Dos brechas, una causa raíz: lo que Zimbra y Bank of Baroda revelan sobre el correo electrónico como superficie de ataque

Un grupo de hackers vinculado al Estado ruso y un intruso no identificado que accedió al buzón de correo de un solo empleado de un banco indio no necesitaron nada exótico para tener éxito. Solo necesitaron una cuenta de correo electrónico. En la misma semana, a finales de julio de 2026, dos incidentes no relacionados en lados opuestos del mundo confirmaron un hecho incómodo: el correo electrónico sigue siendo la puerta más fácil de acceso a una empresa, y la mayoría de las organizaciones aún la dejan sin cerrar.

El 23 de julio, CISA y agencias internacionales asociadas publicaron la Advertencia AA26-204A, detallando una campaña de un grupo conocido como LAUNDRY BEAR (también llamado Void Blizzard, CL-STA-1114 y TA488) que ha estado explotando una vulnerabilidad de cross-site scripting en el webmail de Zimbra Collaboration Suite, CVE-2025-66376, al menos desde julio de 2025. El proveedor de seguridad AttackIQ publicó su propia respuesta a la advertencia el 27 de julio. Casi al mismo tiempo, el banco estatal indio Bank of Baroda confirmó que está investigando una filtración de datos que, según los investigadores, se originó en la cuenta de correo electrónico comprometida de un solo empleado. Diferentes continentes, diferentes atacantes, diferente escala. El mismo mecanismo.

Ninguno de los incidentes involucró un entorno gestionado por Kiteworks. Las víctimas de Zimbra utilizaban el webmail nativo de Zimbra; la exposición de Bank of Baroda se remonta al correo electrónico corporativo estándar. Pero ambos casos ilustran la misma clase de riesgo que una plataforma de correo electrónico seguro y acceso a contenidos gobernada está diseñada para reducir: contenido controlado por atacantes ejecutándose dentro de la plataforma de correo, y un solo buzón actuando como puerta de entrada sin protección a meses de correspondencia, credenciales y archivos sensibles. A continuación, se separan los hechos confirmados de las afirmaciones de los atacantes en ambos casos, y se analiza dónde un enfoque de intercambio seguro de datos con Kiteworks realmente cambia la ecuación de exposición y dónde no lo hace.

Aspectos clave

1. Una sola CVE en el webmail de Zimbra abrió una ventana de espionaje de 12 meses. La Advertencia AA26-204A de CISA vincula la CVE-2025-66376 a un actor vinculado al Estado ruso que ha estado recolectando correos electrónicos, credenciales y tokens MFA de objetivos gubernamentales y comerciales desde al menos julio de 2025.
2. Bank of Baroda atribuye su brecha a un solo buzón de empleado comprometido. El banco afirma que los sistemas bancarios centrales no fueron accedidos, pero los investigadores reportan conjuntos de datos filtrados que supuestamente suman cientos de gigabytes de registros de préstamos, informes de auditoría y comunicaciones internas, cifras que siguen siendo fuente del atacante y no confirmadas por el banco.
3. El correo electrónico es un repositorio de datos, no solo una herramienta de mensajería, y los atacantes lo saben. Se informa que el exploit de Zimbra extrajo 90 días de historial de mensajes en una sola acción; el buzón de Baroda aparentemente contenía tasaciones de préstamos e informes internos que no tenían motivo evidente para estar allí sin protección.
4. La aplicación automática de políticas en cada mensaje cierra una brecha que ninguno de los afectados tenía cubierta. Kiteworks Email Protection Gateway aplica cifrado, enrutamiento, cuarentena y políticas de rechazo a cada mensaje entrante y saliente según el contenido y la clasificación de los datos, registrando el resultado, capacidades que habrían aplicado si estas organizaciones hubieran dirigido el correo a través de él en lugar de usar el webmail nativo.
5. Las plataformas gobernadas no hacen invulnerable al webmail, y esta publicación no afirma lo contrario. Kiteworks no estuvo en la ruta de datos de ninguno de los incidentes, y los matices importan: EPG no puede parchear el código subyacente de un proveedor de webmail, y su valor depende de cómo una organización configure sus políticas y reglas de retención.

