El informe que todo founder tech debería leer: Google Safe Browsing falló en el 84% de los casos
En febrero de 2026, Norn Labs publicó el Huginn Report, un análisis mensual sobre el desempeño de las principales herramientas de seguridad web frente a sitios de phishing activos. El hallazgo más alarmante: Google Safe Browsing no detectó el 84% de los sitios de phishing identificados por su sistema de monitoreo. Para cualquier founder que gestiona datos de usuarios, transacciones o credenciales, esto no es una estadística menor; es una señal de alerta operacional.
En un ecosistema donde las startups tecnológicas manejan información crítica de clientes —desde SaaS B2B hasta plataformas de criptomonedas— depender exclusivamente de las listas de bloqueo tradicionales puede ser una decisión costosa. Este artículo desglosa qué pasó, por qué importa y qué pueden hacer los equipos técnicos hoy mismo.
¿Qué es el sistema Huginn y Muninn de Norn Labs?
Norn Labs desarrolló un sistema de monitoreo continuo de amenazas bautizado con nombres de la mitología nórdica: Huginn (el cuervo del pensamiento) y Muninn (el cuervo de la memoria). Juntos, estos sistemas rastrean dominios maliciosos activos en tiempo real, identifican patrones de ataque emergentes y cruzan información contra las bases de datos de los principales proveedores de seguridad, incluyendo Google Safe Browsing.
El enfoque de Muninn combina análisis de infraestructura de dominios, fingerprinting de páginas de phishing y correlación de campañas activas, lo que le permite detectar sitios maliciosos antes de que sean indexados en listas de bloqueo convencionales. Esta ventana de tiempo —conocida como el período de zero-day phishing— es precisamente donde las herramientas reactivas como Safe Browsing muestran sus mayores brechas.
¿Por qué Google Safe Browsing tiene tan alto porcentaje de error?
La respuesta está en la naturaleza misma del phishing moderno. Los atacantes han perfeccionado técnicas para evadir sistemas de detección basados en listas reactivas:
- Vida útil ultra corta: El promedio de un sitio de phishing activo es de menos de 12 horas. Para cuando es reportado, analizado y añadido a una lista negra, ya cumplió su objetivo.
- Infraestructura legítima: El 43% de las campañas de phishing utiliza enlaces de servicios cloud legítimos (Google Drive, OneDrive, AWS) para evadir filtros.
- Evasión por redirección: Se emplean URL shorteners, Google Translate, y open-redirects de dominios confiables para disfrazar el destino final.
- Progressive Web Apps (PWA): Una técnica emergente donde sitios falsos que imitan portales de seguridad de Google recopilan credenciales y códigos MFA en tiempo real mediante ataques adversary-in-the-middle.
Tras las mejoras de IA implementadas por Google en julio de 2024, Safe Browsing mejoró su tasa de detección a un 87.3% en sitios genéricos y 85.94% en dominios lookalike. Sin embargo, el reporte de Norn Labs evidencia que en el contexto de campañas activas y coordinadas —especialmente las dirigidas a usuarios de criptomonedas y entornos SaaS— la brecha sigue siendo crítica.
Las plataformas más usadas para lanzar ataques de phishing en 2026
Un dato que debería preocupar a cualquier equipo de producto: los atacantes no construyen infraestructura desde cero. Explotan la confianza que los usuarios depositan en plataformas legítimas:
- Servicios cloud populares como Google Drive, Dropbox y SharePoint como vectores de entrega de archivos maliciosos.
- Formularios de OAuth falsos que imitan flujos de autenticación reales para robar tokens de acceso.
- Archivos .zip como vector principal: representan el 53% de los adjuntos maliciosos; los .htm el 20% y los .pdf el 7.5%.
- Campañas de quishing (QR code phishing) que representan aproximadamente el 25% de las campañas avanzadas registradas en 2025–2026.
Marcas y sectores más impersonados
El reporte de Norn Labs y múltiples fuentes de inteligencia de amenazas coinciden en que los sectores más atacados en el período analizado incluyen:
- Plataformas de criptomonedas y wallets digitales: objetivo prioritario por el valor inmediato de los activos robados.
- Herramientas SaaS B2B: suplantación de portales de login de servicios como Slack, Microsoft 365 y plataformas de gestión de proyectos.
- Portales bancarios y de pagos: especialmente en mercados LATAM con adopción creciente de banca digital.
- Google y servicios de seguridad falsos: sitios que imitan alertas de seguridad oficiales para robar credenciales y códigos de autenticación de dos factores.
Credential harvesting y técnicas de ataque sofisticadas
El credential harvesting (cosecha de credenciales) ha evolucionado significativamente. Las técnicas más relevantes documentadas en 2026 incluyen:
- Adversary-in-the-Middle (AiTM): El atacante se posiciona entre el usuario y el servicio legítimo, capturando credenciales y tokens de sesión en tiempo real, incluso cuando hay MFA activo.
- MFA phishing kits: Presentes en el 15% de los ataques documentados. Kits listos para usar que automatizan la captura de OTPs.
- Phishing generado por IA: Entre el 73% y el 90% de los correos de phishing actuales tienen contenido generado o asistido por IA. Su tasa de clics alcanza el 54%, frente al 12% de los correos escritos por humanos —una diferencia de 4.5x.
