Entre el 1 de junio y el 4 de agosto de 2026, INKY rastreó y detectó una campaña de phishing prolongada que utilizaba un señuelo aparentemente sencillo: una notificación de mensaje de voz no escuchado, para distribuir código malicioso oculto en un archivo de imagen. La campaña afectó a 5,527 organizaciones y generó 26,589 correos electrónicos detectados.
De acuerdo con la información compartida por Kaseya, proveedor mundial de software de gestión de TI y ciberseguridad, el arma elegida por los atacantes fue un formato de archivo que la mayoría de la gente, y muchos filtros de correo electrónico, consideran inofensivo: la imagen SVG (Scalable Vector Graphics).
Este es un formato de imagen, pero, a diferencia del JPEG o el PNG, no está compuesto por píxeles. Un archivo SVG es un archivo de texto escrito en XML que describe formas, líneas y texto de forma matemática, por lo que la imagen puede ampliarse o reducirse a cualquier tamaño sin perder calidad. Los logotipos, iconos y gráficos que aparecen en la web suelen estar en formato SVG.
Esa única característica es la que aprovechan los atacantes. Para una persona y para muchas herramientas de seguridad, un archivo SVG parece una imagen. Para un navegador, puede ser un medio para distribuir un programa. Esta discrepancia entre cómo se percibe el archivo y lo que realmente puede hacer constituye la base de la técnica conocida como “contrabando de SVG”.
Kaseya, compañía líder en servicios de TI y ciberseguridad a nivel mundial, indica que como los archivos SVG se consideraban imágenes inofensivas y se permitía su paso, los atacantes se están aprovechando de ello. Al envolver su código JavaScript en una envoltura SVG, introducen código activo dentro de un tipo de archivo que muchos filtros nunca se configuraron para examinar.
Sin embargo, los ataques basados en SVG no son nuevos. Los investigadores llevan documentando archivos adjuntos SVG maliciosos desde aproximadamente 2017, pero su uso se disparó en 2026. Hubo dos cambios: la magnitud de las campañas y el grado de sofisticación del cifrado.
Según el Informe sobre tendencias de phishing de 2026 de Hoxhunt, lo [el comunicado original se interrumpe en este punto].
La campaña detectada por INKY, compañía de ciberseguridad de Kaseya, utilizó una falsa notificación de mensaje de voz para distribuir código malicioso, usando un archivo común y en apariencia inofensivo que pasó desapercibido para la gente: una imagen SVG. Este año se detectó una campaña que distribuyó 1.2 millones de mensajes de phishing basados en SVG a más de 53,000 organizaciones de 23 países.
