Phishing con imágenes SVG: la nueva técnica para distribuir código malicioso
Una notificación falsa de mensaje de voz no escuchado fue el señuelo que un grupo de ciberdelincuentes utilizó para distribuir código malicioso oculto en un archivo de imagen, de acuerdo con una campaña detectada por INKY, compañía de ciberseguridad de Kaseya, proveedor mundial de software de gestión de TI y ciberseguridad.
Entre el 1 de junio y el 4 de agosto de 2026, INKY rastreó y detectó una campaña de phishing prolongada que afectó a 5,527 organizaciones y generó 26,589 correos electrónicos detectados. El arma elegida por los atacantes fue un formato de archivo que la mayoría de la gente, y muchos filtros de correo electrónico, consideran inofensivo: la imagen SVG (Scalable Vector Graphics).
Este es un formato de imagen, pero, a diferencia del JPEG o el PNG, no está compuesto por píxeles. Un archivo SVG es un archivo de texto escrito en XML que describe formas, líneas y texto de forma matemática, por lo que la imagen puede ampliarse o reducirse a cualquier tamaño sin perder calidad. Los logotipos, iconos y gráficos que aparecen en la web suelen estar en formato SVG.
Esa única característica es la que aprovechan los atacantes. Para una persona y para muchas herramientas de seguridad, un archivo SVG parece una imagen. Para un navegador, puede ser un medio para distribuir un programa. Esta discrepancia entre cómo se percibe el archivo y lo que realmente puede hacer constituye la base de la técnica conocida como “contrabando de SVG”.
Por qué los archivos SVG logran burlar las defensas
Kaseya, compañía líder en servicios de TI y ciberseguridad a nivel mundial, indica que como los archivos SVG se consideraban imágenes inofensivas y se permitía su paso, los atacantes se están aprovechando de ello. Al envolver su código JavaScript en una envoltura SVG, introducen código activo dentro de un tipo de archivo que muchos filtros nunca se configuraron para examinar.
Sin embargo, los ataques basados en SVG no son nuevos. Los investigadores llevan documentando archivos adjuntos SVG maliciosos desde aproximadamente 2017, pero su uso se disparó en 2026. Hubo dos cambios: la magnitud de las campañas y el grado de sofisticación del cifrado.
De acuerdo con el comunicado, este año se detectó una campaña que distribuyó 1.2 millones de mensajes de phishing basados en SVG a más de 53,000 organizaciones de 23 países. El documento también menciona que, según el Informe sobre tendencias de phishing de 2026 de Hoxhunt, lo [el comunicado original se interrumpe en este punto].
La campaña detectada por INKY se suma a un escenario en el que los archivos SVG, por su apariencia inofensiva y su capacidad de contener código activo, se han convertido en un vehículo eficaz para los cibercriminales. Kaseya comparte los detalles de este caso y las medidas que pueden tomarse para prevenir una vulneración similar.