Dentro de la Advertencia CISA AA26-204A: La campaña de Zimbra

La advertencia de CISA, emitida conjuntamente con agencias internacionales asociadas, describe una operación de espionaje sostenida contra una amplia gama de sectores: la Base Industrial de Defensa (DIB), gobiernos federales y locales, educación, energía, fuerzas del orden, medios de comunicación, ONG y empresas tecnológicas en países occidentales. El actor detrás de esto, rastreado bajo varios nombres, incluidos LAUNDRY BEAR, Void Blizzard, CL-STA-1114 y TA488, ha estado activo al menos desde julio de 2025.

El mecanismo es una vulnerabilidad de cross-site scripting en la interfaz webmail de Zimbra Collaboration Suite, catalogada como CVE-2025-66376 y originada en una insuficiente sanitización de directivas CSS @import en el contenido del correo electrónico. Las fallas de cross-site scripting permiten que un atacante ejecute su propio código dentro de la sesión de una aplicación web legítima, en este caso el cliente de webmail. Una vez activado, CISA informa que el exploit recolectó los 90 días previos de correos electrónicos de la víctima, direcciones y contraseñas almacenadas, el directorio interno de correo electrónico de la organización, tokens de autenticación multifactor y cualquier código de aplicación generado recientemente. El material robado fue supuestamente enviado a una infraestructura interna que el actor denomina «Flowerbed». Zimbra lanzó una corrección en las versiones ZCS 10.0.18 y 10.1.13 en noviembre de 2025, lo que significa que toda organización aún expuesta a esta campaña ha tenido disponible un parche durante meses.

Lo que hace notable esta advertencia es el alcance de lo que una sola falla en una plataforma de webmail puede entregar. No se trata de un solo mensaje o un solo adjunto. Son tres meses de correspondencia, las credenciales que protegen esa correspondencia y los tokens MFA que deberían ser el último recurso ante el robo de contraseñas. La respuesta de AttackIQ, un ejercicio de emulación de adversario diseñado para ayudar a los defensores a probar si sus sistemas de detección captan este patrón de comportamiento, es un paso razonable y útil. Pero por sí mismo, es un ejercicio de detección, no de prevención; emular el ataque te dice si lo notarías, no si la aplicación de webmail ejecutaría el contenido malicioso en primer lugar. Una plataforma SIEM configurada con alertas de comportamiento para el patrón de exfiltración Flowerbed —volumen de datos salientes anómalo, actividad inusual de tokens de sesión, eventos de autenticación fuera de la geografía habitual— es la infraestructura de detección que convierte el ejercicio de emulación de AttackIQ de una prueba puntual a una capacidad de monitoreo continuo.

Bank of Baroda: Qué está confirmado y qué sigue siendo una afirmación

El segundo incidente tiene menos detalles públicos, pero es quizás más ilustrativo sobre la rapidez con la que la compromisión de un solo buzón puede escalar. El investigador de seguridad Srikanth Lakshmanan identificó primero un conjunto de datos vinculado a Bank of Baroda circulando en la dark web. Reuters posteriormente reportó metadatos que sugieren que el volumen supera los 700GB, mientras que otros medios han citado afirmaciones de «casi 1 terabyte». Estas cifras provienen del investigador o del atacante, no son números confirmados por el banco, y esa distinción es importante al evaluar el alcance real de la exposición.

El material filtrado incluiría documentos de identidad de clientes, registros de préstamos y tasaciones, informes de auditoría interna, documentos de sucursales y comunicaciones internas. Algunos reportes van más allá, afirmando que también se expusieron números Aadhaar y datos de NetBanking, pero Bank of Baroda no ha confirmado esos contenidos específicos, por lo que esa afirmación debe considerarse no verificada.

