Campaña de phishing AiTM contra usuarios de Microsoft 365

Introducción

Microsoft ha descubierto una sofisticada campaña de phishing que afectó a más de 35.000 usuarios de más de 13.000 organizaciones en 26 países. Para los administradores de Microsoft 365 y de seguridad, esto es importante porque el ataque utilizó una técnica adversary-in-the-middle (AiTM) para capturar tokens de autenticación, lo que puede eludir MFA no resistente al phishing y dar a los atacantes acceso inmediato a las cuentas.

Qué hay de nuevo

Entre el 14 y el 16 de abril de 2026, Microsoft observó una operación de phishing de varias etapas que utilizó como señuelo investigaciones de código de conducta y cumplimiento interno. Los mensajes estaban diseñados para parecer comunicaciones internas legítimas y se enviaron en correos autenticados desde dominios controlados por los atacantes a través de un servicio legítimo de entrega de correo.

Las características clave de la campaña incluyeron:

• Correos con temática de cumplimiento bien elaborados con asuntos urgentes sobre conducta indebida de empleados o casos de incumplimiento
• Archivos PDF adjuntos que indicaban a los destinatarios revisar los materiales del caso
• Múltiples páginas escalonadas incluyendo comprobaciones CAPTCHA y pasos intermedios de “verificación”
• Un aviso final de inicio de sesión de Microsoft integrado en un flujo AiTM para interceptar tokens de sesión
• Amplio impacto en distintos sectores, especialmente Healthcare, Financial Services, Professional Services y Technology

Microsoft indicó que la mayoría de las víctimas estaban en Estados Unidos, pero la campaña afectó a organizaciones de todo el mundo.

Por qué este ataque es importante

A diferencia del phishing básico de credenciales, los ataques AiTM actúan como proxy de la sesión de autenticación en tiempo real. Eso significa que, incluso cuando los usuarios completan MFA, los atacantes aún pueden capturar tokens y reutilizarlos para acceder a las cuentas.

Esta campaña también muestra cómo están evolucionando las tácticas de phishing:

• Los atacantes usaron plantillas HTML de estilo empresarial para mejorar la credibilidad
• Aprovecharon la presión de tiempo y acusaciones al estilo de RR. HH. para impulsar una acción rápida
• CAPTCHA y las páginas escalonadas ayudaron a filtrar análisis de seguridad automatizados
• El flujo final de inicio de sesión parecía lo bastante legítimo como para reducir la sospecha del usuario

Impacto para los administradores de TI

Los equipos de seguridad deben tomar esto como recordatorio de que la concienciación del usuario por sí sola no es suficiente. Las organizaciones necesitan defensas por capas en correo, identidad, endpoint y protección web.

Los administradores deberían revisar:

• Configuraciones de Exchange Online Protection y Microsoft Defender for Office 365
• Políticas anti-phishing y protecciones contra suplantación
• Compatibilidad de SmartScreen en navegadores administrados
• Network protection en Windows para bloquear destinos web maliciosos
• Cobertura de detección y respuesta para actividad sospechosa de inicio de sesión y abuso de tokens

Próximos pasos recomendados

Los equipos de TI deberían llevar a cabo las siguientes acciones:

1. Educar a los usuarios sobre señuelos de phishing relacionados con RR. HH., cumplimiento y regulación
2. Ejecutar simulaciones de phishing con attack simulation training de Microsoft Defender for Office 365
3. Reforzar la configuración de seguridad del correo y revisar las recomendaciones de directiva en el portal de seguridad de Microsoft
4. Priorizar la autenticación resistente al phishing siempre que sea posible
5. Buscar indicadores de compromiso e investigar comportamientos de sesión inusuales vinculados a eventos de inicio de sesión

Esta campaña refuerza una lección clave de seguridad: el phishing moderno ya no trata solo de contraseñas. Defenderse del robo de tokens requiere protecciones de identidad más sólidas, mejor seguridad del correo y formación continua para los usuarios.