🔔 “El Phishing que Entra por Notificaciones”: La Amenaza que Está Rompiendo los Métodos Tradicionales de Seguridad
En los últimos días se ha documentado una técnica de ataque que está preocupando a toda la industria: Matrix Push C2, una plataforma de malware-as-a-service diseñada para lanzar ataques de phishing sin necesidad de descargar archivos (fileless), usando algo tan cotidiano como las notificaciones del navegador.
Sí, esas mismas notificaciones que usamos para alertas de correo, mensajes o actualizaciones… ahora se están volviendo un vector de ataque.
🧩 ¿Qué es Matrix Push C2 y cómo funciona realmente?
Matrix Push C2 es un sistema de comando y control (C2) que se aprovecha de una función legítima del navegador: el permiso para enviar notificaciones push.
Así es como los atacantes lo usan:
-
El usuario entra a un sitio comprometido o falso.
-
El sitio solicita “Permitir notificaciones”.
-
Si el usuario acepta, el atacante obtiene un canal de comunicación directo con el navegador.
-
A partir de ahí puede enviar notificaciones idénticas a las del sistema o a servicios populares.
-
Un clic en esas alertas envía a la víctima a:
-
páginas de phishing,
-
instaladores trojanizados,
-
o sitios que roban credenciales e información sensible.
-
Y lo más grave:
👉 No se descarga ningún archivo. No hay firmas. No hay EXEs sospechosos. Todo ocurre desde el navegador.
🎭 Ingeniería social en esteroides: notificaciones que imitan servicios reales
Matrix Push C2 incluye plantillas prearmadas para imitar a:
-
MetaMask
-
Netflix
-
Cloudflare
-
PayPal
-
TikTok
Esto permite lanzar engaños hiperrealistas como:
“⚠️ Tu cuenta requiere verificación urgente”
“🔐 Se detectó actividad sospechosa, revisa tu seguridad”
Para un usuario distraído—y honestamente, para más de un profesional TI en un mal día—es muy fácil caer.
☁️ Plataforma lista para usar: malware-as-a-service
El elemento más preocupante es que Matrix Push C2 no es un exploit técnico complejo reservado para grupos avanzados. Es una plataforma:
-
con panel web,
-
control de campañas,
-
estadísticas en tiempo real,
-
generador de enlaces acortados,
-
y recolección de información del navegador (incluyendo extensiones como monederos de criptomonedas).
En palabras simples:
cualquiera puede usarlo.
No necesitas ser un experto para lanzar una campaña de phishing profesional.
💻 Impacto multiplataforma: nadie se salva
Como los ataques van directo al navegador, afecta a prácticamente cualquier entorno:
-
Windows
-
macOS
-
Linux
-
Android
-
iOS
Si corre Chrome, Firefox, Edge, Brave o cualquier navegador moderno… es vulnerable.
🛡️ ¿Qué deben hacer los profesionistas de TI?
Aquí lo aterrizamos a tu día a día:
✔️ 1. Reforzar políticas internas de notificaciones
Recomienda a tus usuarios (y aplícalo tú también):
-
No aceptar notificaciones de sitios desconocidos.
-
Revocar permisos de sitios que no recuerdes haber aprobado.
-
Revisar el panel de permisos del navegador cada cierto tiempo.
Chrome:
Configuración → Privacidad → Configuración del sitio → Notificaciones
Firefox:
Preferencias → Privacidad y seguridad → Permisos → Notificaciones
✔️ 2. Capacitar a usuarios sobre alertas falsas
Que entiendan que un navegador no debe pedir actualizaciones desde notificaciones.
✔️ 3. Revisar extensiones instaladas y monederos
Matrix Push C2 recopila info sobre extensiones: si hay wallets o herramientas de desarrollo, el riesgo aumenta.
✔️ 4. Endurecer políticas de navegación corporativa
-
Bloqueo de dominios maliciosos
-
Filtros DNS
-
Navegación segura a través del firewall
-
Modo estricto de actualizaciones del navegador
✔️ 5. Monitorear actividades anómalas sin archivos
Como este ataque es fileless, los antivirus tradicionales no lo detectan.
Debes apoyarte en:
-
EDR
-
Monitoreo de comportamiento
-
Registros del navegador y eventos web
🔍 ¿Por qué importa tanto?
Porque este ataque cambia las reglas del juego:
-
No hay archivos que analizar.
-
No hay macros.
-
No hay descargas.
-
No hay ejecutables.
Los atacantes están usando funciones legítimas, y eso hace que sea mucho más difícil detectarlos.
Matrix Push C2 nos muestra hacia dónde evoluciona el phishing: más silencioso, más social y más difícil de bloquear.
📅 Contexto real y reciente
Este método fue documentado a inicios de noviembre de 2025 por la investigadora Brenda Robb de BlackFog
