Unos ciberdelincuentes se hacen pasar por técnicos para entrar en cuentas de empresa y descargar información.
Una campaña detectada por Microsoft desde mayo de 2026 utiliza falsas alertas sobre claves de acceso para comprometer cuentas corporativas. Antes de actuar, los atacantes investigan a las empresas y a sus empleados en fuentes públicas. Después suplantan al equipo de soporte y afirman que es urgente actualizar una clave de acceso, la autenticación multifactor o el inicio de sesión único.
Los enlaces conducen a portales de phishing que imitan la pantalla de Microsoft. Sus dominios pueden incluir incluso el nombre de la empresa para parecer fiables. En esas páginas, los delincuentes interceptan las credenciales y los tokens de sesión.
También recurren al fraude del código de dispositivo. Convencen a la víctima para que escriba un código en una página legítima y, con esa acción, autorice una aplicación bajo su control. Así consiguen entrar sin que el usuario comprenda qué permiso acaba de conceder.
Tras el acceso, examinan en pocos minutos los permisos y servicios asociados a la identidad. Consultan usuarios, aplicaciones y métodos de autenticación, además de recorrer Outlook, SharePoint y OneDrive. En ocasiones añaden su propio teléfono o autenticador para mantener el acceso.
La última fase consiste en recopilar correos, adjuntos y documentos almacenados en la nube. Las descargas parecen automatizadas, pero se distribuyen durante horas o días para confundirse con el tráfico normal. Microsoft recomienda relacionar varias señales: un acceso anómalo, un nuevo método de verificación, una exploración rápida y una descarga posterior. También aconseja reservar los datos sensibles para dispositivos gestionados y desactivar el código de dispositivo cuando no sea necesario.
Basado en: Lawrence Abrams, BleepingComputer