Robo de tokens en Microsoft 365: por qué el MFA no bastó
Huntress detalla una campaña que robó sesiones de Microsoft 365 después de que los usuarios pasaran el MFA. Qué hicieron los atacantes y qué revisar en su cuenta.
Su personal puede tener activada la autenticación multifactor y aun así perder su buzón de Microsoft 365. Es la conclusión de una investigación de la empresa de seguridad Huntress, publicada a finales de octubre de 2026. Describe una campaña que se desarrolló entre el 14 de julio y el 22 de septiembre, en la que los atacantes robaron la propia sesión de inicio, no la contraseña.
Qué ha pasado
En su informe, Huntress explica que atendió incidentes relacionados en 79 organizaciones. The Hacker News resume las cifras: 97 cuentas comprometidas, 497 inicios de sesión logrados entre más de 200.000 intentos y al menos 48 computadoras falsas registradas en los directorios de Microsoft de las víctimas.
El método funciona así. Una página de inicio de sesión falsa se coloca entre el usuario y la página real de Microsoft. La persona escribe su contraseña y aprueba el aviso de MFA con normalidad, y Microsoft emite un token de sesión, la prueba de que ese acceso ya se completó. El intermediario captura el token y el atacante lo reutiliza desde su propio equipo. Huntress también relacionó tokens con phishing de código de dispositivo y con engaños durante un inicio de sesión legítimo. Al uso masivo de estos tokens lo llama "token spraying", por analogía con el "password spraying".
Por qué importa a una pequeña empresa
Lo más útil es ver qué hicieron después. Una vez dentro, procuraron quedarse, incluso si la sesión robada caducaba:
- Sustituyeron el MFA. En al menos 19 organizaciones se eliminaron los métodos de la víctima y se añadió uno nuevo en las tres horas siguientes al primer acceso.
- Registraron dispositivos falsos. Un dispositivo registrado puede seguir en su directorio hasta que alguien lo borre.
- Ocultaron correo. Reglas de bandeja de entrada con nombres tan cortos como "s" o "." borraban o movían mensajes que mencionaban nómina, depósito o bonificación.
Esas reglas apuntan a un objetivo conocido: cambiar en silencio el destino del dinero mientras el empleado real no ve las respuestas. Cambiar la contraseña, por sí solo, no elimina nada de esto.
Qué revisar esta semana
- Mire las reglas de bandeja de entrada. Busque reglas con nombres raros, o que borren mensajes o los muevan a carpetas como Fuentes RSS o Historial de conversaciones. Empiece por quien gestione nóminas y facturas.
- Revise los métodos de MFA. En el centro de administración de Microsoft Entra, busque aplicaciones de autenticación o teléfonos que nadie reconozca, sobre todo si se añadieron minutos después de eliminar los anteriores.
- Audite los dispositivos registrados. Huntress detectó equipos falsos llamados "DESKTOP-" seguido de ocho caracteres. Borre todo lo que no pueda asociar a una computadora real.
- Si encuentra algo, actúe en bloque. Revoque las sesiones del usuario, restablezca la contraseña, elimine métodos, dispositivos y reglas falsos, y compruebe qué se envió desde ese buzón.
Qué cambiar
El MFA sigue frenando muchos ataques, así que manténgalo activo. Para cerrar este hueco, valore métodos resistentes al phishing, como las claves de acceso o las llaves de seguridad físicas, que no funcionan en un sitio falso. Si su plan de Microsoft 365 incluye Acceso condicional, úselo para limitar el acceso a dispositivos de confianza y bloquear el flujo de código de dispositivo a quien no lo necesite. Pida a su equipo que confirme por teléfono cualquier cambio de datos bancarios, con un número que ya tengan, y que avise de cualquier solicitud de inicio de sesión inesperada, aunque la haya aprobado.
Para el lado humano del problema, consulte nuestra página de phishing y seguridad del correo y nuestros consejos sobre contraseñas y seguridad de cuentas.
Si quiere que alguien revise los accesos, reglas y dispositivos de su Microsoft 365, llame al (213) 986-4855 o conozca nuestros servicios de ciberseguridad.