Una campaña de robo y reutilización de tokens de acceso ha permitido a los ciberdelincuentes secuestrar cuentas de Microsoft 365, registrar dispositivos fraudulentos y manipular correos corporativos. Huntress documentó más de 200 000 intentos de inicio de sesión durante la operación.
El peligro no siempre está en una contraseña débil. En ocasiones, los atacantes consiguen algo mucho más valioso: una sesión de acceso que el propio sistema ya considera legítima.
Eso es lo que revela una campaña contra Microsoft 365 que ha afectado a 97 cuentas de 79 organizaciones, según los investigadores de ciberseguridad de Huntress. La operación, detectada entre el 14 de julio y el 22 de septiembre de 2026, recurrió al robo y la reutilización de tokens de autenticación para entrar en cuentas corporativas, mantener el acceso y alterar el funcionamiento de los buzones.
Los datos son especialmente preocupantes por la escala del intento: los investigadores registraron más de 200 000 intentos de inicio de sesión, de los que 497 fueron exitosos en las organizaciones afectadas. Además, identificaron 48 dispositivos fraudulentos registrados en directorios empresariales de Microsoft Entra.
La campaña demuestra que activar la autenticación multifactor (MFA) no basta por sí solo para garantizar la seguridad de una cuenta. Si los delincuentes consiguen robar una sesión válida, pueden aprovecharla antes de que la víctima o los sistemas de protección detecten la intrusión.
Qué ha ocurrido en el ataque contra Microsoft 365
La empresa de ciberseguridad Huntress documentó una campaña en la que los atacantes utilizaron tokens de autenticación sustraídos para acceder a servicios de Microsoft 365. En lugar de concentrarse en averiguar contraseñas, aprovecharon sesiones previamente autenticadas y automatizaron los intentos de acceso a distintas cuentas.
La técnica recibió el nombre de «token spraying», o rociado de tokens. Su funcionamiento recuerda al password spraying, una técnica en la que los delincuentes prueban una contraseña común contra numerosos usuarios. La diferencia es que, en este caso, el elemento reutilizado no es necesariamente una contraseña, sino un token que acredita que un usuario ha superado un proceso de autenticación.
Según el análisis de Huntress, los atacantes combinaron distintos métodos para obtener esos tokens, entre ellos páginas de inicio de sesión falsas, campañas de phishing mediante códigos de dispositivo y técnicas de ingeniería social.
Una vez conseguían material de autenticación válido, los delincuentes lo reproducían desde sus propios sistemas para intentar acceder a las cuentas de las organizaciones objetivo.
Cómo funciona el robo de tokens y por qué puede superar la MFA
Para comprender el alcance del ataque, conviene distinguir entre una contraseña y un token de autenticación.
Una contraseña es un secreto que el usuario introduce para demostrar su identidad. Un token de acceso o de sesión, por su parte, es una credencial digital que un servicio utiliza para reconocer que se ha completado un proceso de autenticación y autorizar determinadas operaciones.
Cuando el usuario inicia sesión, Microsoft puede emitir tokens que permiten acceder a los servicios autorizados sin exigir que vuelva a introducir su contraseña en cada interacción. Este mecanismo facilita el uso cotidiano de las aplicaciones, pero también convierte esos tokens en un objetivo de gran valor para los ciberdelincuentes.
La campaña descrita por Huntress explotó precisamente esa circunstancia.
1. Una página falsa se interpone entre el usuario y Microsoft
Los atacantes pueden utilizar una técnica conocida como adversario en el medio (AitM, por sus siglas en inglés). En este escenario, una página fraudulenta actúa como intermediaria entre la víctima y el servicio legítimo.
El usuario cree que está iniciando sesión en Microsoft. Sin embargo, la página maliciosa retransmite la interacción hacia la infraestructura auténtica y puede capturar información introducida durante el proceso, incluidos los datos de autenticación y los códigos de verificación multifactor.
No se trata simplemente de una web que recoge una contraseña y desaparece. En determinadas configuraciones, el intermediario puede observar el proceso de autenticación en tiempo real y obtener una sesión que ya ha superado los controles de seguridad.
2. Los delincuentes reutilizan la sesión robada
Una vez obtenido un token válido, el atacante intenta utilizarlo para acceder a los servicios de Microsoft 365 sin repetir necesariamente todo el proceso de autenticación.
