Microsoft vuelve a estar en el centro de una alerta de seguridad después de que una campaña de phishing haya utilizado una función legítima de su sistema de autenticación para engañar a empleados de empresas. El ataque destaca porque no necesita que la víctima entregue directamente su contraseña: los delincuentes consiguen que sea la propia persona quien autorice, sin saberlo, una sesión iniciada por los atacantes.
De acuerdo con la información proporcionada a partir de datos de Kaspersky, el objetivo principal son cuentas corporativas cuyos usuarios utilizan servicios como correo electrónico, OneDrive y Teams. Una vez conseguido el acceso, los atacantes pueden consultar información de la empresa y utilizar la cuenta comprometida para intentar engañar a otras personas.
La situación deja una lección sencilla para usuarios y empresas: que una página sea oficial o que una solicitud aparezca dentro de un proceso legítimo de autenticación no significa necesariamente que la persona que inició ese proceso sea quien dice ser.
Cómo comienza el ataque contra los usuarios
La campaña comienza con un mensaje que aparenta proceder de un bufete de abogados. El correo incluye un archivo PDF protegido con contraseña, un recurso que puede hacer que el mensaje parezca relacionado con una comunicación profesional o confidencial.
Después de abrir el documento, la víctima encuentra una supuesta lista de archivos legales y una indicación para acceder a más información. El enlace lleva al usuario a través de una dirección legítima de Microsoft, aunque contiene elementos manipulados por los atacantes.
Posteriormente, la persona termina en una página diseñada para aparentar que está consultando documentos legales. Los atacantes utilizan además varios CAPTCHA como parte del recorrido, dificultando que los sistemas automáticos detecten rápidamente el contenido fraudulento.
Hasta ese momento, la víctima puede pensar que simplemente está siguiendo los pasos necesarios para consultar un documento. Sin embargo, el siguiente paso es el que permite a los delincuentes obtener el acceso.
Microsoft Authenticator se convierte en parte de la trampa
La campaña aprovecha un sistema de autenticación pensado originalmente para facilitar el inicio de sesión en dispositivos donde introducir una contraseña resulta complicado.
En términos sencillos, el proceso funciona mediante un código. Una persona puede comenzar una sesión en un dispositivo y utilizar otro equipo para introducir ese código y completar la autorización.
El problema aparece cuando el proceso lo inicia realmente el atacante.
En este caso, los delincuentes generan previamente un código desde su propio dispositivo. Después presentan ese código a la víctima dentro de la página falsa y la convencen de que debe introducirlo para continuar.
Cuando el empleado copia el código y lo introduce en la página oficial de autenticación de Microsoft, puede creer que está verificando su propia identidad. En realidad, está aprobando la sesión que el atacante comenzó desde otro dispositivo.
Ese detalle hace que el engaño sea especialmente peligroso. La víctima puede encontrarse con una página legítima y completar correctamente los pasos que le solicita el sistema, pero la persona que termina obteniendo el acceso es el ciberdelincuente.
El problema no es solamente la contraseña
Una de las características más importantes de este ataque es que la contraseña de la víctima puede no haber sido robada.
El atacante busca obtener elementos digitales que permiten mantener una sesión autorizada después de que el usuario complete el proceso de autenticación. De esta manera, la cuenta puede quedar disponible para el delincuente aunque la contraseña original continúe siendo desconocida.
Para un usuario común, la diferencia puede ser difícil de identificar. Si la autenticación multifactor se completa correctamente, puede parecer que todo salió bien. Sin embargo, el problema está en quién inició realmente la solicitud.
Por eso, una regla sencilla resulta especialmente útil: si tú no comenzaste un inicio de sesión, no debes introducir ningún código de autenticación que recibas de manera inesperada.
No importa si el mensaje parece profesional, si utiliza el nombre de una empresa conocida o si posteriormente aparece una página oficial de Microsoft. La pregunta principal siempre debe ser quién inició el proceso.
Qué pueden hacer los atacantes después
Una vez que consiguen acceder a una cuenta corporativa, los ciberdelincuentes pueden aprovechar diferentes servicios asociados a ella.
