Un único correo electrónico de phishing fue suficiente para que unos atacantes accedieran a la cuenta de Microsoft 365 de un empleado de finanzas y redirigieran los pagos a proveedores. El incidente demuestra cómo los criminales pueden evadir la autenticación de múltiples factores (MFA) sin necesidad de instalar malware ni vulnerar el dispositivo de la empresa, utilizando para ello un mensaje dirigido con temática de recursos humanos sobre la denegación de una solicitud de tiempo libre remunerado.

Un solo correo electrónico de phishing fue suficiente para que los atacantes obtuvieran acceso a la cuenta de Microsoft 365 de un empleado de finanzas y redirigieran los pagos a proveedores. El incidente muestra cómo los criminales pueden evadir la autenticación de múltiples factores (MFA) sin instalar malware ni irrumpir en un dispositivo de la empresa.

Los atacantes utilizaron un mensaje dirigido con temática de recursos humanos que afirmaba que una solicitud de tiempo libre remunerado había sido denegada.

El correo electrónico indicaba al destinatario que revisara las "fechas conflictivas", pero el enlace conducía, a través de varias redirecciones, a una página de inicio de sesión de Microsoft 365 falsa diseñada para capturar una sesión ya autenticada.

Analistas de TrendAI identificaron la actividad como una campaña de compromiso de correo electrónico empresarial (BEC) exclusiva de la nube. Los atacantes no desplegaron ningún infostealer, herramienta de acceso remoto u otro tipo de malware.

En su lugar, confiaron en datos de sesión de navegador robados, acceso al buzón y correos electrónicos de cambio de pago cuidadosamente programados para mover dinero a cuentas bancarias que ellos controlaban.

TrendAI señaló en un informe compartido que el caso resalta una debilidad creciente en los ataques centrados en la identidad. El MFA puede detener muchos intentos de robo de contraseñas, pero no siempre protege una cuenta cuando se engaña a la víctima para que complete un inicio de sesión real a través de un relé controlado por el atacante.

Campañas similares de robo de sesiones de Microsoft 365 han demostrado que los atacantes se centran cada vez más en las sesiones de navegador autenticadas en lugar de solo en las contraseñas.

Hackers evaden el MFA de Microsoft 365 y secuestran el buzón de finanzas

El ataque comenzó con un correo electrónico personalizado de "Solicitud de tiempo libre denegada" enviado a un usuario de finanzas. Utilizaba el nombre del empleado, su cargo y los detalles de la organización, haciendo que el mensaje pareciera más creíble que un intento de phishing masivo.

El botón del correo electrónico utilizaba un enlace de seguimiento de SendGrid antes de enviar a la víctima a través de una cadena de sitios web controlados por el atacante.

En el destino final, la víctima vio una página de inicio de sesión de Microsoft 365 falsificada. Esta página actuaba como un relé de "adversario en el medio" (AiTM, por sus siglas en inglés).

Transmitía los datos de inicio de sesión del usuario y la aprobación del MFA al servicio legítimo en tiempo real, y luego capturaba la cookie de sesión autenticada creada tras el éxito del inicio de sesión.

Esa cookie de sesión fue la clave de la intrusión. En lugar de solicitar repetidamente contraseñas o códigos MFA, los atacantes reprodujeron la sesión válida desde una infraestructura de VPN comercial y aparecieron ante Microsoft 365 como el empleado ya autenticado.

Esta táctica también es fundamental en los recientes ataques de phishing AiTM dirigidos a usuarios empresariales, donde los criminales interceptan sesiones web en vivo en lugar de simplemente recopilar credenciales.

Los investigadores encontraron inicios de sesión desde Ámsterdam y Los Ángeles con aproximadamente un minuto de diferencia, un patrón de viaje que no podría haber sido legítimo.

La telemetría de Microsoft 365 mostró que el MFA ya había sido satisfactoriamente completado, sin nuevos desafíos, sin actividad de inicio de sesión fallida y sin controles de acceso condicional aplicados a la sesión reproducida.

Los atacantes accedieron entonces a Exchange Online, SharePoint, Microsoft 365 Search y a un buzón compartido de cuentas por pagar a través de los permisos existentes del usuario comprometido.

Esto les dio acceso a facturas reales, conversaciones sobre pagos e información de proveedores que pudieron utilizar para hacer que las solicitudes fraudulentas parecieran rutinarias.

Fraude oculto dentro de los buzones

El esquema de desvío de pagos se desarrolló en dos fases durante unos 30 días. Primero, los atacantes suplantaron a un contacto de cuentas por pagar de un proveedor a través de una cuenta de correo web gratuita.

Hicieron referencia a aproximadamente 20 facturas legítimas pendientes, solicitaron el cambio de cheques en papel a pagos ACH y proporcionaron documentos fiscales y de autorización fraudulentos.

Los atacantes mantuvieron el hilo de correos activo durante más de tres semanas. Sus seguimientos constantes presionaron al equipo de finanzas para actualizar los datos bancarios del proveedor, mientras que el acceso al buzón robado les dio visibilidad de las conversaciones internas y el estado de los pagos.

Este tipo de fraude de facturas se asemeja mucho a la cadena de ataques de desvío de pagos BEC, donde los criminales monitorean discusiones comerciales legítimas antes de insertar datos bancarios fraudulentos.

En la segunda fase, los atacantes suplantaron a un colega senior de cuentas por pagar utilizando un dominio similar (look-alike). Enviaron mensajes de verificación con apariencia interna para impulsar varias actualizaciones bancarias de proveedores a través del proceso de aprobación.

La combinación de la suplantación del proveedor externo y la suplantación del empleado interno hizo que las solicitudes falsas parecieran confirmadas de forma independiente.

Para evitar ser descubiertos, los actores crearon tres reglas de bandeja de entrada maliciosas. Las reglas archivaban automáticamente y marcaban como leídas las notificaciones de cobro de los proveedores, y luego impedían que otras reglas procesaran esos mensajes.

También eliminaron correos electrónicos que podrían haber expuesto la estafa, permitiendo que los avisos de pago atrasado del proveedor real permanecieran sin ser vistos.

Las organizaciones deberían investigar las alertas de "viaje imposible" junto con los cambios en las reglas del buzón, la actividad inusual de tokens y la eliminación de correos electrónicos.

También deberían habilitar la protección de tokens donde esté disponible, revocar sesiones activas tras una sospecha de compromiso y requerir una aprobación dual más una verificación telefónica fuera de banda utilizando un número confiable antes de cambiar las instrucciones de pago de un proveedor. Los métodos de autenticación resistentes al phishing pueden reducir aún más la exposición a las técnicas de phishing de evasión de MFA.

Fuentes:
https://cybersecuritynews.com/hackers-bypass-microsoft-365-mfa/