Microsoft ha emitido una alerta sobre una creciente amenaza cibernética conocida como ‘Payroll Pirates’, orquestada por el grupo de atacantes Storm-2657. Este grupo se dedica a secuestrar cuentas de empleados en plataformas de software como servicio (SaaS) de recursos humanos, como Workday, con el objetivo final de desviar los pagos de salarios a cuentas controladas por los atacantes.

Storm-2657 se dirige activamente a organizaciones con sede en EE. UU., especialmente a empleados en sectores como la educación superior. La técnica principal utilizada es el phishing, diseñado para robar credenciales y códigos de autenticación multifactor (MFA) a través de ataques ‘adversario en el medio’ (AitM). Una vez comprometidas las cuentas de correo electrónico, los atacantes acceden a los perfiles de Workday mediante inicio de sesión único (SSO).

Para mantener su acceso y ocultar sus actividades, los atacantes crean reglas de bandeja de entrada para eliminar los correos electrónicos de notificación de Workday que alertarían sobre los cambios no autorizados en los perfiles. Además, inscriben sus propios números de teléfono como dispositivos MFA para las cuentas de las víctimas, asegurando así un acceso persistente.

Microsoft ha observado 11 cuentas comprometidas exitosamente en tres universidades desde marzo de 2025, que se utilizaron para enviar correos electrónicos de phishing a casi 6,000 cuentas de correo electrónico en 25 universidades. Los correos electrónicos fraudulentos suelen incluir señuelos relacionados con enfermedades o avisos de mala conducta en el campus, induciendo una falsa sensación de urgencia para engañar a los destinatarios.

Para mitigar el riesgo, se recomienda adoptar métodos de MFA resistentes al phishing, como las claves de seguridad FIDO2, y revisar las cuentas en busca de signos de actividad sospechosa, como dispositivos MFA desconocidos y reglas de bandeja de entrada maliciosas.

Silent Push, que ha estado rastreando la amenaza desde diciembre de 2024, señala que el grupo también se ha dirigido a industrias como tiendas de comestibles, gobiernos y organizaciones de seguros, que tienen un gran número de empleados susceptibles a ataques de phishing.

Recomendamos encarecidamente configurar notificaciones por correo electrónico adicionales y requisitos de 2FA para cualquier intento de cambiar detalles importantes dentro de un portal de RR.HH., incluyendo cambios en correos electrónicos y números de teléfono, y especialmente para cualquier cambio en la información bancaria utilizada para cobrar los cheques de pago. Las organizaciones que apoyan o defienden los portales de RR.HH. deben permanecer atentas a los ataques de Payroll Pirates que provienen de phishing por correo electrónico, publicidad maliciosa y campañas de ‘honeypot’ SEO.

Fuente original: Ver aquí