Microsoft alerta sobre phishing fiscal y robo de credenciales

Introducción

La temporada de impuestos vuelve a demostrarse como un momento ideal para los ciberdelincuentes. Microsoft informa de un claro aumento en campañas de phishing y malware que explotan la urgencia de las declaraciones de impuestos, avisos de reembolso, formularios de nómina y comunicaciones de contadores para engañar a los usuarios y lograr que entreguen credenciales o ejecuten malware.

Para los equipos de TI y seguridad, esto importa porque estas campañas no son solo spam genérico. Muchas están altamente dirigidas, personalizadas y diseñadas para evadir las detecciones tradicionales mediante códigos QR, cadenas de enlaces de varios pasos, archivos alojados en la nube y el abuso de herramientas legítimas de remote monitoring and management (RMM).

Qué hay de nuevo

Microsoft destacó varios patrones de ataque con temática fiscal observados a principios de 2026:

• Phishing con temática de CPA mediante Energy365
  Correos electrónicos con asuntos como "See Tax file" usaban archivos adjuntos de Excel que enlazaban a archivos de OneNote alojados en OneDrive, y finalmente redirigían a los usuarios a páginas de robo de credenciales impulsadas por el kit de phishing-as-a-service Energy365.

• Phishing de W-2 con código QR mediante SneakyLog
  Mensajes titulados "2025 Employee Tax Docs" incluían documentos de Word que contenían códigos QR personalizados. Al escanear el código, los usuarios eran dirigidos a páginas falsas de inicio de sesión de Microsoft 365 operadas a través del kit de phishing SneakyLog/Kratos, diseñado para robar credenciales e información de 2FA.

• Señuelos de 1099 que entregan ScreenConnect
  Dominios con temática de formularios fiscales suplantaban marcas financieras y tributarias, lo que llevaba a los usuarios a descargar 1099-FR2025.exe, que instalaba ScreenConnect. Aunque es legítimo, ScreenConnect puede ser utilizado indebidamente por atacantes como herramienta de acceso remoto.

• Phishing con temática del IRS y criptomonedas
  Otra campaña utilizó mensajes falsos del IRS e ingeniería social relacionada con criptomonedas, incluidas URL para copiar y pegar en lugar de enlaces clicables para reducir la detección automatizada.

Por qué esto importa para los administradores

Estas campañas muestran cómo los atacantes están combinando:

• un contexto empresarial estacional convincente
• plataformas de phishing-as-a-service que escalan rápidamente
• archivos adjuntos y páginas de destino personalizadas
• técnicas de evasión de MFA
• herramientas RMM legítimas y firmadas para persistencia y acceso hands-on-keyboard

Se observó que organizaciones de servicios financieros, salud, educación, manufactura, retail y TI fueron objetivos, con contadores y funciones cercanas a finanzas especialmente en riesgo.

Próximos pasos recomendados

Los administradores de TI deben tomar las siguientes medidas de inmediato:

• Reforzar la concienciación de los usuarios sobre los correos electrónicos con temática fiscal, especialmente mensajes inesperados sobre W-2, 1099, CPA e IRS.
• Bloquear o inspeccionar de cerca el phishing basado en códigos QR y las cadenas de adjuntos de múltiples etapas que involucren Excel, OneNote y enlaces de almacenamiento en la nube.
• Revisar las políticas de seguridad del correo electrónico para protección contra suplantación, análisis de adjuntos y detonación de URL.
• Investigar el abuso de herramientas RMM como ScreenConnect y SimpleHelp, especialmente cuando se instalan fuera de los canales aprobados.
• Reforzar las protecciones de identidad con MFA resistente al phishing cuando sea posible y supervisar actividad sospechosa de inicio de sesión en Microsoft 365.
• Usar la guía de detección y hunting de Microsoft Defender del aviso para identificar indicadores de compromiso relacionados.

Conclusión

La temporada de impuestos ofrece a los atacantes una ventana predecible para explotar la urgencia y la confianza. Los hallazgos más recientes de Microsoft recuerdan que las organizaciones deben tratar los mensajes relacionados con impuestos como una categoría de phishing de alto riesgo y validar tanto la actividad de identidad como las herramientas de acceso remoto en todo el entorno.