Microsoft 365 Token-Replay Attacks Compromise 97 Accounts at 79 Organizations

Los investigadores de Huntress observaron entre el 14 de julio y el 22 de septiembre de 2026 más de 200 000 intentos de inicio de sesión en Microsoft 365, de los cuales 497 fueron exitosos, logrando la toma de control de 97 cuentas en 79 organizaciones diferentes.

El ataque utilizó relés de tipo adversary‑in‑the‑middle (AiTM) que presentaban páginas de inicio falsas para capturar credenciales y códigos MFA, obteniendo así los tokens de acceso que luego fueron reproducidos a gran escala –técnica denominada “token spraying”. Además, los atacantes registraron 48 dispositivos falsos en los directorios Entra y crearon reglas ocultas en los buzones para eliminar o mover correos relacionados con nóminas, y en 19 organizaciones sustituyeron los métodos MFA existentes por nuevas aplicaciones autenticadoras en menos de tres horas.

Para mitigar la amenaza, Huntress recomienda revocar todas las sesiones activas, restablecer contraseñas, auditar los dispositivos Entra registrados, revisar y eliminar reglas de buzón desconocidas, y reforzar las políticas de Acceso Condicional exigiendo MFA (o bloqueo) para todos los usuarios, todas las aplicaciones en la nube y todos los tipos de cliente.

Qué significa para una pyme colombiana y cucuteña: Revise hoy mismo la consola de Microsoft Entra: revoque sesiones activas, cambie contraseñas y elimine dispositivos desconocidos; verifique que no existan reglas de correo ocultas y habilite políticas de Acceso Condicional que obliguen MFA para todos los usuarios y aplicaciones.