Cuentas de Microsoft 365 en 79 organizaciones mediante el reúso de tokens de inicio de sesión robados. Entre el 14 de julio y el 22 de septiembre de 2026, se registraron al menos 497 accesos exitosos y más de 200,000 intentos fallidos. La campaña se centró en secuestrar sesiones ya autenticadas en lugar de intentar adivinar contraseñas.

Comprometieron cuentas de Microsoft 365 en 79 organizaciones al reutilizar tokens de inicio de sesión robados, registrando al menos 497 inicios de sesión exitosos entre el 14 de julio y el 22 de septiembre de 2026.

La campaña de diez semanas también generó más de 200,000 intentos de inicio de sesión fallidos en los entornos de clientes monitoreados. Los atacantes se centraron en sesiones autenticadas en lugar de depender de la adivinación de contraseñas.

De manera similar a los ataques de robo de sesiones de Microsoft 365 reportados anteriormente, este enfoque permite a los criminales reutilizar la prueba de que un usuario ya ha completado la autenticación multifactor, dándoles acceso sin tener que repetir ese desafío.

Investigadores de Huntress identificaron la campaña y detallaron sus hallazgos en un informe del 22 de octubre. Su investigación describe el robo de tokens y el abuso de cuentas, no una familia de malware con nombre. Los atacantes registraron al menos 48 dispositivos fraudulentos de Microsoft Entra y reemplazaron los métodos de autenticación de las víctimas para mantener el acceso.

Secuestran cuentas de Microsoft 365 en 79 organizaciones

La operación combinó phishing de "adversario en el medio" (adversary-in-the-middle), phishing de código de dispositivo e ingeniería social. En los ataques basados en relevos, una página de inicio de sesión falsa reenviaba el inicio de sesión de la víctima y el desafío MFA a Microsoft, capturando luego la sesión autenticada resultante.

Los atacantes reprodujeron esa sesión desde una infraestructura alquilada operada a través del proveedor de hosting alemán 1337 Services GmbH. El phishing de código de dispositivo ofreció otra ruta.

Como explica la cobertura anterior sobre el abuso de la autorización de dispositivos OAuth, las víctimas pueden aprobar una sesión controlada por un atacante mientras inician sesión en el sitio web legítimo de Microsoft. Huntress observó esta técnica durante la ola de agosto de la campaña.

Los investigadores separaron la actividad de reproducción en dos conjuntos de herramientas. La Build A utilizó intercambios de tokens programados a través de clientes de Microsoft Office y Authentication Broker, apuntando a servicios como Microsoft Graph, Exchange Online y SharePoint. La Build B reprodujo sesiones de navegador a través de OfficeHome.

El intervalo entre la autenticación y la toma de control de la cuenta fue a veces de pocos minutos: 12 minutos en un incidente de julio y cuatro minutos durante la toma de control final de septiembre. Los relevos de captura y los hosts de reproducción utilizaron infraestructuras separadas, lo que significa que bloquear un lado no detendría automáticamente el otro.

Acceso persistente y actividad oculta en el buzón

En 19 organizaciones, los atacantes eliminaron los métodos MFA existentes y registraron reemplazos dentro de las tres horas posteriores a su primer inicio de sesión vinculado a la campaña. Los dispositivos fraudulentos proporcionaron otro punto de apoyo.

La actividad del kit de phishing GhostCode, documentada por separado, ilustra por qué el registro de dispositivos merece atención durante las investigaciones de robo de tokens, aunque Huntress no atribuyó esta campaña a GhostCode.

Los atacantes también crearon reglas de bandeja de entrada que ocultaban los mensajes entrantes. Una cuenta comprometida envió un correo electrónico relacionado con la nómina a un contador externo, mientras que las reglas ocultaban los mensajes y respuestas relacionados con la banca. Otras actividades incluyeron el envío de spam a cientos de destinatarios.

Huntress te recomienda revocar las sesiones, restablecer las contraseñas, eliminar los dispositivos y métodos MFA no autorizados y revisar las reglas de la bandeja de entrada.

Debes restringir la autenticación por código de dispositivo innecesaria y examinar los nuevos permisos de las aplicaciones. El Acceso Condicional bloqueó 1,052 intentos en cuatro organizaciones durante una ola de la campaña, demostrando el valor de aplicar políticas más allá del simple MFA.