Lo que el banco ha confirmado es más limitado y revelador: la brecha se originó en la cuenta de correo electrónico comprometida de un empleado, y el banco afirma que sus sistemas bancarios centrales no fueron accedidos y permanecen seguros. Ningún grupo de hackers ha reclamado formalmente la autoría, aunque algunos investigadores han vinculado la actividad a un actor conocido como TripleX. Bank of Baroda indica que ha iniciado una investigación forense y está coordinando con las autoridades. Hasta que esa investigación concluya, el volumen y contenido exactos de lo filtrado deben considerarse provisionales. La propiedad intelectual y los registros de clientes supuestamente accesibles a través de ese solo buzón ilustran por qué las instituciones financieras sujetas al cumplimiento del GDPR o a obligaciones sectoriales de protección de datos no pueden tratar las cuentas de correo electrónico de empleados individuales como fuera del alcance de su entorno de contenido gobernado.

Elimina las cifras inciertas y queda un hecho sólido: un solo buzón de empleado supuestamente contenía o daba acceso a archivos de préstamos, informes de auditoría y comunicaciones internas que un banco no querría ver circulando públicamente. No es una cadena de explotación técnica sofisticada como la CVE de Zimbra. Es un patrón mucho más común y, posiblemente, más peligroso: contenido empresarial sensible almacenado o accesible desde el buzón de una persona, protegido solo por los controles de acceso de esa cuenta.

Por qué el correo electrónico sigue siendo el vector de ataque preferido

Los equipos de seguridad llevan dos décadas invirtiendo en formación sobre phishing, escaneo antivirus y autenticación multifactor, y el correo electrónico sigue siendo el punto de acceso inicial en una gran parte de los incidentes que llegan a los titulares. Los casos de Zimbra y Bank of Baroda muestran por qué el problema persiste: el correo electrónico no es un solo punto de control, es un repositorio de contenido completo con defensas perimetrales débiles en relación con lo que almacena.

Piénsalo: ¿qué contiene realmente un buzón tras uno o dos años de uso empresarial normal? Contratos. Tasaciones de préstamos. Hallazgos de auditoría. Registros de clientes reenviados como adjuntos porque compartirlos por una unidad compartida era incómodo. Enlaces de restablecimiento de contraseñas. Códigos de respaldo de MFA enviados «solo esta vez». Ninguno de esos contenidos necesariamente debía permanecer en el correo electrónico de forma permanente, pero se acumulan allí porque el correo es el camino de menor resistencia para mover información entre personas. Los atacantes entienden esto mejor que la mayoría de los defensores, por eso una vulnerabilidad en el webmail o una sola credencial robada puede dar acceso a meses de material sensible de una sola vez. Una filtración de datos confirmada a través de una cuenta de correo comprometida —donde meses de contenido sensible se han acumulado sin una política de retención gobernada— crea un alcance de notificación que ninguna organización puede delimitar con precisión hasta reconstruir todo el historial de acceso.

La advertencia de Zimbra añade una segunda dimensión: la propia aplicación de webmail se convierte en la superficie de ataque, no solo la persona que lee los mensajes. Una vulnerabilidad de cross-site scripting no requiere que el usuario haga clic en algo malicioso en el sentido tradicional del phishing. Explota la confianza que el navegador deposita en el propio código de la plataforma de webmail. Eso traslada parte de la carga defensiva de la formación del usuario a cómo la plataforma de correo filtra, aísla y audita el contenido, tanto el almacenado como el que circula.

Dónde cambia la exposición un enfoque de correo electrónico seguro y gobernado

Ni las víctimas de Zimbra ni Bank of Baroda operaban un entorno de correo electrónico seguro de Kiteworks, por lo que sería inexacto decir que Kiteworks habría detenido cualquiera de los incidentes de forma directa. Lo que sí es justo decir es que los mecanismos descritos en ambas advertencias, contenido suministrado por el atacante ejecutándose dentro de la plataforma de webmail y un buzón comprometido que se convierte en canal para archivos empresariales sensibles, están directamente en el espacio de problemas que el correo electrónico seguro gobernado y la arquitectura de confianza cero buscan reducir.

