Microsoft ha destapado dos campañas que, aunque diferentes en su ejecución, comparten un mismo objetivo: aprovecharse de la confianza de los empleados para acceder a lo que más valoran las empresas. La primera utilizó inteligencia artificial para suplantar a CEOs y desviar pagos millonarios.
La segunda empleó el miedo a perder el acceso a las cuentas para robar passkeys y secuestrar identidades en la nube. Juntas, dibujan un panorama en el que la ingeniería social ya no depende de errores humanos evidentes, sino de narrativas meticulosamente construidas que explotan los procesos internos de las organizaciones.
Un millón de correos en tres días: cuando la IA escribe en nombre de tu jefe
Entre el 3 y el 5 de agosto de 2026, los atacantes enviaron más de un millón de correos fraudulentos suplantando a directores ejecutivos de empresas objetivo. El objetivo era engañar a los departamentos de cuentas por pagar para que autorizaran transferencias ACH bajo la excusa de una supuesta suscripción anual a ServiceNow. La operación se dirigió principalmente a empresas estadounidenses de servicios informáticos, bienes de consumo, inmobiliarias y manufactura discreta.
Lo que distingue a esta campaña de los fraudes de facturas tradicionales es su sofisticación narrativa. Los atacantes no se limitaron a enviar una factura falsa. Construyeron una historia completa: registraron dominios de suplantación, incluyeron hilos de correo electrónico fabricados que simulaban conversaciones previas, adjuntaron facturas falsificadas y utilizaron los nombres y direcciones reales de CEOs, CFOs y presidentes de las empresas víctimas en las firmas para que el mensaje resultara convincente.
Microsoft señala que hay indicios claros del uso de inteligencia artificial generativa para crear las plantillas y los borradores de los correos, personalizados para cada destinatario. El resultado es una campaña que, en lugar de depender de un único señuelo, teje una red de elementos aparentemente legítimos —marca del proveedor, conversaciones de apoyo, aprobaciones simuladas— para reducir el escepticismo del receptor. Es la ingeniería social llevada a escala industrial, con la IA como herramienta de producción.
Passkeys: el señuelo perfecto para robar identidades en la nube
La segunda campaña es más sutil y, por ello, más peligrosa. Detectada desde mayo de 2026, se centra en la suplantación de identidad y el robo de credenciales en entornos cloud. El modus operandi comienza con una llamada telefónica o un mensaje al número personal del empleado. Al otro lado de la línea, alguien se presenta como miembro del servicio de asistencia técnica de la organización y urge a la víctima a actualizar su passkey, su autenticación multifactor (MFA) o su configuración de inicio de sesión único (SSO) para evitar interrupciones en el acceso.
El empleado, preocupado por perder el acceso a sus herramientas de trabajo, es redirigido a través de un SMS a un sitio web falso que imita la experiencia de inicio de sesión legítima de Microsoft.
El objetivo es guiarlo a través de flujos de autenticación de adversario en el medio (AitM) o de código de dispositivo para capturar sus credenciales o hacer que conceda acceso a los atacantes sin saberlo. En algunos casos, los atacantes aprovechan cuentas ya comprometidas para enviar mensajes similares a través de Microsoft Teams, ampliando su alcance dentro de la organización.
Microsoft ha identificado una infraestructura de dominios registrados específicamente para esta campaña, con nombres que giran en torno a temas de passkeys, inscripción en SSO, activación de cuentas y verificación de identidad. La pauta incluye el nombre de la empresa víctima como subdominio, lo que añade una capa de credibilidad a la estafa. Entre los dominios detectados figuran passkeyhelpdesk[.]com, secure-passkey[.]com, setupmypasskey[.]com, add-passkey[.]com, integratedsso[.]com y oktsession[.]com, entre otros.
De la brecha temporal al control persistente
Una vez que los atacantes logran el acceso inicial, su primer objetivo es transformar un compromiso temporal en un punto de apoyo persistente. En lugar de depender únicamente de credenciales robadas, registran un método de MFA bajo su control: un nuevo número de teléfono, una aplicación de autenticación o un token de contraseña de un solo uso (OTP) basado en software.
Esta segunda capa de autenticación controlada por el atacante les permite iniciar sesión en la cuenta corporativa de la víctima sin su participación y mantener el acceso continuado, combinándolo con sesiones no revocadas o credenciales válidas. Desde ahí, despliegan una serie de acciones que Microsoft describe como un manual de post-explotación:
- Reconocimiento interno exhaustivo mediante la API de Graph, inventariando usuarios, grupos, permisos, recursos y contenido accesible en todo el tenant.
- Inspección de roles y cuentas de alto valor para identificar oportunidades de escalada de privilegios.
- Enumeración de buzones de correo, carpetas y metadatos de archivos adjuntos para recopilar inteligencia.
- Acceso y descarga masiva de datos desde SharePoint Online, OneDrive for Business y, en algunos casos, Exchange Online.
- Exfiltración sostenida que puede durar desde varias horas hasta múltiples días, dependiendo del volumen de archivos y correos comprometidos.
- Rotación deliberada de infraestructura a lo largo del ciclo de ataque, utilizando direcciones IP separadas para autenticación, reconocimiento y exfiltración, dificultando la correlación de eventos.
