Barracuda: un solo correo de phishing ahora tiene como objetivo tanto al destinatario como a la IA de su bandeja de entrada

El 7 de octubre de 2026, Barracuda Research publicó un análisis de una campaña de phishing diseñada para impactar a dos lectores con el mismo mensaje: la persona que lo recibe y el asistente de IA que resume su bandeja de entrada. La mitad orientada a humanos no llama la atención: un archivo adjunto protegido con contraseña cuya contraseña está escrita en el cuerpo del mensaje, una combinación que, según Barracuda, "crea un punto ciego para los controles tradicionales de seguridad del correo electrónico". La segunda mitad es nueva. Ocultas dentro del mismo correo electrónico —en comentarios HTML, texto invisible para CSS, bloques codificados en Base64 y caracteres de ancho cero— hay instrucciones dirigidas a cualquier modelo que analice el correo, pensadas para hacer que el asistente "presente el correo de phishing como legítimo o urgente" o para hacer que actúe por su cuenta.

Barracuda afirma que la muestra que examinó estaba disfrazada de correspondencia interna rutinaria y contaba con una puntuación de spam de confianza, y que procedía de un dominio del sector público. El archivo no registra ninguna víctima confirmada ni ningún daño reportado: este es un hallazgo de investigación sobre un patrón de ataque, no la revelación de una organización comprometida. Barracuda no reveló la escala de la campaña, y ni Infosecurity Magazine ni The Hacker News —ambos de los cuales cubrieron la investigación— pudieron aportar una cifra.

Lo que Barracuda publicó realmente

El artículo es una entrada de blog de investigación sobre amenazas de un proveedor, titulada «Threat Spotlight: los ataques por correo electrónico se dirigen tanto a humanos como a la IA en el mismo mensaje», y firmada por Guruprasad Kenja, descrito como analista de amenazas de Barracuda. Está fechado el 7 de octubre de 2026 en su ruta de URL y lleva un sello de «Actualizado: 6 de octubre de 2026» en la propia página; la noticia de Infosecurity Magazine, de Alessandro Mascellino, está fechada el 7 de octubre, y la recopilación de ThreatsDay en The Hacker News, publicada el 8 de octubre, enlaza la misma publicación de Barracuda. La discrepancia de un día entre la fecha de la URL y el sello de la página es propia de Barracuda y ninguno de los tres la explica.

El planteamiento de Barracuda es que el asistente se ha convertido en una segunda superficie de ataque. En sus palabras, las organizaciones "deben proteger no solo a los usuarios y las bandejas de entrada, sino también los sistemas de IA que consumen y actúan sobre los datos de correo electrónico". La investigación describe un único mensaje con dos payloads en lugar de un nuevo exploit: el señuelo convencional de ingeniería social es lo que un filtro está diseñado para detectar, y la inyección de prompt se coloca donde un filtro históricamente no ha mirado.

La muestra: diseñada para superar las verificaciones de reputación

Barracuda enumera tres propiedades del mensaje que, según su versión, lo ayudaron a eludir el filtrado basado en reputación:

• Las direcciones De y Para eran el mismo buzón, por lo que el mensaje se leía como una nota para uno mismo en lugar de como correo externo.

• Portaba una puntuación de confianza de spam fiable.

• Se originó en un dominio del sector público.

Barracuda no nombra el dominio del sector público, no dice si ese dominio era el origen genuino del mensaje o uno falsificado, y no da una fecha de cuándo se observó el mensaje. Esas lagunas importan para cualquiera que intente juzgar cuán cerca estuvo la campaña de funcionar, y son lagunas de la fuente primaria, no algo que otro medio haya completado.

La mitad oculta: cuatro formas en que se cuelan las instrucciones

Barracuda señala cuatro técnicas como las que ve con frecuencia. Las cuatro se basan en la misma asimetría: un cliente de correo representa un mensaje de una manera, mientras que el modelo que lee el código fuente sin procesar ve todo lo que el cliente ocultó.

Cada elemento de esa lista es una descripción de un portador, no de un efecto, y Barracuda deja claro que las inyecciones están diseñadas para actuar sobre el asistente y no sobre la persona. La etiqueta de tipo del registro es IPI —inyección indirecta de prompt—, que es el término estándar para las instrucciones que llegan dentro del contenido que se le pide procesar a un modelo, en lugar de ser escritas por su usuario.

Lo que se suponía que debían hacer las inyecciones

La descripción de Barracuda de los objetivos de la carga útil se desarrolla por dos vías. La vía más suave intenta desvirtuar el resumen: si la persona ignora el archivo adjunto, el texto oculto pretende hacer que el asistente describa el mensaje como legítimo o urgente, empujando al destinatario a abrirlo y hacer clic. Barracuda afirma que ninguna de estas instrucciones es visible para el usuario. La vía más dura intenta convertir al asistente en el actor —indicándole que «ignore sus instrucciones anteriores» y que, en su lugar, envíe una solicitud urgente para transferir fondos, filtrar datos o sacar a la superficie una acción urgente falsa.

