Microsoft 365 accounts compromised at 79 organizations, no passwords needed

Microsoft y la firma de seguridad Huntress detectaron una campaña donde atacantes lograron acceder a cuentas de Microsoft 365 sin conocer las contraseñas. El método consistió en el robo de 'tokens de sesión' (códigos que mantienen la sesión abierta tras el inicio de sesión) mediante páginas de inicio de sesión falsas y ataques de tipo 'adversary-in-the-middle', que interceptan la comunicación entre el usuario y el servicio real.

La plataforma criminal, denominada EvilTokens, operaba mediante un modelo de suscripción con un costo inicial de 1.500 dólares y una mensualidad de 500 dólares. Su principal ventaja era el uso de un chatbot con inteligencia artificial capaz de analizar rápidamente los correos de las víctimas para identificar quiénes autorizaban pagos, quiénes eran los jefes y qué estrategias de engaño serían más efectivas para transferir dinero a cuentas de los delincuentes.

Una vez dentro de las cuentas, los atacantes utilizaban reglas de bandeja de entrada ocultas para borrar o mover correos importantes, evitando que los dueños notaran la intrusión. En algunos casos, incluso registraban nuevos dispositivos o métodos de autenticación (MFA) para mantener el acceso de forma permanente, incluso si el usuario cambiaba su contraseña.

Qué significa para una pyme colombiana y cucuteña: Si usted usa Microsoft 365, no basta con tener una contraseña segura o incluso con el segundo factor de autenticación (MFA) tradicional. Los atacantes están robando la 'sesión ya iniciada'. Para protegerse, debe revisar periódicamente en su panel de administración de Microsoft qué dispositivos extraños están registrados y, ante cualquier solicitud inusual de transferencia de dinero o cambio de datos bancarios por correo, verifique siempre por una llamada telefónica o un canal distinto al email.