El phishing basado en voz, una forma de ingeniería social en la que los atacantes llaman a los empleados o al servicio de asistencia de TI con falsos pretextos en un intento de obtener acceso a las redes de las víctimas, aumentó en 2025, dijo Mandiant el lunes en su informe anual M-Trends.

Estos puntos de intrusión, que han sido un sello distintivo de los ataques atribuidos a miembros del colectivo de delitos cibernéticos The Com, incluidas ramas como Scattered Spider, representaron el 11% de todos los incidentes que Mandiant investigó el año pasado.

Las vulnerabilidades explotadas siguieron siendo el principal vector de acceso inicial por sexto año consecutivo, dando a los atacantes un punto de apoyo en el 32% de todos los incidentes el año pasado, dijo la compañía. Sin embargo, el aumento del phishing de voz marca un cambio preocupante en las tácticas, especialmente en ataques a gran escala con impactos radicales.

«Este tipo de ataque de ingeniería social es extremadamente poderoso. Consume más tiempo, obviamente requiere habilidades y habilidades de suplantación que los actores de la amenaza deben tener, especialmente cuando se comunican con su servicio de asistencia de TI», dijo a CyberScoop Jurgen Kutscher, vicepresidente de Mandiant. «Hemos visto claramente que varios actores de amenazas son muy especializados y tienen mucho éxito con este tipo de ataque».

El phishing basado en voz fue la raíz de múltiples ataques a los que Mandiant respondió el año pasado, incluidas campañas dirigidas a clientes de Salesforce atribuidas a grupos de amenazas que Google Threat Intelligence Group rastrea como UNC6040 y UNC6240.

Este cambio global en los ataques se vio más claramente en la fuerte caída del phishing basado en correo electrónico. Durante años, el phishing ha sido un método popular porque es barato y requiere poca habilidad técnica. Funciona de manera muy similar a la publicidad de gran volumen: una estrategia de rociar y orar centrada en llegar a la mayor cantidad de personas posible en lugar de una orientación específica.

Según Mandiant, el phishing por correo electrónico ya no es uno de los principales vectores de acceso inicial. La empresa de respuesta a incidentes dijo que solo fue responsable del 6% de las intrusiones el año pasado, frente al 14% en 2024 y el 22% en 2022.

«Cuanto mayor sea la inversión, mayor debe ser el pago», dijo Kutscher. “[Interactive phishing] requiere una cantidad significativa de tiempo e inversión. Entonces, como atacante, debes hacer eso cuando creas que hay un retorno significativo”.

Es difícil defenderse de estas técnicas porque están diseñadas para explotar los instintos humanos y eludir muchos controles de seguridad. «Siempre hemos dicho que, lamentablemente, el ser humano tiende a ser el eslabón más débil», dijo Kutscher.

Por supuesto, la ingeniería social no fue la única forma en que los atacantes obtuvieron acceso a las redes de las víctimas el año pasado. Los defectos explotados siguen siendo un problema persistente.

Las tres principales vulnerabilidades que Mandiant observó como vector de acceso inicial en 2025 incluyen CVE-2025-31324 en SAP NetWeaver, CVE-2025-61882 en Oracle E-Business Suite y CVE-2025-53770 en Microsoft SharePoint.

Los atacantes de diversos orígenes y objetivos explotaron las tres vulnerabilidades en masa y como días cero.

Mandiant registró 500.000 horas combinadas de investigaciones de respuesta a incidentes a nivel mundial el año pasado, frente a 450.000 horas en 2024.

Las empresas de tecnología fueron las más atacadas en 2025, representando el 17% de todos los incidentes. Las siguientes industrias más afectadas incluyeron finanzas con un 14,6%, servicios comerciales y profesionales con un 13,3% y atención médica con un 11,9%.