Microsoft advierte que grupos de extorsión (como ShinyHunters y Helix) están usando ingeniería social y sitios de phishing para robar cuentas corporativas de Microsoft 365. Los atacantes suplantan al soporte técnico para engañar a los empleados y obtener credenciales o tokens de acceso mediante falsas actualizaciones de passkeys y MFA. Una vez dentro, realizan reconocimientos automatizados para robar datos sensibles de SharePoint, OneDrive y Exchange, evitando detecciones mediante descargas lentas y progresivas.



Microsoft afirma que actores de amenazas vinculados a ShinyHunters, Helix y otras bandas de extorsión están utilizando ataques de ingeniería social basados en llaves de acceso (passkeys) y el inicio de sesión único (SSO) para comprometer cuentas corporativas de Microsoft y robar datos de los servicios de Microsoft 365.

La actividad se ha observado desde mayo de 2026 y comienza con los atacantes investigando a las organizaciones y empleados seleccionados antes de llamar o enviar mensajes a las víctimas suplantando la identidad de los servicios de ayuda técnica (IT help desks) corporativos.

Los atacantes indican a los empleados que deben actualizar urgentemente una llave de acceso, la autenticación multifactor (MFA) o una configuración de inicio de sesión único (SSO) para evitar perder el acceso a los sistemas corporativos.

Posteriormente, las víctimas son dirigidas a sitios de phishing diseñados para parecer páginas de inicio de sesión legítimas de Microsoft, enviando a veces los enlaces a través de mensajes SMS a los teléfonos personales de los empleados.

Microsoft señala que, aunque los señuelos suelen girar en torno a las llaves de acceso, los atacantes no están intentando registrar una llave de acceso.

En su lugar, los señuelos de passkey se utilizan para engañar a los empleados seleccionados para que inicien sesión en sitios de phishing de adversario en el medio (AiTM) o utilicen flujos de autenticación de código de dispositivo.

Los ataques AiTM permiten a los actores de amenazas capturar credenciales y tokens de sesión. El phishing de código de dispositivo engaña a las víctimas para que autoricen el acceso a su cuenta a través de un cliente controlado por el atacante utilizando las páginas de autenticación legítimas de Microsoft.

Microsoft indica que los atacantes realizan una investigación exhaustiva antes de dirigirse a los empleados.

"El actor parece invertir considerablemente en la investigación previa al ataque, probablemente recopilando información sobre los empleados y la estructura organizativa a partir de fuentes públicas, como redes sociales y plataformas de perfiles profesionales", explica Microsoft.

Los actores de amenazas también registran dominios de phishing que combinan nombres de empresas con palabras relacionadas con passkeys, SSO, sincronización de claves, configuración de cuentas y verificación de identidad.

Algunos ejemplos observados por Microsoft incluyen: passkeyhelpdesk[.]com, secure-passkey[.]com, setupmypasskey[.]com, add-passkey[.]com, integratedsso[.]com, oktasession[.]com, keysyncos[.]com y oskeysync[.]com.

Los atacantes suelen colocar el nombre de la empresa víctima en un subdominio, como empresa-nombre.secure-passkey[.]com, para que el portal de phishing parezca más convincente.

Microsoft atribuye la actividad de acceso inicial a múltiples actores de amenazas que operan en el mismo ecosistema de extorsión, incluidos los grupos que rastrea como Storm-3121 y Storm-3032.

Storm-3121 está asociado con la extorsión de ShinyHunters y Falcon, mientras que se cree que Storm-3032 está vinculado a miembros del grupo de extorsión BlackFile que ahora trabajan bajo el nombre de Helix.

Esta actividad coincide con ataques previamente documentados por Google Threat Intelligence bajo el clúster de amenazas UNC6671.

Google informó anteriormente que UNC6671 utiliza ingeniería social basada en teléfono e infraestructura de phishing temática de passkeys para comprometer identidades corporativas antes de acceder a entornos de nube empresariales.

Google también ha vinculado la actividad de UNC6671 a las mismas bandas de extorsión, incluyendo BlackFile, Helix, Falcon, Pink y Redact.

mapeando la nube de microsoft tras el compromiso

La nueva investigación de Microsoft ofrece una mirada más detallada de lo que sucede dentro de los entornos de nube de Microsoft después de que una cuenta es comprometida.

En un ataque investigado, Microsoft observó un inicio de sesión sospechoso desde un dispositivo no gestionado a un servicio de Microsoft 365 identificado en los registros de Entra como "OfficeHome".

OfficeHome está asociado con la infraestructura compartida del portal de Office 365, incluidas las aplicaciones de Office accedidas a través de un navegador.

Después de completar la MFA, Microsoft afirma que el atacante estableció una sesión válida y comenzó a verificar a qué recursos podía acceder la cuenta comprometida.