El Kiteworks Email Protection Gateway (EPG) funciona sobre un Motor de Políticas de Datos que aplica automáticamente cifrado, enrutamiento, cuarentena y rechazo en cada mensaje entrante y saliente según el contenido de los datos, remitente y destinatario, y etiquetas de clasificación, sin que la persona que envía o recibe el correo tenga que hacer nada. Además, escanea los mensajes entrantes y redirige los datos probablemente sensibles, como CUI de un contratista de defensa, fuera del buzón estándar y hacia una ruta conforme, y cada decisión queda registrada en un registro de auditoría unificado e inmutable. Aplicado al escenario de Zimbra, esa capa de políticas se sitúa delante del flujo de correo, no dentro del motor de renderizado del cliente de webmail, lo que reduce la exposición a ataques que dependen de que la aplicación de webmail ejecute contenido que no debería confiar. En el caso de Bank of Baroda, la capacidad más relevante es tratar archivos sensibles, tasaciones de préstamos, informes de auditoría y registros de clientes como contenido gobernado, enrutado y registrado por política, en lugar de adjuntos ad hoc almacenados donde sea que un buzón individual los guarde. Las políticas de minimización de datos aplicadas en la capa de gateway de correo —eliminando automáticamente adjuntos y contenido sensible que exceda los periodos de retención definidos— reducen el volumen de material recuperable disponible para un atacante que comprometa un buzón, limitando directamente el alcance del daño que ambos incidentes ilustran.

Estos límites importan, porque exagerar la capacidad del proveedor tras una brecha es un hábito común y poco útil en el marketing de seguridad. EPG no parchea el código fuente de un proveedor de webmail de terceros, y no puede eliminar todas las vulnerabilidades a nivel de aplicación en una plataforma que protege. Su efectividad depende en gran medida de cómo una organización configure sus políticas, etiquetas de clasificación y reglas de retención; un gateway mal configurado ofrece solo una fracción de su protección potencial. El enfoque honesto es reducción de exposición y un alcance de daño más limitado, no inmunidad. Lo mismo aplica al caso Baroda: una relación directa entre «cuenta de correo de empleado comprometida» y «correo electrónico seguro gobernado cierra esa brecha» es una inferencia razonable a partir de lo que el banco ha revelado, no la confirmación de una cadena de explotación técnica específica, porque el banco no ha publicado una.

Construyendo una postura de confianza cero alrededor del contenido de correo electrónico

La lección práctica de ambos incidentes es que el correo electrónico debe tratarse como un sistema de contenido con el mismo rigor que se aplica a un servidor de archivos o una base de datos, no como una herramienta de comunicación que simplemente transporta adjuntos.

Escanea antes de la entrega, no después de descubrir la brecha. El exploit de Zimbra se ejecutó dentro de la propia sesión de webmail, por lo que una capa de escaneo situada antes de la entrega del mensaje, en lugar de depender solo del ciclo de parches del proveedor de webmail, reduce la ventana en la que el contenido malicioso puede ejecutarse.

Los archivos sensibles tampoco deberían residir de forma permanente en los buzones individuales. Las tasaciones de préstamos, informes de auditoría y documentos de sucursal de Bank of Baroda supuestamente estaban o eran accesibles a través del buzón de un solo empleado. La clasificación de datos y el uso compartido seguro de archivos gobernado dan a ese contenido su propio límite de acceso, independiente de lo que ocurra con las credenciales de una persona. Un marco de gobernanza de datos que prohíba explícitamente el almacenamiento a largo plazo de registros empresariales sensibles en buzones individuales —y dirija esos registros a un entorno de uso compartido gobernado con controles de acceso por archivo— elimina el patrón de acumulación que convirtió ambos incidentes de robo de credenciales en exposición masiva de contenido.

Los tokens MFA y los códigos de aplicación merecen el mismo tratamiento que el contenido sensible en tránsito, no solo como artefactos de autenticación. La campaña de Zimbra apuntó específicamente a los códigos de aplicación recién creados que circulaban por correo electrónico. Eso significa que los defensores deben pensar en cómo se entregan y almacenan esos tokens, no solo en cómo se generan.