La MFA puede haber funcionado correctamente durante el inicio de sesión original y, aun así, producirse una intrusión posterior si el delincuente consigue reutilizar una sesión autenticada.
Esto no significa que la autenticación multifactor sea inútil. Sigue siendo una barrera esencial frente al robo de contraseñas. El problema es que determinados métodos de MFA no impiden por sí solos el robo de sesiones, por lo que necesitan combinarse con otras medidas de protección.
3. El acceso se automatiza a gran escala
Los investigadores de Huntress rastrearon más de 200 000 intentos de inicio de sesión fallidos vinculados al rango de direcciones IP 193.26.115[.]0/24 durante el periodo investigado.
La automatización permite probar numerosos tokens contra diferentes cuentas y servicios. Aunque la mayoría de los intentos no prospere, una pequeña proporción de accesos exitosos puede ser suficiente para comprometer organizaciones enteras si las cuentas afectadas tienen permisos relevantes o gestionan información sensible.
Las cifras de Huntress: 97 cuentas comprometidas y 48 dispositivos fraudulentos
Los resultados publicados por Huntress permiten dimensionar la campaña, aunque conviene distinguir entre intentos, accesos exitosos y cuentas comprometidas.
| Indicador | Cifra comunicada |
|---|---|
| Periodo observado | 14 de julio-22 de septiembre de 2026 |
| Organizaciones afectadas | 79 |
| Cuentas comprometidas | 97 |
| Inicios de sesión exitosos registrados | 497 |
| Intentos fallidos vinculados a la campaña | Más de 200 000 |
| Dispositivos fraudulentos registrados | 48 |
Estas cifras no representan lo mismo. Los 497 inicios de sesión exitosos son eventos observados, mientras que las 97 cuentas comprometidas son cuentas afectadas. No deben interpretarse como 497 víctimas distintas.
Tampoco puede concluirse que todas las organizaciones sufrieran idénticas consecuencias. La información disponible describe patrones comunes de ataque, pero no establece que cada cuenta comprometida fuera utilizada para enviar spam, robar información financiera o modificar los métodos de autenticación.
La conclusión relevante es otra: los atacantes consiguieron combinar el robo de sesiones con mecanismos adicionales de persistencia, lo que aumentó sus posibilidades de conservar el acceso incluso cuando una víctima recuperaba parcialmente el control de su cuenta.
El siguiente paso de los atacantes: registrar sus propios métodos de autenticación
Robar un token puede abrir la puerta, pero su validez no es necesariamente permanente. Una sesión puede caducar, ser revocada o quedar bloqueada por los sistemas de protección.
Por eso, los atacantes observados por Huntress recurrieron a una estrategia adicional: registrar sus propios métodos de autenticación multifactor en las cuentas comprometidas.
En al menos 19 organizaciones, los métodos MFA legítimos de las víctimas fueron eliminados y se registró un método nuevo dentro de las tres horas posteriores al primer inicio de sesión.
Uno de los casos documentados resulta especialmente ilustrativo. El 21 de julio de 2026, los delincuentes activaron una nueva aplicación de autenticación identificada como «iPhone 13» menos de 51 minutos después de secuestrar una sesión.
El nombre de un dispositivo, por sí solo, no demuestra que sea fraudulento. En este caso, sin embargo, su registro formaba parte de una secuencia de actividad que los investigadores relacionaron con la intrusión.
Por qué registrar un dispositivo falso es tan peligroso
Microsoft Entra permite gestionar identidades, dispositivos y accesos dentro de las organizaciones. Si un atacante consigue registrar un dispositivo bajo su control, puede incorporar un elemento persistente al entorno de la víctima.
Según Huntress, los delincuentes registraron al menos 48 ordenadores fraudulentos en los directorios de las organizaciones afectadas.
Ese registro puede facilitar nuevas solicitudes de acceso y reducir la dependencia de la sesión robada inicialmente. Además, el dispositivo puede permanecer en el directorio hasta que un administrador lo detecte y lo elimine.
Por tanto, revocar una sesión no garantiza que el incidente esté resuelto. Si el atacante ha añadido métodos MFA, dispositivos o aplicaciones no autorizadas, la organización debe localizar y retirar también esos elementos.