- Smishing y vishing en aumento: Crecimiento del 19% en ataques por SMS y 11% por llamadas telefónicas como vectores complementarios.
La brecha de detección: datos que no puedes ignorar
El panorama de detección en 2025–2026 revela una asimetría preocupante entre la velocidad de los atacantes y la de las herramientas defensivas tradicionales:
| Métrica | Dato |
|---|---|
| Vida útil promedio de un sitio de phishing | Menos de 12 horas |
| Detección de Google Safe Browsing post-IA (sitios genéricos) | 87.3% |
| Sitios detectados por Norn Labs no presentes en Safe Browsing (feb 2026) | 84% |
| Phishing con IA: tasa de clics vs. phishing humano | 54% vs. 12% (4.5x superior) |
| Campañas que usan infraestructura cloud legítima | 43% |
| Ataques de quishing (QR phishing) | ~25% de campañas avanzadas |
| Correos con contenido generado por IA | 73–90% |
¿Qué alternativas tienen los equipos técnicos hoy?
La buena noticia es que la industria de ciberseguridad está respondiendo. Estas son las capas de protección más efectivas que los equipos de startups pueden implementar:
1. Detección proactiva en capa DNS
Soluciones como Control D o Cloudflare Gateway bloquean dominios maliciosos incluso antes de que sean incluidos en listas negras, utilizando análisis de reputación en tiempo real y filtros por categorías de riesgo.
2. MFA resistente a phishing
Migrar hacia estándares FIDO2/WebAuthn (llaves de seguridad físicas o passkeys) es hoy la medida más efectiva contra ataques AiTM. A diferencia de los OTPs, estas credenciales no pueden ser interceptadas ni retransmitidas.
3. Sandboxing de enlaces y archivos
Implementar detonación de URLs en entornos aislados (sandbox) antes de que lleguen al usuario final. Herramientas como Microsoft Defender for Office 365 o soluciones open-source equivalentes ofrecen esta capa.
4. DMARC, DKIM y SPF correctamente configurados
Asegurar la autenticación del correo saliente protege tanto a tu empresa como a tus clientes de ser suplantados. El enforcement de DMARC es especialmente relevante para startups que gestionan comunicaciones transaccionales.
5. Bloqueo de dominios nuevos y entrenamiento continuo
Los dominios recién registrados representan una señal de riesgo alta. Combinar filtros de nuevos dominios con simulaciones de phishing regulares para el equipo puede reducir la tasa de clics hasta el rango del 1.5%–4.6%, con caídas documentadas del 86% en incidentes de seguridad.
Lo que esto significa para tu startup
Si construyes un producto que maneja datos sensibles de usuarios —y casi todos los hacemos— el Huginn Report de Norn Labs es un recordatorio de que la seguridad perimetral basada en listas reactivas no es suficiente en 2026. Los atacantes operan en ventanas de horas; las listas negras responden en días.
Para founders que operan en mercados LATAM, donde la adopción de servicios digitales crece más rápido que la cultura de ciberseguridad, esto representa tanto un riesgo como una oportunidad: construir productos con capas de protección nativas puede convertirse en un diferenciador competitivo real frente a usuarios cada vez más conscientes de su exposición digital.
La pregunta no es si tu plataforma será objetivo de phishing, sino cuándo. Y la respuesta operacional a esa pregunta define en parte la resiliencia de tu negocio.
Conclusión
El informe de Norn Labs para febrero de 2026 expone una verdad incómoda: Google Safe Browsing, siendo la herramienta de seguridad web más extendida del mundo, dejó pasar el 84% de los sitios de phishing activos detectados por sistemas más adaptativos. El phishing moderno, potenciado por IA, infraestructura legítima y técnicas como el credential harvesting y los ataques AiTM, supera con creces las capacidades de las defensas reactivas.
Para los equipos de producto y los founders que construyen sobre datos de usuarios, la respuesta no está en esperar que Google mejore sus listas, sino en adoptar una postura de seguridad en capas: DNS proactivo, MFA resistente a phishing, sandboxing, autenticación del correo y cultura de equipo. La ciberseguridad ya no es solo un problema del CTO; es una decisión estratégica del founder.
Profundiza estos temas con founders que ya implementan seguridad adaptativa en sus startups. Únete gratis a la comunidad de Ecosistema Startup.
Fuentes
- https://www.norn-labs.com/blog/huginn-report-feb-2026 (fuente original)
- https://www.brightdefense.com/resources/phishing-statistics/ (estadísticas de phishing 2026)
- https://hunto.ai/blog/phishing-attack-statistics/ (estadísticas de ataques de phishing con IA)
- https://controld.com/blog/phishing-statistics-industry-trends/ (tendencias globales de phishing 2023–2026)
- https://keepnetlabs.com/blog/top-phishing-statistics-and-trends-you-must-know (tendencias de phishing 2025–2026)
- https://www.cloudsek.com/knowledge-base/top-phishing-attack-trends (top tendencias de ataques de phishing 2026)
- https://darknetsearch.com/knowledge/news/en/google-fake-security-site-7-urgent-risks-revealed/ (ataques PWA y suplantación de Google)