Microsoft subraya que el abuso de Microsoft Graph rara vez parece sospechoso cuando se analiza una sola llamada a la API. Por eso insiste en la necesidad de evaluar la actividad de Graph de forma holística, prestando atención a la progresión del comportamiento y a la correlación entre eventos, en lugar de examinar solicitudes individuales de forma aislada.
La sombra de los colectivos criminales
El modus operandi de la campaña de passkeys coincide con el de un colectivo criminal difuso conocido por múltiples nombres en la comunidad de ciberseguridad: Cordial Spider, O-UNC-045, PREY-0058 y UNC6671. Se trata de un grupo coordinado de actores que operan varias marcas de extorsión pública y comparten infraestructura de phishing y objetivos.
Mandiant, propiedad de Google, ha señalado que UNC6671 utiliza paneles de recolección de credenciales alojados en dominios raíz genéricos que se hacen pasar por servicios relacionados con passkeys, añadiendo subdominios específicos de la víctima para facilitar campañas de voice phishing dirigidas. Aunque la naturaleza exacta de estas conexiones no está clara, se sospecha que responden a afiliados escindidos que conservan acceso a manuales de acceso inicial compartidos o que dependen de los mismos paneles de phishing comercializados, operadores de llamadas y infraestructura compartida.
Microsoft atribuye la actividad de acceso inicial observada en esta campaña a varios actores, incluyendo Storm-3121 y Storm-3032. Storm-3121 lleva a cabo actividades de acceso inicial que conducen a extorsión por parte de ShinyHunters y Falcon (también conocido como CL-CRI-1182). Storm-3032 es la designación de UNC6671, un conjunto de actores que se separaron del grupo BlackFile y ahora operan bajo la marca de extorsión Helix.
Tres patrones de ataque, una misma estrategia
Microsoft ha documentado al menos tres patrones de ataque distintos en esta campaña.
En el primero, los atacantes realizaron un inicio de sesión anómalo en Microsoft Office Home desde un dispositivo no gestionado para expandir su acceso a otras aplicaciones como SharePoint Online y OneDrive a través de la API de Graph, enumerando archivos sensibles y servicios internos.
En el segundo, utilizaron un señuelo de passkey para lanzar un ataque de phishing de código de dispositivo y tomar el control de la cuenta de la víctima sin necesidad de robar sus credenciales o cookies, eludiendo así las salvaguardas de MFA. En el tercero, emplearon credenciales comprometidas, probablemente obtenidas en un evento anterior, para registrar su propio método de autenticación basado en teléfono y eludir el MFA, dedicándose después a actividades de reconocimiento y post-explotación.
¿Qué deben hacer las organizaciones?
La divulgación de Microsoft deja varias lecciones para las organizaciones que operan en la nube. La primera es que la formación de los empleados debe ir más allá del clásico “no hagas clic en enlaces sospechosos”. Los atacantes están utilizando llamadas telefónicas, mensajes de texto y aplicaciones corporativas legítimas como Teams para construir confianza antes de lanzar el ataque. La segunda es que la MFA, por sí sola, no es suficiente. Si los atacantes pueden registrar su propio método de autenticación, la MFA se convierte en una puerta que ellos mismos pueden abrir.
Las recomendaciones de Microsoft incluyen:
- Revisar y restringir el registro de métodos de autenticación por parte de los usuarios, especialmente desde dispositivos no gestionados.
- Monitorizar la actividad de Graph de forma agregada, buscando patrones de reconocimiento masivo, descargas volumétricas y accesos a recursos sensibles.
- Implementar políticas de acceso condicional que requieran dispositivos gestionados y ubicaciones de confianza para operaciones sensibles.
- Auditar regularmente los métodos de MFA registrados y eliminar aquellos que no correspondan a dispositivos o números conocidos.
- Educar a los empleados sobre las tácticas de voice phishing y smishing, especialmente las que utilizan la urgencia y la supuesta pérdida de acceso como señuelo.
La confianza como vector de ataque
Las dos campañas documentadas por Microsoft comparten un mismo hilo conductor: la explotación de la confianza. En la primera, los atacantes se aprovechan de la autoridad de un CEO y de la familiaridad con un proveedor para que un empleado autorice un pago. En la segunda, se aprovechan del miedo a perder el acceso y de la credibilidad de un supuesto servicio de asistencia técnica para que el empleado entregue sus credenciales o registre un método de autenticación controlado por el atacante.
En ambos casos, la tecnología —la IA generativa, los paneles de phishing, la infraestructura de dominios falsos— es un medio, no un fin. El verdadero vector es la psicología humana. Y mientras las organizaciones sigan confiando en que sus empleados podrán distinguir lo legítimo de lo fraudulento en un entorno cada vez más saturado de mensajes, llamadas y notificaciones, los atacantes seguirán encontrando puertas abiertas. La defensa requiere no solo tecnología, sino también una cultura de seguridad que reconozca que la confianza, sin verificación, es el eslabón más débil de la cadena.
Descubre más desde CIBERED
Suscríbete y recibe las últimas entradas en tu correo electrónico.