Reglas ocultas para desviar o borrar correos electrónicos
El ataque no se limitó al acceso a las cuentas. Los investigadores también observaron reglas de bandeja de entrada diseñadas para ocultar mensajes o eliminar determinados correos.
Algunas reglas utilizaban nombres aparentemente aleatorios o poco descriptivos, entre ellos «.», «sss», «ss», «iT», «…….» y «d». La apariencia inofensiva de estas etiquetas puede dificultar su identificación durante una revisión superficial.
Las reglas detectadas actuaban sobre mensajes que contenían palabras relacionadas con nóminas, depósitos y bonificaciones salariales. En determinados casos, los mensajes se desplazaban a carpetas menos visibles, como Fuentes RSS o Historial de conversaciones.
Este comportamiento puede responder a un objetivo concreto: dificultar que el usuario descubra una conversación relevante mientras los atacantes mantienen el acceso al buzón.
El riesgo para nóminas, pagos y operaciones empresariales
Los correos sobre salarios, transferencias, depósitos o bonificaciones pueden contener información útil para preparar fraudes posteriores. Un delincuente que controla una cuenta corporativa puede estudiar conversaciones, hacerse pasar por un empleado o manipular comunicaciones relacionadas con pagos.
El escenario es especialmente delicado para departamentos financieros y de recursos humanos. Una modificación de las instrucciones de pago o una suplantación de identidad dentro de una conversación legítima puede resultar difícil de detectar si los interlocutores confían en el remitente.
En uno de los buzones analizados, una regla marcaba todos los mensajes entrantes como leídos y después los eliminaba. Posteriormente, esa cuenta se utilizó para enviar correo basura a cientos de destinatarios externos, hasta que Microsoft Entra ID Protection la calificó como de alto riesgo.
El caso ilustra cómo una cuenta comprometida puede convertirse en una plataforma para nuevas campañas de spam o suplantación, además de representar una amenaza para los datos de la organización original.
El origen de los tokens no se limita al phishing tradicional
Huntress indicó que los tokens utilizados en la campaña procedían de varias fuentes. Entre ellas figuran los sistemas AitM situados detrás de páginas de inicio de sesión falsas, el phishing mediante códigos de dispositivo y la ingeniería social durante procesos de autenticación legítimos.
Esta diversidad complica la defensa. Bloquear una página fraudulenta concreta no elimina necesariamente todas las vías por las que pueden robarse credenciales de sesión.
El phishing mediante códigos de dispositivo
El flujo de autenticación mediante código de dispositivo permite iniciar sesión en determinados escenarios introduciendo un código en otro dispositivo. Es un mecanismo legítimo, pero los delincuentes pueden intentar manipularlo para que una víctima autorice una sesión que no controla.
En una campaña de ingeniería social, el atacante puede convencer al usuario de que complete un proceso de inicio de sesión bajo una explicación engañosa. Si la víctima termina autorizando la sesión del delincuente, este puede obtener acceso sin necesidad de robar la contraseña de la manera tradicional.
Por eso, las organizaciones deben revisar si necesitan permitir este flujo de autenticación y establecer restricciones acordes con sus riesgos. La recomendación no consiste en bloquear indiscriminadamente todos los procesos legítimos, sino en evitar que un método innecesario o insuficientemente controlado se convierta en una vía de entrada.
La pista de la IP rumana y la infraestructura de alojamiento
La actividad se detectó inicialmente a partir de la dirección IP 193.26.115[.]221, situada en un rango rumano y señalada en la investigación como parte de la infraestructura utilizada en la campaña.
Según la información recogida por los investigadores y las referencias consultadas, la dirección está asociada a 1337 Services GmbH, un proveedor de alojamiento web alemán. El análisis citado también relaciona infraestructura del proveedor con servicios de servidores virtuales, entre ellos marcas como StarkRDP y rdp[.]sh.
Sin embargo, es esencial distinguir entre una dirección IP utilizada en una actividad maliciosa y la atribución de los delitos a una empresa concreta. La asociación de una IP con un proveedor de alojamiento no demuestra por sí sola que ese proveedor participara en los ataques ni que conociera su existencia. Los servidores alquilados pueden ser utilizados por terceros y una misma infraestructura puede albergar actividades diferentes.
