Índice de contenidos
Claves de la noticia
- Los atacantes llaman o escriben como supuesto soporte y usan la activación de passkeys, MFA o SSO como pretexto.
- La campaña combina phishing adversary-in-the-middle y autorización por código de dispositivo.
- Tras entrar, registra un método de autenticación, explora Microsoft Graph y extrae datos de correo, OneDrive y SharePoint.
Microsoft ha documentado una campaña de ingeniería social que utiliza la seguridad como señuelo. Desde mayo, grupos vinculados a extorsión llaman o envían mensajes a empleados fingiendo ser el servicio técnico y les piden completar una migración de passkeys, autenticación multifactor o inicio de sesión único. El proceso termina entregando al atacante una sesión válida o la posibilidad de registrar un nuevo método de acceso.
Una historia creíble para una acción peligrosa
La popularidad de las passkeys ayuda al engaño: muchas empresas están cambiando su autenticación y los usuarios esperan instrucciones nuevas. El falso técnico aprovecha esa expectativa y añade urgencia. La víctima no cree que esté revelando una contraseña; piensa que está reforzando su cuenta.
Esta campaña no demuestra que la criptografía de las passkeys esté rota. El atacante manipula el proceso de alta o autorización alrededor de la credencial. Es una diferencia fundamental: sustituir contraseñas reduce ciertos ataques, pero no elimina llamadas convincentes ni aprobaciones realizadas en el contexto equivocado.
Dos rutas hacia la misma sesión
Microsoft observa técnicas adversary-in-the-middle, en las que una página intermedia retransmite la autenticación y captura la sesión, y flujos de código de dispositivo, diseñados originalmente para equipos con entrada limitada. Si la víctima introduce un código proporcionado por el atacante y aprueba el acceso, el servicio puede emitir un token legítimo para la aplicación equivocada.
Después, el intruso registra métodos de autenticación o persistencia cuando los permisos lo permiten. Esa acción convierte un acceso inicial breve en una puerta que puede sobrevivir a un cambio de contraseña. Revisar solo credenciales tradicionales deja intacta parte del compromiso.
Microsoft Graph convierte una cuenta en un mapa
Con una sesión válida, los grupos consultan Microsoft Graph para identificar usuario, organización, archivos y relaciones. Luego acceden a Exchange, OneDrive y SharePoint mediante interfaces normales. El tráfico puede parecer el de una aplicación autorizada y eludir defensas centradas en malware.
Microsoft describe extracciones moderadas, normalmente por debajo de mil archivos o mensajes por hora, sostenidas durante horas o días. Ese ritmo evita picos obvios y muestra por qué las alertas deben combinar volumen, ubicación, aplicación, tipo de archivo y comportamiento histórico.
Grupos con objetivos de extorsión
La investigación vincula actividad identificada como Storm-3121 con el entorno de ShinyHunters y Falcon, y Storm-3032 con Helix. Estas asociaciones reflejan el conocimiento de Microsoft en el momento del informe y pueden evolucionar. El objetivo operativo es más útil que la etiqueta: obtener datos empresariales para presión, fraude o extorsión.
Los defensores deben buscar altas recientes de métodos, consentimientos de aplicaciones, códigos de dispositivo y descargas repartidas. También conviene establecer un canal conocido para soporte y una regla simple: el equipo técnico no solicita códigos inesperados durante una llamada iniciada por él.
Cómo conservar la ventaja de las passkeys
Las organizaciones pueden restringir flujos de código de dispositivo, exigir dispositivos gestionados, aplicar acceso condicional y proteger el registro de nuevos factores. Las alertas de riesgo deben provocar verificación fuera del canal original. Formar a la plantilla con ejemplos de la secuencia es más útil que repetir que no pulse enlaces.
Si existe sospecha, hay que revocar sesiones y tokens, revisar métodos añadidos, retirar consentimientos maliciosos y analizar los repositorios accedidos. Cambiar la contraseña puede formar parte de la respuesta, pero no basta. La campaña recuerda que una autenticación resistente al phishing funciona mejor cuando también lo son su activación, recuperación y soporte.
Un simulacro centrado en el proceso
Las campañas de concienciación suelen enseñar a detectar dominios extraños, pero aquí parte del flujo puede terminar en páginas legítimas. Un ejercicio útil debe representar la llamada, el código y la pantalla de consentimiento, y comprobar si la persona interrumpe el proceso para contactar con soporte mediante un número conocido. El objetivo no es avergonzar a quien cae, sino encontrar pasos ambiguos.
Los equipos de identidad pueden reforzar el diseño reduciendo quién puede registrar factores, bloqueando autenticación desde dispositivos no gestionados y exigiendo aprobación adicional para aplicaciones sensibles. Las políticas deben probarse con cuentas de emergencia y personal remoto para no crear atajos informales que después aprovechen los atacantes.
Finalmente, la telemetría necesita un propietario. Una alerta de nuevo método, ubicación imposible o descarga inusual pierde valor si nadie la revisa a tiempo. Definir severidad, guardias y acciones automáticas permite revocar una sesión antes de que una extracción lenta acumule miles de documentos. Un registro de la respuesta permite mejorar el siguiente ejercicio y medir cuánto tarda realmente la contención.
Una defensa por capas
El usuario necesita un canal seguro para verificar llamadas.
La identidad debe limitar altas y consentimientos.
La telemetría tiene que detectar sesiones extrañas.
La respuesta debe revocar tokens y revisar datos.
Cada incidente debe mejorar el diseño del proceso.
