las armas preferidas por los atacantes, ya que explota el comportamiento humano más que las vulnerabilidades técnicas.
