Nueva investigación de Proofpoint: un actor de amenazas vinculado a China ataca servidores de correo universitarios para obtener acceso
• Los ciberdelincuentes ya no solo atacan a los usuarios; ahora buscan comprometer la infraestructura de correo electrónico para acceder a redes corporativas completas.
Ciudad de México, Los servidores de correo electrónico se están convirtiendo en uno de los objetivos de los grupos de ciberespionaje. Una nueva investigación de Proofpoint revela que los atacantes están evolucionando sus tácticas: en lugar de limitarse a enviar correos maliciosos para engañar a los usuarios, ahora buscan comprometer directamente la infraestructura de correo para obtener acceso a redes corporativas completas, robar credenciales y mantener operaciones de espionaje de largo plazo.
El hallazgo representa una advertencia para organizaciones de todos los sectores en México, donde la digitalización y la dependencia de los servicios en línea continúan creciendo. Basándose en una campaña detectada contra universidades de Estados Unidos y Canadá, el estudio demuestra que el correo electrónico ha dejado de ser únicamente un canal de comunicación para convertirse en un activo valioso dentro de la infraestructura empresarial.
La más reciente investigación del equipo Proofpoint Threat Research documenta una campaña de ciberespionaje atribuida al grupo UNK_MassTraction, presuntamente alineado con intereses chinos, que desde mayo de 2026 ha explotado vulnerabilidades en servidores Roundcube de universidades de Estados Unidos y Canadá. Aunque el ataque estuvo dirigido a instituciones académicas, el hallazgo evidencia una tendencia que puede afectar a cualquier organización: utilizar los servidores de correo comprometidos como punto de entrada (“edge device”) para acceder a redes corporativas completas, en lugar de limitarse al robo de información del correo electrónico.
En México, la creciente dependencia de los servicios digitales amplifica el impacto potencial de este tipo de amenazas. De acuerdo con la Encuesta Nacional sobre Disponibilidad y Uso de Tecnologías de la Información en los Hogares (ENDUTIH) 2024, elaborada por el INEGI, 83.1% de la población de seis años y más utiliza internet, reflejando el papel central que desempeñan las plataformas digitales y los servicios en línea en la actividad económica y social del país. Conforme las organizaciones incrementan su dependencia de herramientas digitales para comunicarse, colaborar y operar, proteger el correo electrónico y la infraestructura que lo soporta se convierte en una prioridad estratégica para reducir el riesgo de compromisos que puedan afectar la continuidad del negocio.
“Durante mucho tiempo, las organizaciones concentraron sus esfuerzos en proteger a los usuarios frente al phishing. Hoy eso ya no es suficiente. Estamos viendo cómo los atacantes dirigen cada vez más sus esfuerzos hacia la infraestructura que sostiene el correo electrónico, porque saben que comprometer un servidor puede abrir la puerta al resto de la organización. En un mercado como México, donde la digitalización continúa acelerándose, proteger el correo debe entenderse como una prioridad estratégica para la continuidad del negocio“, Luis Isselin, Country Manager de México en Proofpoint.
La investigación de Proofpoint reveló que los atacantes explotaron múltiples vulnerabilidades conocidas en servidores Roundcube para ejecutar código malicioso desde un correo electrónico aparentemente inofensivo. Con solo abrir el mensaje desde el cliente web, era posible robar credenciales, cookies y otra información de autenticación para, posteriormente, instalar herramientas que les permitieran mantener acceso persistente al servidor y desplazarse hacia otros sistemas de la organización.
Como parte de la campaña, los investigadores identificaron IceCube, un malware diseñado para robar información de autenticación, ocultar la actividad de los atacantes y facilitar el movimiento dentro de la red comprometida. Además, observaron indicios de que parte del código pudo haber sido desarrollado con apoyo de inteligencia artificial generativa, lo que refleja cómo estas tecnologías también comienzan a incorporarse en herramientas utilizadas por actores maliciosos. La investigación también identificó el uso del backdoor VShell, empleado para mantener acceso persistente a los sistemas comprometidos.
Para Proofpoint, este caso confirma una tendencia creciente en el panorama global de amenazas: los grupos de ciberespionaje ya no consideran los servidores de correo únicamente como repositorios de mensajes, sino como infraestructura crítica desde la cual pueden acceder a redes corporativas completas. Este cambio obliga a las organizaciones a reforzar la protección del correo electrónico con el mismo nivel de prioridad que otros activos estratégicos, como VPNs, aplicaciones expuestas a internet y plataformas de acceso remoto.
Frente a este panorama, Proofpoint recomienda fortalecer la seguridad del correo electrónico mediante la actualización continua de servidores, autenticación multifactor, protección de credenciales, monitoreo de accesos y capacitación constante a los usuarios. Asimismo, destaca que los servidores de correo deben protegerse con el mismo nivel de prioridad que otros activos críticos expuestos a internet.
