Se ha detectado un nuevo dominio registrado, teams-cloud[.]live, que imita la interfaz y la página de inicio de sesión de Microsoft Teams. El investigador de seguridad Steven Lim alertó sobre este sitio el 18 de octubre de 2026, apenas cinco días después de su creación, advirtiendo que se trata de un intento de phishing diseñado para robar credenciales de usuarios laborales. Se recomienda a las organizaciones bloquear esta dirección inmediatamente.

Un dominio recién registrado copia la página de inicio de sesión y la interfaz de Microsoft Teams, lo que genera preocupaciones sobre un intento de phishing dirigido a usuarios en entornos laborales.

El investigador de seguridad Steven Lim informó que teams-cloud[.]live tenía solo cinco días de antigüedad cuando lo señaló el 18 de octubre de 2026. Instó a las organizaciones a bloquear la dirección antes de que tus empleados encuentren el sitio falso.

La alerta resalta el phishing construido alrededor de una herramienta empresarial familiar. Una pantalla de Teams copiada podría persuadir a los empleados para que confíen en una solicitud de inicio de sesión. Sin embargo, el informe disponible no establece cuántas personas visitaron el sitio, si se capturaron contraseñas o quién opera el dominio.

Según Steven Lim, el sitio imita tanto la pantalla de inicio de sesión de Teams como su interfaz de usuario más amplia. Dijo que se parece a otro ejemplo que compartió el 8 de octubre de 2026. Esa similitud justifica una investigación, pero no confirma que el mismo atacante controle ambos sitios.

Lim también informó que al hacer clic en una opción para actualizar Teams se descargó un archivo TXT. La alerta no proporciona el contenido del archivo, un hash ni pruebas de que ejecute código.

Llamarlo malware confirmado iría, por lo tanto, más allá de los hallazgos disponibles. La descarga inesperada sigue siendo un detalle útil para los investigadores que revisen la actividad del navegador y los archivos descargados.

Dominios falsos de Microsoft Teams utilizados para robar credenciales

En un comentario fijado incluido en la alerta, Lim identificó a amgen[.]teams-cloud[.]live como un objetivo centrado en el sector sanitario. El nombre de la empresa aparece como un subdominio debajo de teams-cloud[.]live. Su presencia no establece que Amgen haya sido vulnerada o que se haya accedido a la cuenta de un empleado.

La preocupación es la brecha entre lo que tú ves y dónde estás navegando. Un diseño convincente de Teams no convierte un dominio no relacionado en un servicio de Microsoft.

Cyber Security News cubrió anteriormente a atacantes que se hacían pasar por personal del centro de soporte de TI a través de Teams, empujando a los empleados hacia descargas o acceso remoto. Esa actividad separada muestra cómo la confianza en el lugar de trabajo puede apoyar el phishing sin que haya un fallo de software.

Otro informe examinó páginas de inicio de sesión falsas creadas a través de redirecciones de Teams en los navegadores. No existe un vínculo confirmado con este dominio, pero ambos casos muestran por qué la imagen de marca por sí sola no puede validar una solicitud de inicio de sesión.

Los defensores deben revisar las conexiones a teams-cloud[.]live y al subdominio informado, y luego comprobar las descargas relacionadas y la actividad de inicio de sesión. Lim recomendó específicamente el bloqueo de Tenant y el filtrado web.

Microsoft documenta el bloqueo de URL a través de la lista de Permitir/Bloquear del Tenant y el bloqueo de dominios personalizados a través de la protección de red de Defender. Los administradores deben aplicar los controles adecuados a su entorno y verificar la cobertura en lugar de asumir que una sola configuración bloquea todas las rutas.