Un único correo electrónico de phishing fue suficiente para que unos atacantes accedieran a la cuenta de Microsoft 365 de un empleado de finanzas y redirigieran los pagos a proveedores. El incidente demuestra cómo los criminales pueden evadir la autenticación de múltiples factores (MFA) sin necesidad de instalar malware ni vulnerar el dispositivo de la empresa, utilizando para ello un mensaje dirigido con temática de recursos humanos sobre la denegación de una solicitud de tiempo libre remunerado.

El grupo Payroll Pirates está utilizando correos de phishing para secuestrar sesiones de Microsoft 365 y acceder a buzones relacionados con el pago de nóminas. La campaña suplanta notificaciones de mensajes de voz para dirigir a las víctimas a un portal fraudulento, logrando evadir la autenticación de múltiples factores (MFA) para cometer fraudes financieros.

Los ciberdelincuentes responsables del kit de phishing Tycoon 2FA han implementado una nueva técnica avanzada. Al combinar su infraestructura de phishing con el abuso de códigos de dispositivo OAuth, ahora son capaces de robar el acceso a cuentas de Microsoft 365 sin necesidad de capturar contraseñas, logrando así evadir la autenticación de múltiples factores (MFA).

Ciberdelincuentes han encontrado una forma silenciosa de infiltrarse en una cuenta corporativa de correo electrónico y leer todo lo que se envía y recibe, sin que el propietario de la cuenta lo sepa jamás. Los atacantes están abusando de una función integrada de Microsoft 365 llamada reglas de buzón para interceptar correos electrónicos empresariales de manera sigilosa, redirigir comunicaciones financieras y suprimir notificaciones de seguridad.

Microsoft ha presentado Copilot Cowork, una nueva función impulsada por IA integrada en Microsoft 365 que va más allá de la asistencia conversacional para ejecutar tareas de forma autónoma. A diferencia de las interacciones tradicionales de Copilot, centradas en responder preguntas o redactar contenido, Cowork está diseñado para delegar, planificar y completar flujos de trabajo de múltiples pasos en todo el ecosistema de Microsoft 365, manteniendo siempre el control total en manos de los usuarios

 

Microsoft bloqueó 13 millones de correos de phishing personalizados en 2025 explotando configuraciones incorrectas en Microsoft 365, no Zero-Days, donde la mayoría de brechas comienzan con políticas en "solo informes" desde hace años. Los atacantes de IA automatizan ataques a gran escala, identificando errores comunes en miles de inquilinos simultáneamente, reduciendo el tiempo de brecha de semanas a horas. El riesgo no son vulnerabilidades desconocidas, sino problemas conocidos sin solucionar que la IA explota hoy: autenticación heredada, permisos excesivos y políticas desactualizadas. Las herramientas existen, pero el trabajo atrasado crece; se recomienda habilitar políticas de riesgo, bloquear autenticación heredada y auditar permisos.

Una campaña de phishing en curso está atacando a usuarios de Microsoft 365 mediante el abuso de tokens OAuth para obtener acceso a largo plazo a datos corporativos. Esta campaña se centra en usuarios empresariales en Norteamérica y busca comprometer Outlook, Teams y OneDrive sin robar contraseñas directamente. 

Las aplicaciones web modernas introducen con frecuencia superficies de ataque imprevistas a través de funciones aparentemente inofensivas diseñadas para la participación del usuario, como suscripciones a boletines, formularios de contacto y restablecimientos de contraseña. Aunque las vulnerabilidades individuales puedan parecer manejables de forma aislada, los adversarios sofisticados cada vez más encadenan estos fallos menores para lograr compromisos devastadores. 

Ha surgido una nueva y sofisticada campaña de phishing, que aprovecha la infraestructura confiable de los servicios de Google Cloud para eludir los filtros de seguridad y robar credenciales de inicio de sesión de Microsoft 365. Al abusar de herramientas legítimas de automatización de flujos de trabajo, los actores de amenazas están creando ataques convincentes que se integran a la perfección con las comunicaciones auténticas, lo que dificulta cada vez más la detección tanto para los sistemas automatizados como para los usuarios finales