Entre las acciones descritas se encuentra la posibilidad de leer y enviar correos electrónicos, acceder a documentos almacenados en OneDrive y consultar conversaciones internas de Teams.
Esto puede convertir una cuenta comprometida en algo más que un problema individual. El atacante puede utilizar la identidad del empleado para enviar nuevos mensajes fraudulentos a compañeros de trabajo, clientes o proveedores.
Por ejemplo, si una persona recibe un correo desde la cuenta real de un compañero, puede confiar más fácilmente en el mensaje. El delincuente puede aprovechar esa confianza para continuar el fraude y ampliar el número de cuentas afectadas.
Así, un solo acceso puede convertirse en el punto de partida para una cadena de ataques dentro de una organización.
Microsoft obliga a mirar con más cuidado la autenticación
La campaña también muestra por qué la autenticación multifactor no debe entenderse como una protección que elimina todos los riesgos.
El objetivo de estos sistemas es mejorar la seguridad y dificultar que alguien acceda a una cuenta utilizando únicamente una contraseña. Pero si el usuario es engañado para aprobar una solicitud que no inició, el sistema puede terminar siendo utilizado en su contra.
En este caso, Microsoft aparece dentro del flujo legítimo de autenticación, pero el problema se encuentra en el contexto que rodea la solicitud.
Para los usuarios, esto significa que ya no basta con fijarse únicamente en si una página tiene el aspecto correcto. También es necesario preguntarse qué acción se está aprobando y por qué apareció.
Si alguien recibe un código sin haber intentado iniciar sesión, esa solicitud debe considerarse sospechosa.
Cómo proteger una cuenta frente a este fraude
La primera recomendación es sencilla: no introducir códigos de autenticación cuando no se haya iniciado personalmente el proceso de acceso. Esta medida puede evitar que un usuario autorice accidentalmente una sesión controlada por otra persona.
También conviene verificar cualquier comunicación inesperada utilizando un canal diferente. Si un supuesto bufete, cliente, proveedor o compañero envía un documento que requiere seguir pasos poco habituales, es recomendable confirmar directamente con el remitente que el mensaje es auténtico.
Los archivos protegidos con contraseña tampoco deben considerarse automáticamente seguros. Una contraseña dentro de un PDF puede formar parte de una estrategia para hacer que un mensaje fraudulento parezca más profesional.
En las empresas, además, los responsables de seguridad pueden revisar si realmente necesitan utilizar los métodos de inicio de sesión mediante códigos de dispositivo. Si una organización no necesita esta función para su actividad cotidiana, puede evaluar su desactivación y supervisar las sesiones y accesos que se produzcan en las cuentas.
También resulta útil prestar atención a comportamientos extraños después de una autenticación. Mensajes enviados sin conocimiento del usuario, accesos desde ubicaciones inesperadas o actividad poco habitual pueden ser señales de que una cuenta ha sido comprometida.
Una regla sencilla puede evitar un problema mayor
El caso demuestra que muchos ataques modernos no dependen únicamente de encontrar una contraseña débil. También buscan convencer a una persona para que realice voluntariamente una acción que beneficia al atacante.
Por eso, ante una solicitud inesperada de autenticación, detenerse unos segundos puede ser suficiente para detectar el problema. Si no se inició ningún inicio de sesión, no hay razón para introducir un código.
Para las empresas, la protección debe ir un paso más allá. Los controles de acceso, la supervisión de las sesiones y la revisión de los métodos de autenticación pueden reducir las posibilidades de que una cuenta comprometida termine afectando a toda la organización.
La campaña también recuerda que servicios como el correo, OneDrive y Teams pueden concentrar una gran cantidad de información empresarial. Proteger la cuenta que permite acceder a ellos es, por tanto, una parte fundamental de la seguridad digital cotidiana.
El nombre de Microsoft puede aparecer dentro de una página legítima y el proceso de autenticación puede funcionar correctamente, pero eso no significa que la solicitud haya sido iniciada por el usuario. La mejor defensa sigue siendo comprobar qué se está autorizando antes de aceptar cualquier acceso inesperado.
TE PODRÍA INTERESAR