Unos ciberdelincuentes se hacen pasar por técnicos para entrar en cuentas de empresa y descargar información.
Varias bandas de extorsión emplean desde mayo de 2026 una campaña de ingeniería social contra entornos corporativos de Microsoft 365. Primero estudian la empresa mediante información pública y perfiles profesionales. Después se presentan como técnicos y apremian al empleado a actualizar una clave de acceso, la autenticación multifactor o el inicio de sesión único.
El reclamo encubre dos mecanismos distintos. En el primero, un portal intermediario reproduce la pantalla de Microsoft y captura tanto las credenciales como el token de sesión. En el segundo, la víctima introduce un código en el sitio legítimo de Microsoft y autoriza, sin saberlo, un cliente controlado por el atacante. Este obtiene así acceso a la cuenta y a las aplicaciones enlazadas sin afrontar otra comprobación multifactor.
Una vez validada la sesión, los intrusos cartografían el entorno mediante Microsoft Graph. Revisan identidades, privilegios, aplicaciones, autenticadores y documentos. También pueden registrar su propio teléfono o autenticador para conservar el acceso. Algunas de estas consultas son habituales por separado, pero su rapidez y su aparición conjunta las vuelven sospechosas.
La intrusión culmina con la extracción de correos, adjuntos y archivos de SharePoint y OneDrive. En vez de una descarga masiva, los atacantes dosifican la actividad durante horas o días para camuflarla entre el tráfico normal. Microsoft propone detectar la secuencia completa de señales. Ante un incidente, recomienda revocar sesiones y tokens, restablecer las credenciales y retirar los métodos añadidos. También aconseja verificaciones resistentes al phishing y restringir los recursos sensibles a dispositivos administrados.
Basado en: Lawrence Abrams, BleepingComputer