En cuestión de minutos, la bandeja de entrada comienza a llenarse de confirmaciones de registro, boletines informativos, mensajes de bienvenida, solicitudes de cambio de contraseña, promociones comerciales y notificaciones procedentes de servicios que el usuario no recuerda haber utilizado nunca. Los mensajes llegan en distintos idiomas, desde cientos de dominios y con asuntos diferentes. Muchos parecen perfectamente legítimos.
La reacción más intuitiva es pensar que se trata de una campaña de spam particularmente agresiva y comenzar a borrar mensajes. Sin embargo, esa puede ser precisamente la respuesta que busca el atacante.
El subscription bombing no siempre pretende únicamente saturar un buzón. La avalancha puede ser una cortina de humo diseñada para esconder una compra fraudulenta, un cambio de contraseña, una alerta de acceso o el comienzo de una operación de ingeniería social.Cuando aparecen miles de mensajes legítimos de repente, lo más peligroso puede no ser el ruido, sino aquello que alguien está intentando ocultar entre él.
Un ataque en el que los correos no son necesariamente maliciosos
El subscription bombing, también denominado subscription flooding o email spam bombing, consiste en inundar la dirección de correo de una víctima con una gran cantidad de mensajes no solicitados generados por servicios legítimos.
La diferencia respecto al email bombing tradicional es importante. En este último, el atacante envía directamente un volumen masivo de mensajes o controla la infraestructura desde la que se distribuyen. En el subscription bombing, en cambio, introduce una capa de intermediación: registra la dirección de la víctima en cientos o miles de servicios de terceros. Boletines, formularios de alta, solicitudes de soporte, plataformas comerciales, portales de empleo, reservas hoteleras, anuncios, redes sociales y mecanismos de recuperación de cuentas pueden convertirse así en amplificadores involuntarios.
Los servicios utilizados no tienen por qué haber sido comprometidos ni presentar una vulnerabilidad técnica convencional. En muchos casos se limitan a hacer exactamente aquello para lo que fueron diseñados: enviar una confirmación, una bienvenida o una notificación a la dirección que alguien ha introducido en su formulario. El abuso reside en que nadie ha comprobado previamente que el titular de esa dirección haya solicitado realmente el envío.
Los filtros de spam pueden dejar pasar la avalancha
El subscription bombing plantea un problema especialmente incómodo para los sistemas de filtrado: cada mensaje, analizado de manera aislada, puede ser completamente normal.
El remitente suele ser una empresa real. Su servidor puede tener buena reputación y no figurar en ninguna lista de bloqueo. Las verificaciones SPF, DKIM y DMARC pueden superarse correctamente porque nadie está falsificando necesariamente el dominio: el mensaje ha sido enviado por el verdadero proveedor.
Tampoco tiene por qué contener malware, enlaces fraudulentos o expresiones típicas de una campaña de phishing. Además, los asuntos, idiomas, plantillas y dominios de origen son muy distintos entre sí. Un mensaje dice «Confirme su suscripción»; otro, «Bienvenido»; otro solicita verificar una cuenta; otro comunica el alta en un comercio extranjero.
En campañas reales analizadas, más del 70 % de los mensajes recibió una puntuación que los clasificaba como correo no deseado muy improbable. Es decir, sin mecanismos adicionales, habrían llegado directamente a la bandeja de entrada. Las comprobaciones tradicionales de autenticidad tampoco resultaban eficaces porque, en gran medida, los mensajes eran auténticos.
Ahí se encuentra la paradoja: el carácter malicioso no está necesariamente en cada correo, sino en la coordinación, el volumen y la finalidad de todos ellos en conjunto.
Atacante vs Víctima
Para organizar una campaña no es necesario controlar una gran infraestructura de envío. El atacante necesita disponer de una base de datos de servicios capaces de generar mensajes y de algún mecanismo que automatice las altas, registros o solicitudes.
Las listas pueden recopilarse localizando formularios en la web y comprobando periódicamente cuáles continúan funcionando. A partir de ahí, la dirección de la víctima se introduce en un subconjunto de esos servicios durante un periodo determinado. Una campaña puede consistir en una única oleada o repetirse varias veces contra el mismo objetivo.
La dispersión dificulta la defensa. Cada solicitud se dirige a una entidad diferente, por lo que no existe un punto central desde el que identificar y detener todas las operaciones. Algunos atacantes rotan además las direcciones IP o distribuyen las peticiones para evitar bloqueos por frecuencia.
La automatización mediante navegadores y agentes de inteligencia artificial puede reducir todavía más el esfuerzo. Estos sistemas son capaces de interactuar con páginas web, completar formularios y adaptarse a procesos que antes exigían cierta intervención manual. No eliminan todas las dificultades, pero rebajan la barrera técnica y permiten ampliar con mayor rapidez las listas de servicios utilizables.