Y construye visibilidad de registro de auditoría en cada punto donde el contenido sensible toca el correo electrónico. Cuando ocurre un incidente, la línea de tiempo forense debe existir ya, no reconstruirse a partir de registros fragmentados después del hecho. La investigación forense en curso de Bank of Baroda, y el alcance aún no confirmado de lo filtrado, muestran lo mucho más difícil que se vuelve la respuesta a incidentes sin esa visibilidad desde el principio. Un plan de respuesta a incidentes documentado que incluya un procedimiento específico para el escenario «buzón de empleado comprometido con contenido sensible acumulado» —cubriendo revocación inmediata de acceso, extracción de registros de auditoría, evaluación de alcance y secuencia de notificación regulatoria— convierte este patrón de una improvisación post-brecha a una respuesta practicada y acotada en el tiempo.

Nada de esto es exótico. Es la expresión operativa de la protección de datos de confianza cero: verifica cada pieza de contenido que circula por correo electrónico, sin importar si se origina dentro o fuera de la organización, y no asumas que un buzón es seguro solo porque pertenece a un empleado de confianza.

Exposición regulatoria y sectorial más allá de estos dos incidentes

Los sectores mencionados en la advertencia de CISA —defensa, gobierno, energía, fuerzas del orden y educación— también están entre los más regulados en cuanto a cómo deben manejar contenido sensible. Las organizaciones sujetas al cumplimiento CMMC o que gestionan CUI enfrentan obligaciones específicas sobre cómo esa información controlada circula por los canales de comunicación, obligaciones que una plataforma de webmail vulnerable a ataques de ejecución de contenido dificulta cumplir. Instituciones financieras como Bank of Baroda operan bajo sus propias expectativas regulatorias sobre protección de datos y notificación de brechas, y un buzón de empleado comprometido que expone registros de préstamos y auditoría plantea exactamente el tipo de preguntas que los reguladores hacen después: qué controles de acceso existían, qué se registró y cuán rápido se identificó la exposición. Los programas de gestión de riesgos de la cadena de suministro para organizaciones en los sectores objetivo de la advertencia de CISA deben evaluar explícitamente si algún proveedor o socio intercambia CUI o datos financieros regulados a través de canales de correo electrónico no gobernados —la misma clase de vulnerabilidad que explotó LAUNDRY BEAR aplica igualmente a la cadena de suministro extendida de un contratista principal o una institución financiera.

Ninguna de estas advertencias es principalmente una historia de cumplimiento. Ambas son fallos de seguridad operativa, y las consecuencias regulatorias probablemente llegarán una vez concluyan las investigaciones. Aun así, recuerdan que los marcos regulatorios cada vez más asumen que las organizaciones pueden responder preguntas básicas sobre el contenido transmitido por correo electrónico: qué salió de la organización, cuándo y bajo qué acceso. Una plataforma construida alrededor del cumplimiento normativo y el intercambio de contenido gobernado existe para hacer que esas preguntas puedan responderse bajo demanda, no para reconstruirlas después. El CISO Dashboard ofrece la visibilidad en tiempo real sobre todos los canales de correo electrónico e intercambio de contenido que convierte esa capacidad de respuesta bajo demanda en algo operativo y no solo aspiracional.

Si quieres saber más sobre cómo reducir la exposición a través del correo electrónico con escaneo gobernado, control de acceso y visibilidad de auditoría, solicita una demo personalizada hoy.

Recursos adicionales

• Artículo del Blog Protege tu contenido sensible con seguridad de correo electrónico
• Artículo del Blog Breve: Cómo optimizar la gobernanza del correo electrónico, el cumplimiento y la protección de contenido
• Breve Amplía la visibilidad y automatiza la protección de todo el correo electrónico sensible
• Breve Mejora el correo electrónico seguro de Kiteworks con Email Protection Gateway (EPG)