Microsoft ha alertado sobre una brecha de seguridad en varias de sus cuentas corporativas de correo electrónico, atribuida al grupo de ciberdelincuentes vinculado a Rusia conocido como Midnight Blizzard. La filtración ya ha sido notificada por la compañía a la policía y las autoridades regulatorias pertinentes.

Midnight Blizzard, también conocido como APT29, grupo SVR, Cozy Bear, Nobelium, BlueBravo y The Dukes, ha estado involucrado en importantes ciberataques, incluyendo el hackeo del Comité Nacional Demócrata y los ataques relacionados con las elecciones presidenciales de EE. UU. en 2016. Por si no te suena, es reconocido por su participación en el ataque a la cadena de suministro de SolarWinds en 2020, que afectó a más de 18.000 organizaciones clientes, entre las que estaba también, Microsoft.

Microsoft fue consciente de la intrusión el 12 de enero de 2024, e inmediatamente lanzó una investigación sobre la brecha de seguridad. La compañía ha confirmado haber bloqueado a los actores de amenazas y mitigado el ataque.

De acuerdo con un informe presentado en un Formulario 8-K ante la SEC, desde finales de noviembre de 2023, un actor de amenaza asociado a un estado-nación había accedido y extraído información de un porcentaje muy pequeño de cuentas de correo electrónico de empleados, incluidos miembros de su equipo de liderazgo senior y empleados de áreas como ciberseguridad y legal.

Los ciberdelincuentes utilizaron un ataque de pulverización de contraseñas para acceder a una cuenta de prueba no productiva heredada de Microsoft y, posteriormente, usaron los permisos de esta cuenta para infiltrarse en un número reducido de cuentas corporativas de correo electrónico. Aunque no se explotaron vulnerabilidades en los productos o servicios de Microsoft, la compañía ha confirmado que se exfiltraron algunos correos electrónicos y documentos adjuntos.

Ataque de pulverización de contraseñas: La pulverización de contraseñas es un tipo de ataque de fuerza bruta en el que los atacantes llevan a cabo inicios de sesión por fuerza bruta basándose en una lista de nombres de usuario con contraseñas predeterminadas en la aplicación. En este escenario de ataque, los actores de la amenaza utilizan una contraseña contra muchas cuentas diferentes en la aplicación para evitar los bloqueos de cuentas que normalmente se desencadenarían al forzar de forma bruta una sola cuenta con muchas contraseñas.

Microsoft asegura que, hasta la fecha, no hay evidencia de que los atacantes accedieran a entornos de clientes, sistemas de producción, código fuente o sistemas de inteligencia artificial.

La compañía continúa investigando el alcance completo del incidente y notificando a los empleados afectados y según el informe, el incidente no ha tenido un impacto material en las operaciones de la empresa.

Fuentes:
https://derechodelared.com/microsoft-correos-corporativo-robo-rusia/