La asimetría es evidente. Iniciar la avalancha puede resultar barato (del orden de 5 euros 1000 emails, por hora) y relativamente sencillo. Identificar lo que sucede, recuperar la operatividad del buzón y cancelar cientos de registros puede consumir horas de trabajo.
Miles de mensajes en la primera hora
La escala convierte una simple molestia en un incidente de seguridad.
En un conjunto de 24 oleadas reales se recopilaron 46.970 mensajes no deseados. La campaña más intensa generó 4.847 correos en menos de dos horas, con un ritmo aproximado de 3.387 mensajes por hora. El promedio fue de 1.957 mensajes por ataque y 1.516 por hora, frente a un tráfico ordinario inferior a diez mensajes por hora en las cuentas afectadas.
No se trata, por tanto, de recibir unas cuantas decenas de suscripciones incómodas. En pocos minutos, cualquier mensaje nuevo desaparece entre cientos de notificaciones. El usuario pierde la capacidad de distinguir lo importante de lo irrelevante y puede dejar de confiar temporalmente en su principal canal de comunicación.
Los patrones temporales también sugieren planificación. La mitad de los ataques observados comenzó en viernes. El 80 % se inició durante la mañana y la franja más habitual fue entre las ocho y las diez, precisamente cuando muchas personas comienzan su jornada y consultan el correo. No se registraron ataques entre las diez de la noche y las siete de la mañana.
Esta distribución difícilmente parece casual. Un viernes puede ofrecer al atacante una ventana más amplia: algunos trabajadores terminan antes, los equipos técnicos pueden operar con menos personal durante el fin de semana y una incidencia iniciada al final de la semana tiene más posibilidades de permanecer sin investigar.
Las víctimas, además, eran frecuentemente directivos o personas con alta visibilidad externa. Sus direcciones estaban publicadas, podían localizarse en Internet o seguían esquemas empresariales fáciles de predecir.
Cortina de humo
En su forma más elemental, sirve como mecanismo de acoso, represalia o interrupción. Una persona descontenta, un antiguo empleado o alguien que mantiene un conflicto con la víctima puede buscar únicamente causarle frustración y obligarla a invertir tiempo en limpiar su bandeja.
También puede emplearse para sobrecargar un buzón o incluso provocar problemas en la infraestructura de correo. Si se alcanzan determinados límites de almacenamiento o procesamiento, algunos mensajes legítimos podrían retrasarse o rechazarse temporalmente.
Sin embargo, el objetivo más peligroso es la distracción.
Mientras la víctima intenta comprender por qué está recibiendo miles de mensajes, entre ellos puede aparecer:
La confirmación de una compra realizada con su tarjeta.
Un aviso de cambio de contraseña.
La notificación de un nuevo inicio de sesión.
La modificación de un método de recuperación.
Una transferencia o movimiento financiero.
Un mensaje relacionado con la toma de control de una cuenta.
Una alerta generada durante una intrusión.
El atacante no necesita impedir que ese correo llegue. Le basta con enterrarlo bajo otros mil.
En este escenario, la avalancha no constituye el ataque principal. Es el humo utilizado para reducir la visibilidad mientras se ejecuta el fraude, el robo de cuenta o la intrusión real.
La segunda fase: el técnico
Existe una variante todavía más elaborada.
Poco después de comenzar la inundación, la víctima recibe una llamada, un mensaje de WhatsApp o una comunicación mediante Microsoft Teams. El interlocutor afirma pertenecer al departamento de informática, al proveedor de correo o al soporte técnico de la organización.
Sabe que el usuario está sufriendo una avalancha de mensajes porque él mismo la ha provocado. Eso le permite resultar convincente:
—Hemos detectado el problema. —Estamos ayudando a los usuarios afectados. —Necesitamos instalar un filtro. —Abra este programa de asistencia remota. —Comparta el código que aparece en pantalla. Si, hay gente que todavía cae.
La víctima, agobiada y deseosa de recuperar la normalidad, puede aceptar una ayuda que en otras circunstancias habría considerado sospechosa.
El objetivo es conseguir acceso remoto al equipo, robar credenciales, desplegar malware o preparar una infección de ransomware. El subscription bombing crea el problema; el falso soporte aparece inmediatamente después ofreciendo la solución.
Este patrón convierte cualquier contacto técnico inesperado durante la incidencia en una señal de alarma. El usuario debe interrumpir la conversación y verificar la identidad del supuesto técnico a través de canales internos conocidos, nunca utilizando los datos facilitados por quien ha iniciado el contacto.
El ataque as a service
El subscription bombing también se comercializa en entornos clandestinos como un servicio listo para usar. Los proveedores ofrecen campañas con diferentes duraciones, velocidades y calidades de entrega. Algunos anuncian listas compuestas por decenas de miles de servicios y permiten programar ataques, distribuirlos durante varios días o automatizarlos mediante interfaces. El precio puede ser extraordinariamente bajo en comparación con el perjuicio causado. En determinadas ofertas, enviar miles de mensajes cuesta apenas unos pocos euros (como indiqué antes, entre 5 y 9 euros). Mientras el atacante realiza un gasto mínimo, la víctima o su organización deben dedicar tiempo a investigar, clasificar mensajes, revisar cuentas y restaurar la normalidad.