Qué indican los datos de GreyNoise
Los datos citados de GreyNoise identificaban 29 direcciones IP asociadas al proveedor de alojamiento. De ellas, 10 aparecían clasificadas como maliciosas y cinco como sospechosas en la consulta referida por la investigación.
Estas categorías aportan contexto sobre la reputación observada de determinadas direcciones, pero no constituyen una prueba automática de que todas estén vinculadas a esta campaña de Microsoft 365.
La investigación también recuerda que dominios vinculados a StarkRDP y rdp[.]sh fueron objeto de actuaciones dentro de una operación policial internacional en enero de 2025. Según la información citada, las plataformas siguieron operando posteriormente bajo distintas circunstancias y una de ellas pasó a utilizar el nombre exy[.]sh.
En una publicación de Telegram del 30 de enero, atribuida a la cuenta de StarkRDP y recogida por el periodista especializado Brian Krebs, la plataforma sostuvo que había operado dentro de la legalidad y negó su participación en los supuestos delitos. Esa declaración debe entenderse como la posición de la propia entidad, no como una conclusión judicial sobre la campaña de 2026.
Con los datos disponibles no es posible atribuir de forma concluyente la operación a una persona, grupo o empresa concretos. La infraestructura técnica constituye una pista de investigación, no una prueba definitiva de autoría.
Microsoft Entra y la importancia de detectar cambios en las cuentas
La campaña pone de relieve la importancia de vigilar los cambios de configuración en Microsoft Entra, la plataforma de identidad y control de acceso de Microsoft.
Una organización puede tener políticas de contraseñas sólidas y exigir MFA a sus empleados, pero seguir expuesta si no detecta el registro de dispositivos desconocidos, la modificación de los métodos de autenticación o la creación de reglas sospechosas en los buzones.
Las señales que conviene revisar incluyen:
- Nuevos dispositivos registrados que no correspondan a equipos corporativos autorizados.
- Métodos MFA añadidos o modificados sin una solicitud legítima del usuario.
- Eliminación inesperada de métodos de autenticación existentes.
- Reglas de correo electrónico desconocidas, especialmente las que eliminan, marcan como leídos o desplazan mensajes.
- Inicios de sesión anómalos o repetidos desde direcciones IP y ubicaciones inusuales.
- Aplicaciones empresariales nuevas o permisos que no encajen con la actividad habitual.
- Envíos masivos de mensajes desde cuentas que normalmente no presentan ese comportamiento.
Ninguna de estas señales debe interpretarse de manera aislada como una prueba concluyente. Su valor aumenta cuando varias aparecen en una secuencia temporal coherente con un posible secuestro de sesión.
Cómo deben protegerse las empresas frente al robo de tokens
Huntress recomienda revisar las políticas de acceso condicional y aplicar controles de autenticación de forma consistente. Las políticas de acceso condicional (CAP) permiten establecer condiciones para autorizar o bloquear accesos según factores como el usuario, la aplicación, el dispositivo y el contexto de la solicitud.
La empresa de ciberseguridad subraya que estas políticas deben cubrir a todos los usuarios, aplicaciones en la nube y tipos de clientes pertinentes, sin dejar excepciones injustificadas.
Entre las medidas prioritarias figuran las siguientes:
1. Revocar las sesiones comprometidas
Si existen indicios de robo de tokens, los administradores deben revocar las sesiones afectadas y aplicar las medidas de contención disponibles en su entorno. También deben comprobar si persisten otros mecanismos de acceso.
Revocar una sesión es una medida de contención, no una garantía de erradicación completa. Es necesario comprobar si el atacante ha registrado dispositivos, añadido métodos MFA o creado aplicaciones y reglas de correo no autorizadas.
2. Restablecer las contraseñas y revisar la identidad
El restablecimiento de contraseña puede ser necesario, especialmente si existe sospecha de que las credenciales también fueron robadas. Debe acompañarse de una revisión de los métodos MFA y de los dispositivos registrados.
Si la cuenta tiene privilegios administrativos, la investigación debe priorizarla por el impacto potencial de su compromiso.
