Los ataques de phishing se han vuelto más sofisticados, dejando atrás los correos electrónicos falsos y obvios. Una nueva campaña revela que los atacantes están utilizando herramientas cotidianas de Microsoft 365 para ocultar sus ataques dentro de los flujos de trabajo en los que los empleados confían. Se aclara que esto no se debe a un fallo en el software de Microsoft, sino al abuso de funciones de Outlook y Grupos de Microsoft 365 para engañar a los usuarios.

Los ataques de phishing se han vuelto más sofisticados, y los atacantes ya no dependen de correos electrónicos falsos toscos o mensajes de estafa evidentes.

Una campaña recientemente identificada muestra cómo los actores de amenazas están convirtiendo las herramientas cotidianas de Microsoft 365 en armas, ocultando sus ataques dentro de los mismos flujos de trabajo en los que más confían los empleados.

Esto no es un fallo en el software de Microsoft, sino un abuso deliberado de sus funciones legítimas, y eso es precisamente lo que lo hace peligroso.

El ataque se dirige a Microsoft 365 Groups, una función de colaboración que las organizaciones utilizan a diario para coordinar equipos, compartir archivos y gestionar actualizaciones internas.

Al tomar el control de un grupo y añadir víctimas al mismo, los atacantes pueden colarse en la bandeja de entrada, el calendario y el almacenamiento de archivos de un usuario, todo a la vez.

El correo electrónico de bienvenida parece limpio, el nombre del grupo parece familiar y nada levanta sospechas de inmediato.

Analistas del equipo de Expertos en Inteligencia e Investigación (FIRE) de Fortra identificaron y documentaron esta técnica, señalando que representa un cambio desde el phishing tradicional hacia el abuso de flujos de trabajo confiables.

Fortra dijo en un informe que el ataque está diseñado para que la actividad maliciosa parezca una colaboración rutinaria.

Nombres de grupos como “Soporte de TI”, “Actualizaciones de RR.HH.”, “Revisión de Finanzas” o “Toda la Empresa” están creados para mezclarse con las comunicaciones internas.

Una vez que un usuario está dentro del grupo controlado por el atacante, el contenido posterior llega a través del buzón del grupo, documentos compartidos o invitaciones de calendario.

Cada paso imita un flujo de trabajo genuino de Microsoft 365, que es exactamente lo que evita que los usuarios den la voz de alarma. El riesgo se vuelve real cuando un usuario realiza una acción, ya sea haciendo clic en un enlace, abriendo un archivo o respondiendo a una solicitud.

Las consecuencias potenciales son significativas, ya que las víctimas pueden enfrentarse al robo de credenciales, captura de tokens, entrega de malware, exposición de datos o más ingeniería social.

Dado que el ataque se ejecuta a través de la propia infraestructura de Microsoft, las herramientas de detección en etapas tempranas podrían no marcarlo, dando a los atacantes más tiempo para moverse por un entorno sin ser detectados.

Nuevo ataque de phishing abusa de Outlook y los grupos de Microsoft 365

La mecánica de esta campaña es sencilla pero ingeniosa. Un atacante crea o controla un grupo de Microsoft 365 y añade al objetivo, ya sea mediante una adición directa o a través de una invitación.

El nombre del grupo y el mensaje de bienvenida establecen un contexto diseñado para sentirse urgente o rutinario, como una actualización de nómina, un aviso de formación obligatoria o un elemento de acción de un proveedor.

Tras la invitación inicial al grupo, el contenido de phishing posterior llega a través del buzón del grupo o de archivos compartidos.

Un documento compartido dentro del grupo puede contener un proceso de soporte falso, un código QR que apunta a una página de recolección de credenciales o un archivo con macros. Debido a que ese contenido llega a través de una superficie de colaboración de Microsoft, los usuarios tienden a confiar más en él que en el adjunto de un correo electrónico directo.

CalPhishing: Cuando el calendario se convierte en el anzuelo

Lo que hace que esta campaña sea especialmente efectiva es su uso del phishing de calendario, conocido como CalPhishing.

Una vez que el atacante logra entrar mediante una invitación de grupo, se envía al calendario de Outlook de la víctima un evento de calendario malicioso en formato .ics. Ese evento sigue enviando recordatorios, manteniendo vivo el phishing mucho tiempo después de que el correo original haya sido eliminado o pasado por alto.

La invitación del calendario puede disfrazarse como una reunión de proyecto, una fecha límite de RR.HH., una alerta administrativa o una revisión de factura. Cada recordatorio impulsa al usuario a tomar acción con el paso del tiempo.

Esta exposición repetida es lo que separa el CalPhishing de un ataque estándar de un solo correo electrónico. El anzuelo de phishing ya no se siente como una estafa, sino como una tarea de trabajo no resuelta que espera ser gestionada.

Se aconseja a los equipos de seguridad que miren más allá de la bandeja de entrada al investigar estos ataques. Los defensores deben rastrear la cadena completa: quién creó el grupo, quién fue añadido, qué archivos se compartieron y si aún quedan entradas de calendario después de la remediación del correo.

Las organizaciones pueden bloquear el dominio del remitente “groups.outlook.com” a nivel de puerta de enlace para detener las notificaciones de grupos externos.

Los empleados también necesitan formación para tratar las adiciones inesperadas a grupos y las invitaciones a reuniones con la misma precaución que aplicarían a cualquier correo electrónico no solicitado, especialmente cuando el mensaje tiene una temática urgente o administrativa.