Microsoft alerta de una nueva oleada de ataques contra cuentas de Microsoft 365

Los ciberdelincuentes han encontrado una nueva forma de hacerse con cuentas corporativas de Microsoft 365: convencer a los empleados de que deben actualizar urgentemente sus sistemas de seguridad. El engaño gira en torno a las passkeys, la autenticación multifactor (MFA) y los sistemas de inicio de sesión único (SSO), tecnologías que precisamente están diseñadas para proteger las cuentas.

Según Microsoft, ciertos grupos de ciberdelincuentes están utilizando este método para entrar en redes empresariales y robar grandes cantidades de información almacenada en la nube.

El ataque suele comenzar con una llamada telefónica o un mensaje en el que el delincuente se hace pasar por un técnico del departamento de informática de la empresa. Con la excusa de evitar que el trabajador pierda el acceso a sus servicios, le pide que modifique alguna configuración de seguridad y le proporciona un enlace.

El problema es que ese enlace conduce a una página falsa que imita el aspecto de Microsoft. Si el empleado introduce allí sus datos, los atacantes pueden hacerse con las credenciales o incluso con la sesión ya iniciada.

Otra variante es cuando el atacante proporciona un código y pide a la víctima que lo introduzca en la página oficial de Microsoft. Al aprobar la solicitud, el delincuente puede conseguir un permiso de acceso sin necesidad de superar de nuevo la autenticación multifactor.

Una vez dentro, los atacantes no se limitan necesariamente a una cuenta. Si la empresa utiliza Microsoft 365 como puerta de entrada a otros servicios, el acceso comprometido puede abrirles camino hacia plataformas como Salesforce, Slack, Dropbox o Google Workspace.

Además, los delincuentes pueden añadir sus propios números de teléfono o aplicaciones de autenticación a la cuenta. Así consiguen mantener el acceso incluso después de que termine el engaño inicial.

El objetivo final puede ser mucho más amplio. Microsoft ha detectado robos masivos de archivos almacenados en SharePoint y OneDrive, además de accesos a correos electrónicos de Exchange Online. Para evitar levantar sospechas, los atacantes pueden repartir el robo durante horas o incluso varios días, en lugar de descargarlo todo de golpe.

Microsoft recomienda vigilar los inicios de sesión sospechosos seguidos de cambios en los métodos de autenticación. También aconseja utilizar sistemas de MFA resistentes al phishing, limitar el acceso a dispositivos gestionados y desactivar la autenticación mediante códigos de dispositivo cuando no sea necesaria.