En cuestión de minutos, la sesión se utilizó para acceder a "Mis aplicaciones" para ver qué aplicaciones están asignadas a la cuenta, "Mi perfil" para información organizativa, Gestión de Aprobaciones de Microsoft, interfaces de gestión de cuentas y "Mis inicios de sesión".

El atacante accedió entonces a SharePoint Online, Outlook Web, servicios de búsqueda y colaboración de Microsoft 365, una aplicación empresarial interna y flujos de autenticación asociados a escritorios virtuales.

Microsoft señala que la sesión permaneció activa durante aproximadamente una hora mientras el atacante enumeraba archivos sensibles y aplicaciones internas.

En otro ataque, los ataques de ingeniería social de passkey llevaron al phishing de código de dispositivo, donde se convenció a la víctima de introducir un código suministrado en la página de autenticación legítima de Microsoft.

Formulario de autenticación de dispositivos de Microsoft

Esto emite un token de autenticación a la aplicación OAuth controlada por el atacante, permitiendo que el actor de amenazas acceda a la cuenta de la víctima sin completar otro desafío de MFA.

El atacante tiene ahora acceso a todos los recursos del usuario y a las aplicaciones SSO conectadas, ya sean Microsoft 365, Salesforce, Google Workspace, Dropbox, Adobe, SAP, Slack, Zendesk, Atlassian y muchas otras.

En un tercer ataque, el actor de amenazas utilizó credenciales previamente comprometidas para una cuenta donde se cree que se había registrado una aplicación autenticadora días antes.

Microsoft dice que los actores de amenazas realizaron entonces un reconocimiento utilizando un sistema automatizado de Node.js y Microsoft Graph.

Tras obtener el acceso, los atacantes suelen ganar persistencia añadiendo un método de MFA que ellos controlan.

Microsoft afirma que los atacantes registran nuevos números de teléfono, aplicaciones autenticadoras y tokens de contraseña de un solo uso basados en software con las identidades comprometidas.

Esto permite al actor de amenazas satisfacer futuros desafíos de MFA sin la ayuda de la víctima, aunque Microsoft advierte que la persistencia no sobrevive a un restablecimiento completo de credenciales y sesión.

Los atacantes utilizan entonces Microsoft Graph para enumerar el entorno de nube de la víctima.

Microsoft observó solicitudes de Graph que enumeran:

* Organizaciones, licencias y servicios habilitados
* Usuarios, grupos y membresía de grupos
* Roles de directorio y cuentas privilegiadas
* Métodos de autenticación registrados
* Aplicaciones y principales de servicio
* Permisos de OAuth y asignaciones de roles de aplicación
* Sitios de SharePoint, bibliotecas de documentos, carpetas y archivos
* Recursos de OneDrive
* Carpetas de correo, mensajes y adjuntos

Microsoft indica que las solicitudes de Graph como /users, /groups o /sites son comunes en entornos empresariales, por lo que podrían no activar las alarmas.

Sin embargo, la actividad se vuelve más sospechosa cuando la misma cuenta, aplicación o token de acceso se mueve rápidamente a través de diferentes recursos, comprueba privilegios y configuraciones de autenticación, y luego comienza a acceder a correos electrónicos, adjuntos, archivos o documentos.

Después del reconocimiento, los atacantes proceden a la recolección de datos en la nube de Microsoft 365.

"Microsoft observó una actividad de acceso y descarga de alto volumen dirigida a Microsoft SharePoint Online y Microsoft OneDrive for Business, con algunas intrusiones extendiéndose a Microsoft Exchange Online a través de acceso basado en REST API al contenido del correo electrónico", explicó Microsoft.

"Tanto en SharePoint como en OneDrive, la actividad generó volúmenes significativos de eventos FileAccessed y FileDownloaded, lo que indica una recuperación sistemática de documentos alojados en la nube y datos organizativos".

Microsoft dice que la actividad parece automatizada, utilizando el agente de usuario python-httpx durante la exfiltración de acceso a SharePoint y OneDrive.

Los atacantes también parecen evitar la exfiltración rápida tipo "smash-and-grab" para evitar la detección.

Microsoft afirma que el robo de datos dura en cambio desde unas pocas horas hasta varios días, accediendo los actores de amenazas a menos de 1.000 archivos o correos electrónicos en una sola hora para mezclarse con el tráfico legítimo.

Microsoft recomienda buscar inicios de sesión inusuales seguidos de nuevos registros de MFA, reconocimiento de Microsoft Graph y acceso sospechoso a SharePoint, OneDrive o Exchange.

Si una cuenta se ve comprometida, los administradores deben revocar las sesiones y tokens activos, restablecer las credenciales, eliminar cualquier método de autenticación o regla de buzón añadida por los atacantes y exigir que el usuario vuelva a registrar sus métodos de autenticación.

Microsoft también recomienda utilizar MFA resistente al phishing, limitar los recursos sensibles de la nube a dispositivos gestionados y desactivar la autenticación por código de dispositivo cuando no sea necesaria.

Fuente:
BleepingComputer