Investigadores de Proofpoint detectaron la campaña UNK_CondorFiltration, que atacó a más de 5,700 cuentas de Microsoft 365 en instituciones financieras y retail de Chile. El ataque explotó cuentas de servicio inactivas y no monitoreadas que mantenían contraseñas predeterminadas y carecían de autenticación multifactor. Utilizando la herramienta TeamFiltration, los atacantes lograron acceder a OneDrive, Teams y Office para potenciales extracciones de datos.







Investigadores de ciberseguridad han revelado detalles de una campaña activa de TeamFiltration denominada UNK_CondorFiltration que ha tenido como objetivo más de 5.700 cuentas en 28 entornos de Microsoft 365.

Según Proofpoint, la actividad se ha centrado principalmente en instituciones financieras y de retail chilenas. Se originó desde 1.487 direcciones IP fuente únicas de AWS EC2.

"La campaña comprometió 7 cuentas —todas ellas cuentas de servicio o funcionales no gestionadas en lugar de cuentas individuales de empleados—, lo que pone de relieve una brecha de exposición crítica en torno a identidades no humanas olvidadas que mantienen contraseñas predeterminadas o no rotadas y carecen de MFA (autenticación de múltiples factores)", afirmó la empresa de seguridad en un comunicado.

Se dice que la campaña de fuerza bruta de Microsoft 365 se desarrolló en tres oleadas diferentes desde finales de julio hasta agosto de 2026, siendo un minorista chileno anónimo el que soportó el peso del 78,3% de todos los eventos de autenticación observados:

* Del 21 al 24 de julio, atacando aproximadamente entre 100 y 120 cuentas únicas por día y dirigida contra dos importantes instituciones bancarias chilenas.
* Del 26 al 28 de julio, alcanzando un pico de unas 1.520 cuentas el 27 de julio antes de caer bruscamente, dirigida contra otra importante institución financiera chilena.
* Del 13 al 16 de agosto, con un pico de unas 1.560 cuentas el 15 de agosto y dirigida contra un importante minorista chileno, lo que provocó el compromiso de siete cuentas.

La evidencia indica que el actor de la amenaza probablemente aplicó un ataque de password spraying con contraseñas predeterminadas, incluyendo credenciales proporcionadas por los equipos de TI que nunca fueron rotadas. La actividad se dirigió principalmente a cuentas de servicio inactivas, ya que a los usuarios humanos se les exige cambiar sus contraseñas periódicamente.

Estas cuentas de servicio, según Proofpoint, fueron creadas para ejecutar operaciones comerciales y luego quedaron sin supervisión, conservando sus credenciales originales. Cada compromiso exitoso ha estado vinculado a cuentas de servicio no monitorizadas con una contraseña predeterminada.

Seis de las siete cuentas comprometidas fueron vulneradas en menos de 7 minutos, lo que probablemente indica el uso de un conjunto de contraseñas compartidas o predeterminadas en lugar de un relleno de credenciales (credential stuffing) dirigido individualmente.

La actividad se caracteriza por el uso de TeamFiltration, un framework ofensivo legítimo multiplataforma diseñado para "enumerar, rociar, exfiltrar y crear puertas traseras" en cuentas de Entra ID. Permite a un operador validar cuentas de correo electrónico, probar contraseñas comunes o dirigidas, recolectar datos sensibles y obtener acceso interactivo y encubierto a OneDrive.

En la mayoría de las cuentas comprometidas, el atacante aprovechó el acceso para entrar en Microsoft Office, OneDrive y Teams, lo que podría indicar una recolección y exfiltración de datos. Dicho esto, los eventos de inicio de sesión por sí solos no pueden tomarse como prueba definitiva de exfiltración.

Menos de 2 minutos después del compromiso exitoso, se ha observado que el operador salta a un nodo VPN alemán para sondear la VPN corporativa ("vpn.[redactado].cl/SAML20/SP"), acceder al Portal de Azure, navegar por SharePoint Online e iniciar solicitudes de tokens de la API de Microsoft Graph.

Esta no es la primera vez que se utiliza TeamFiltration en ataques maliciosos. En junio de 2025, Proofpoint detalló otro grupo de amenazas denominado UNK_SneakyStrike que atacó a más de 80.000 cuentas de usuario en cientos de entornos de nube de organizaciones utilizando este framework de pruebas de penetración de código abierto.

"La campaña UNK_CondorFiltration es un recordatorio de que uno de los eslabones más débiles en el perímetro de identidad de una empresa no es a menudo un empleado víctima de phishing o un exploit de día cero", afirmó Proofpoint. "Es la cuenta olvidada. Las cuentas de servicio creadas por conveniencia y que nunca se revisan son una superficie de ataque estructuralmente desprotegida".

Fuente:
THN