La página de acceso falsa nunca estuvo en internet. La construyó su navegador.

Casi todos los consejos contra el phishing dan por hecho que hay una página web mala en algún servidor. Bloquee la dirección y la estafa deja de funcionar. Una investigación que Barracuda publicó el 9 de septiembre retira en silencio ese supuesto.

El correo imita a Docusign y lleva adjunta una invitación de calendario. La invitación no hace absolutamente nada: está ahí para que el mensaje parezca correspondencia de trabajo normal. Hace clic y aterriza en Microsoft Teams, un servicio real de Microsoft en una dirección real de Microsoft, que a continuación carga contenido desde un servidor externo llamado cdn.bloom[.]io. Su navegador coge ese contenido y lo convierte en un blob URL: una página montada a partir de datos que ya están en memoria y que solo existe dentro de su copia de Chrome o de Edge. El formulario de acceso falso se construye en su propia máquina. No hay página que un escáner pueda descargar, no hay dominio que meter en una lista negra y no queda nada cuando cierra la pestaña. Por debajo, unos service workers y unos marcos ocultos informan de vuelta para que los operadores dirijan a cada víctima desde un único punto.

La técnica no es nueva del todo. Barracuda documentó el phishing basado en blob ya en 2024 contra clientes de Capital One y Chase, y contra clientes de Air Canada. Lo que ha cambiado es el rodeo por Teams, que hace que los primeros tramos del recorrido sean auténticamente de Microsoft.

Una señal sobrevive a todo esto. Cuando aparezca una página de acceso, lea la barra de direcciones. Un inicio de sesión real de Microsoft vive en login.microsoftonline.com. Un blob URL empieza por blob: seguido de una larga ristra sin sentido. Si ve eso encima de algo que le pide una contraseña, cierre la pestaña. Mejor todavía: no inicie sesión nunca desde un enlace, abra una pestaña nueva y escriba la dirección usted mismo. La comprobación de privacidad y cuentas de Tendvane muestra en qué cuentas está conectado su PC y cómo está protegida cada una, que es justo la lista que quiere tener delante en cuanto sospeche que una contraseña ha ido a parar donde no debía.