Un cálculo ilustrativo muestra que limpiar mil correos, suponiendo que una parte pueda borrarse rápidamente y otra exija cancelar manualmente la suscripción, puede requerir cerca de dos horas. El coste económico directo quizá no parezca enorme, pero se multiplica cuando intervienen directivos, personal técnico, responsables de seguridad y servicios externos.
A ello se añade el coste más importante: la posibilidad de que, durante esas horas, pase inadvertido un incidente mucho más grave.
Caíste. ¿Qué debes hacer?
La primera recomendación es no actuar de forma impulsiva. Borrar indiscriminadamente todos los mensajes puede eliminar precisamente la evidencia que se necesita encontrar.
Conviene seguir este orden:
Comunicar el incidente. En una organización, debe avisarse inmediatamente al equipo de seguridad, soporte o responsable informático mediante un canal conocido. Además, el aviso es obligado por Ley.
Identificar la hora de inicio. Registrar cuándo comenzó la avalancha, su intensidad aproximada y los tipos de mensajes recibidos ayuda a delimitar la ventana del posible ataque principal.
Buscar mensajes críticos. Hay que localizar avisos de compras, transferencias, cambios de contraseña, nuevos accesos, modificaciones de cuenta y alteraciones de los mecanismos de recuperación.
Revisar las cuentas sensibles. Banca, plataformas de pago, comercios electrónicos, correo principal, servicios en la nube y redes sociales deben comprobarse accediendo directamente desde sus aplicaciones o direcciones habituales, no desde enlaces recibidos por correo.
Examinar la propia cuenta de correo. Es necesario comprobar las sesiones abiertas, los dispositivos autorizados, las reglas de reenvío, los filtros creados recientemente y los métodos de recuperación.
Conservar evidencias. No deben eliminarse todos los mensajes antes de que el equipo técnico pueda analizar remitentes, horarios y patrones.
Desconfiar del soporte inesperado. No se instalarán herramientas de control remoto, no se compartirán códigos de autenticación y no se seguirán instrucciones recibidas mediante llamadas o mensajes no solicitados.
Aplicar filtros temporales con precaución. Agrupar confirmaciones, boletines o mensajes de remitentes desconocidos puede ayudar, pero una regla demasiado amplia podría ocultar también los avisos legítimos que se buscan.
Cancelar las suscripciones progresivamente. Debe hacerse después de la primera revisión y utilizando mecanismos confiables, preferiblemente las funciones de cancelación integradas en el proveedor de correo. Pulsar indiscriminadamente todos los enlaces durante una situación caótica no es recomendable.
Cambiar la contraseña y activar la autenticación multifactor son medidas necesarias cuando existe la sospecha de que una cuenta ha sido comprometida. Sin embargo, no detienen por sí solas el subscription bombing: para provocar la avalancha, al atacante puede bastarle con conocer la dirección de correo.
No caíste tú, cayó tu organización.
No existe una solución única capaz de bloquear todas estas campañas sin afectar al correo legítimo. La defensa debe combinar medidas técnicas, procedimientos de respuesta y formación.
Los sistemas de correo pueden detectar incrementos anómalos de mensajes procedentes de remitentes nunca vistos, aplicar límites adaptativos, agrupar correos similares y alertar al equipo de seguridad cuando un buzón pasa bruscamente de recibir unos pocos mensajes a recibir cientos por hora. La siguiente tabla recopila (a) los principales dominios (TLD) desde los que se ha registrado subscription bombing, (b) las cuentas desde las que se lanzan y (c) lo que puedes encontrar, comunmente -no es una regla de oro- en los asuntos de cada mensaje.
También resulta útil mantener información sobre remitentes y dominios habituales, de forma que durante una oleada puedan destacarse las comunicaciones conocidas y separar temporalmente el resto sin eliminarlas.
La organización debe disponer de un procedimiento específico. El usuario afectado necesita saber a quién avisar, qué cuentas revisar y cómo verificar cualquier llamada de soporte. No basta con formar frente al phishing tradicional: aquí los correos pueden ser legítimos y la ingeniería social puede llegar después, por teléfono o mensajería.
Los proveedores de boletines y servicios también tienen responsabilidad. El doble opt-in, la confirmación de la dirección antes de activar una suscripción, los mecanismos contra registros automatizados y la cancelación mediante un solo clic reducen el abuso.
Estas medidas introducen cierta fricción, pero impiden que un tercero pueda suscribir indefinidamente una dirección ajena. Aun así, no eliminan completamente el problema: el primer mensaje de confirmación continúa pudiendo utilizarse para contribuir a la inundación.
El Quijote Digital 