Ciberdelincuentes están utilizando las herramientas en la nube de Microsoft para localizar discretamente al personal de recursos humanos y nóminas dentro de las redes corporativas. Una vez identificados, los atacantes desvían los salarios de los empleados hacia cuentas bajo su control. Lo más alarmante es que el método es sumamente limpio, ya que no utilizan malware ni explotan vulnerabilidades de software, lo que dificulta la detección por parte de los equipos de seguridad.

Están utilizando las propias herramientas en la nube de Microsoft para localizar discretamente al personal de nóminas y recursos humanos dentro de las redes corporativas y, posteriormente, desviar los salarios de los empleados a cuentas que ellos controlan. Los equipos de seguridad están corriendo para responder mientras la campaña continúa extendiéndose por diversas industrias y fronteras.

El método de ataque es engañosamente limpio. En lugar de plantar malware o explotar errores de software, los actores de amenazas roban sesiones de inicio de sesión activas a través de páginas de phishing de adversario en el medio (AiTM) que se sitúan entre la víctima y un portal de inicio de sesión falso de Microsoft 365.

Una vez capturado el token de sesión robado, el atacante lo replica para saltarse completamente la autenticación de múltiples factores, colándose en la cuenta sin necesidad de volver a pedir la contraseña del usuario.

Security Risk Advisors (SRA) y BushidoToken Threat Intel indicaron en un informe que el uso de herramientas legítimas continúa desdibujando la línea entre la actividad normal y una intrusión activa, un patrón que encaja casi perfectamente con esta campaña.

Los atacantes nunca tocan un dispositivo final, dejando a las soluciones EDR tradicionales casi sin nada que detectar o alertar.

Una vez dentro de una cuenta de Microsoft 365 comprometida, el atacante se desplaza hacia la API de Microsoft Graph, una herramienta legítima para desarrolladores utilizada para consultar información del directorio.

Desde allí, ejecutan consultas masivas buscando usuarios cuyos cargos o nombres de pantalla contengan palabras clave como nómina, hr, humano, recursos, finanzas y admin.

El escaneo completo del directorio puede completarse en cuestión de minutos, entregando al atacante una lista limpia del personal exacto al que necesitan dirigirse.

La campaña, vinculada a clústeres que Microsoft rastrea como Storm-2755 y Storm-2657, ha sido observada en entornos de salud, servicios alimentarios y manufactura.

El objetivo final en cada caso es el mismo: redirigir el depósito directo de un empleado a una cuenta bancaria controlada por el atacante, a menudo contactando directamente a RRHH o modificando la configuración en plataformas de RRHH como Workday.

Los hackers utilizan el reconocimiento de Microsoft Graph

Las consultas de Graph observadas en los entornos comprometidos eran casi idénticas. Los atacantes comenzaron con una extracción masiva de todos los usuarios utilizando el endpoint /v1.0/users?$top=999, y luego ejecutaron filtros de búsqueda encadenados en campos como displayName, jobTitle, mail y userPrincipalName para términos relacionados con la nómina, paginados mediante $skiptoken para recolectar cada resultado en masa.

Los tokens utilizados durante esta enumeración portaban amplios permisos delegados, incluyendo Directory.Read.All, Files.ReadWrite.All, Group.ReadWrite.All, Chat.ReadWrite y User.ReadWrite.

Esto otorgó a los atacantes mucho más acceso que una simple búsqueda de directorio, elevando el riesgo de persistencia basada en OAuth a través de aplicaciones consentidas que pueden sobrevivir a los restablecimientos de contraseña y a la revocación de tokens.

El tráfico de autenticación provino de rangos de IP de operadores móviles de EE. UU., mientras que el tráfico de enumeración de Graph se rastreó hasta ISPs residenciales canadienses, una división consistente con la infraestructura de proxies residenciales utilizada para enmascarar la operación.

Las cuentas no remediadas seguían generando inicios de sesión no interactivos a Office 365 Exchange Online aproximadamente cada tres horas, utilizando el agente de usuario Firefox 131.0 y rotando los identificadores de token en cada sesión, lo que significa que los atacantes mantuvieron un acceso persistente mucho después del compromiso inicial.

Defensa contra los ataques de piratería de nóminas

La detección de esta campaña depende casi por completo de la telemetría de inicio de sesión de Microsoft Entra y los registros de actividad de Microsoft Graph, ya que no se deja rastro de malware ni huellas en el dispositivo final.

SRA recomienda encarecidamente habilitar el registro de actividad de Microsoft Graph y enviar dichos registros a un SIEM o a un lago de datos de seguridad como el paso más impactante que cualquier organización puede tomar ahora mismo.

En cuanto a la autenticación, es fundamental implementar MFA resistente al phishing utilizando claves de seguridad FIDO2, Windows Hello for Business o autenticación basada en certificados.

Las notificaciones push estándar de aplicaciones autenticadoras y los códigos SMS no ofrecen protección contra el robo de tokens AiTM. Las políticas de Acceso Condicional deben configurarse para requerir dispositivos compatibles o unidos a un dominio híbrido y habilitar la evaluación continua del acceso para cortar los tokens replicados en tiempo casi real.

Para las organizaciones que ya estén lidiando con cuentas comprometidas, la remediación debe ser exhaustiva.

Revocar las sesiones y los tokens de actualización a través del Centro de Administración de Entra, restablecer las credenciales, volver a registrar los métodos de MFA y auditar todas las concesiones de consentimiento de aplicaciones empresariales son pasos obligatorios.

Cualquier cambio en el depósito directo o en la nómina realizado durante la ventana de compromiso también debe ser revisado y revertido. Los equipos de RRHH deben tratar cualquier solicitud de cambio de nómina como sospechosa hasta que sea verificada a través de un canal fuera de banda.

Indicadores de compromiso:-

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Solo reactívalos dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.