Los ejemplos del mundo real adjuntos que cita Barracuda muestran el mismo mecanismo aplicado a otros flujos de trabajo mediados por IA:

• Un correo electrónico de factura que contiene un bloque de texto oculto que le indica al modelo que resume que agregue una acción prioritaria falsa que altera los datos de pago del proveedor, empujando a un empleado a transferir dinero al atacante.

• Un currículum cuyo texto oculto instruye a una herramienta de selección con IA para que califique al solicitante con un 10 sobre 10 y recomiende una entrevista inmediata, independientemente de sus cualificaciones.

• Una solicitud formulada como un "modo de mantenimiento o de administrador" autorizado que pide a un bot de soporte que revele su propia configuración.

• Contenido envenenado en una página que lee un asistente de programación, que le indica que incluya una línea de exfiltración de credenciales cada vez que genera código de autenticación.

Se describen como ejemplos de la técnica, no como brechas confirmadas. Nada en la publicación de Barracuda dice que un modelo de resumen, una herramienta de filtrado, un bot de soporte o un asistente de programación realmente obedeciera en un despliegue real, y el archivo registra real_harm como falso.

Qué está establecido, y qué no

La distinción importa más aquí que en la mayoría de los informes de incidentes, porque el registro describe un diseño y no un resultado.

• Confirmado: Barracuda Research examinó una campaña de phishing que combinaba un archivo adjunto protegido con contraseña con una inyección de prompt oculta en el mismo mensaje, y publicó su análisis el 7 de octubre de 2026. Las cuatro técnicas de ocultación y los cuatro ejemplos de uso se exponen en esa publicación. Dos medios independientes —Infosecurity Magazine y The Hacker News— informaron de los mismos hallazgos sin contradecirlos, motivo por el cual la confianza del registro se califica como A.

• No se ha establecido: si algún asistente fue realmente secuestrado, cuántos mensajes se enviaron, quién los recibió, y si se movió dinero o salieron datos. Barracuda se negó a dar la escala de la campaña. Ningún regulador, organización de víctimas o proveedor de seguridad ha corroborado un compromiso específico, y ninguna parte nombrada está vinculada a la muestra.

• No rebatido: nada en la cobertura contradice el relato de Barracuda. Las cuestiones abiertas son omisiones, no desacuerdos, y el archivo no registra la conclusión como impugnada.

El registro se clasifica como un hallazgo de investigación de gravedad media, con participación de IA confirmada — el asistente de IA es el objetivo en torno al cual se ha diseñado la campaña, y es la razón por la que el mensaje resulta inusual. No se clasifica como un hito, y no hay rango de fechas: el análisis describe un único momento en el tiempo, el 7 de octubre de 2026, no una ventana de campaña.

Las mitigaciones que recomienda Barracuda

La postura de Barracuda es que «ningún control único detendría todas las variaciones», por lo que sus recomendaciones son un conjunto de capas de control en lugar de una solución única. Recomienda eliminar elementos ocultos, comentarios y caracteres invisibles del contenido antes de que ese contenido llegue a un sistema de IA; detectar frases que anulan instrucciones como firma de inyección de prompts; aislar a los asistentes en un sandbox para acotar su alcance; validar la salida antes de que la respuesta de un asistente desencadene una acción; y exigir la aprobación humana de pagos, cambios de proveedores y otras decisiones sensibles. También recomienda monitorizar los intentos de inyección repetidos y establece que el principio subyacente es tratar el contenido externo «siempre como datos únicamente y mantenido separado de las instrucciones».

La publicación también señala los productos de Barracuda —Email Gateway Defense, Behavioral AI y Automated Threat Response— como los controles que vende para la parte de filtrado y remediación. Eso es un proveedor que recomienda su propio catálogo, y vale la pena leerlo como tal: las recomendaciones técnicas son independientes de los productos, pero la publicación no prueba ninguno de los dos contra la campaña que describe.

Por qué vale la pena conservar el registro

El valor específico de esta entrada es que documenta el punto en el que dos defensas antes separadas dejan de cubrir el mismo mensaje. Un archivo adjunto protegido con contraseña derrota el escaneo de contenido porque el escáner no puede abrir el archivo; una inyección de prompt oculta derrota la puntuación de reputación porque la puntuación de reputación se fija en los remitentes, no en lo que hará un modelo de lenguaje con el cuerpo. Ponlos en un solo correo electrónico y los modos de fallo se acumulan: un filtro que deja pasar el mensaje amparándose en una puntuación de confianza también ha dejado pasar el payload dirigido a lo que sea que lea la bandeja de entrada a continuación. La muestra de Barracuda es la demostración de que esta composición no es hipotética.

Este registro —el hallazgo de phishing de doble objetivo de Barracuda— es una entrada en the OrcaRouter AI Incident Archive, que registra incidentes de IA, hallazgos de investigación y evaluaciones con los mismos campos usados anteriormente: gravedad, confianza, estado de disputa y daño real.