3. Auditar Microsoft Entra
Los administradores deben revisar los registros de inicio de sesión, los dispositivos añadidos y los cambios en los métodos de autenticación. También deben buscar aplicaciones empresariales nuevas o permisos concedidos sin autorización.
Los dispositivos fraudulentos identificados deben eliminarse cuando se confirme que no son legítimos, tras preservar las evidencias necesarias para investigar el incidente.
4. Inspeccionar las reglas de correo
Es necesario examinar las reglas de bandeja de entrada y otros mecanismos de reenvío o gestión de mensajes. Deben investigarse especialmente las reglas que borran mensajes, los mueven a carpetas poco utilizadas o afectan a palabras relacionadas con pagos y nóminas.
La revisión también debe comprobar si la cuenta envió mensajes externos que puedan requerir una respuesta adicional.
5. Limitar los flujos de autenticación de riesgo
Las organizaciones deberían evaluar si necesitan permitir la autenticación mediante código de dispositivo y aplicar restricciones mediante acceso condicional cuando sea posible.
Además, conviene revisar las excepciones de las políticas de seguridad. Una política robusta pierde eficacia si deja fuera aplicaciones, usuarios o tipos de acceso que los atacantes pueden aprovechar.
6. Reforzar la formación contra la ingeniería social
Los empleados deben aprender a reconocer páginas de inicio de sesión sospechosas, solicitudes inesperadas de códigos y procesos de autenticación que no hayan iniciado ellos mismos.
La formación es más eficaz cuando se acompaña de procedimientos claros para comunicar incidentes y de herramientas técnicas que reduzcan la dependencia de la atención individual.
¿Qué deben hacer los usuarios si sospechan que su cuenta está comprometida?
Los empleados que detecten un inicio de sesión desconocido, un nuevo método de autenticación que no hayan configurado o reglas extrañas en el correo deben comunicarlo inmediatamente al equipo de TI o de seguridad.
Si la cuenta es corporativa, es preferible que el equipo responsable coordine la revocación de sesiones, el restablecimiento de credenciales y la investigación. La actuación desde un dispositivo que también pudiera estar comprometido puede dificultar la recuperación segura.
Las prioridades son:
- Avisar al equipo de seguridad y conservar la información disponible sobre el incidente.
- Revocar las sesiones afectadas y cambiar las credenciales cuando proceda.
- Revisar y retirar los métodos MFA, dispositivos y aplicaciones no autorizados.
- Eliminar las reglas maliciosas de correo y comprobar si se han enviado mensajes fraudulentos.
- Investigar los accesos y evaluar si se ha expuesto información confidencial.
- Reforzar las políticas de acceso condicional y vigilar nuevos intentos de intrusión.
En organizaciones que gestionan datos sensibles o información financiera, también puede ser necesario activar los procedimientos internos de respuesta a incidentes y valorar las obligaciones legales de notificación que correspondan.
Una advertencia para las empresas: la MFA debe formar parte de una defensa más amplia
El caso documentado por Huntress demuestra que los atacantes no necesitan limitarse a romper contraseñas. Pueden intentar capturar una sesión legítima, reutilizarla y modificar la configuración de la cuenta para conservar el acceso.
La autenticación multifactor sigue siendo una protección fundamental, pero no debe convertirse en una excusa para descuidar la vigilancia de sesiones, dispositivos, aplicaciones y reglas de correo. Las empresas necesitan controles que detecten no solo quién inicia sesión, sino también qué cambia después de que se concede el acceso.
La campaña afectó a 97 cuentas repartidas en 79 organizaciones, y sus consecuencias incluyeron registros fraudulentos y manipulación de buzones. La investigación no demuestra que todas las organizaciones sufrieran el mismo nivel de daño, pero sí ofrece una advertencia clara para cualquier empresa que dependa de Microsoft 365.
La pregunta que deben hacerse los responsables tecnológicos no es únicamente si sus empleados tienen activada la MFA. Es también si podrían detectar que un atacante ha secuestrado una sesión aparentemente legítima y ha convertido una cuenta comprometida en una puerta de entrada persistente.
En un entorno empresarial cada vez más dependiente de la identidad digital, proteger la contraseña ya no es suficiente: también hay que proteger la sesión, vigilar los cambios y reaccionar antes de que el acceso robado se convierta en una intrusión duradera.
Chollones
Chollones
Chollones