Investigadores de ciberseguridad han revelado una campaña activa contra Microsoft 365 que ha comprometido 97 cuentas en 79 organizaciones. Los atacantes utilizaron ataques de replay de tokens para suplantar sesiones de inicio de sesión válidas, logrando 497 accesos exitosos de más de 200,000 intentos de conexión. Esta campaña ha estado activa entre julio y septiembre de 2026, demostrando una persistencia y escala significativas.
La técnica central de este ataque es el uso de un adversary-in-the-middle (AitM) o intermediario malicioso. Este AitM intercepta las sesiones de inicio de sesión de Microsoft 365, capturando no solo las credenciales de usuario y los códigos de autenticación multifactor (MFA), sino también el token de acceso emitido por Microsoft. Una vez obtenido, este “token de prueba de inicio de sesión” es retransmitido por los atacantes desde sus propios dispositivos en cuestión de minutos. Este método, denominado “token spraying” o “pulverización de tokens”, permite a los atacantes eludir la necesidad de volver a sortear el MFA.
Para mantener el acceso, los atacantes implementaron varias tácticas de persistencia. Una de ellas fue añadir su propia aplicación de autenticación multifactor, a menudo con nombres genéricos como “iPhone 13”, en menos de una hora tras el secuestro de la sesión inicial. Además, registraron al menos 48 dispositivos falsos en los directorios de Entra ID de las organizaciones víctimas, lo que les proporciona una forma más duradera de solicitar nuevos tokens. También se detectó la creación de reglas de correo electrónico ocultas con nombres crípticos (ej., “.”, “sss”) para eliminar o mover mensajes con palabras clave específicas (nómina, depósito, bonificación) o incluso para enviar spam masivo.
Los tokens utilizados en estos ataques provienen de diversas fuentes, incluyendo los relays AitM detrás de páginas de inicio de sesión falsas, técnicas de phishing con códigos de dispositivo y engaños de ingeniería social durante procesos de login legítimos. Las organizaciones que sospechen haber sido comprometidas deben revocar las sesiones y restablecer las contraseñas, auditar los dispositivos registrados en Entra ID, revisar los métodos MFA activos, buscar reglas de buzón inesperadas o nuevas aplicaciones empresariales, y restringir los flujos de trabajo de códigos de dispositivo con políticas de Acceso Condicional (CAP). Se recomienda configurar CAP para exigir MFA (o bloquear) a todos los usuarios, todas las aplicaciones en la nube y todos los tipos de aplicaciones cliente sin excepción.
Qué significa para tu empresa: Este tipo de ataque sofisticado, que evade el MFA inicial para establecer persistencia, resalta la necesidad de una vigilancia constante sobre el entorno de Microsoft 365. La detección temprana de actividades anómalas, como registros de dispositivos no autorizados o la creación de reglas de correo maliciosas, es crucial. Un SOC con monitoreo 24/7 es indispensable para identificar y responder proactivamente a estos indicadores de compromiso, garantizando que cualquier intento de persistencia o escalada del ataque sea neutralizado antes de que cause un daño mayor.
Fuente original: The Hacker News — ver artículo →