Actores de amenaza combinan llamadas telefónicas, dominios de phishing rotativo y mensajes internos por Teams para comprometer identidades corporativas y automatizar la exfiltración de datos en entornos cloud.
Microsoft Security Research está rastreando desde mayo de 2026 una campaña de intrusiones en entornos cloud que comienza con ingeniería social telefónica y termina en exfiltración automatizada de correo, archivos de SharePoint y OneDrive. La secuencia completa — desde el primer contacto hasta la recolección masiva de datos — se repite en múltiples organizaciones con un patrón técnico consistente: inicio de sesión anómalo, agregado de métodos de autenticación controlados por el atacante, reconocimiento a través de Microsoft Graph y descarga de contenido mediante APIs REST. La investigación forense inicial depende en muchos casos del recuerdo del empleado sobre una llamada o mensaje de texto, porque la actividad en dispositivos personales no gestionados no deja rastro en telemetría de endpoint.
Cómo funciona el señuelo: passkey como pretexto para capturar tokens de sesión
El ataque comienza con una llamada o mensaje SMS al teléfono personal del empleado. Alguien que se presenta como soporte técnico interno explica que es necesario actualizar de inmediato la configuración de passkey, MFA o SSO para evitar interrupciones en el acceso. La víctima recibe un enlace que imita la experiencia de inicio de sesión legítima de Microsoft. A pesar de que el señuelo menciona passkeys, la inscripción de passkey no es el objetivo real: el término funciona como pretexto para guiar a la víctima a través de un flujo de phishing adversary-in-the-middle (AiTM) o autenticación de código de dispositivo. En el primer caso, el atacante captura credenciales y tokens de sesión; en el segundo, la víctima autoriza sin saberlo el acceso en nombre del atacante.
La interacción inicial puede no dejar evidencia forense. Si la víctima abre el enlace en un dispositivo móvil personal no incorporado a Microsoft Defender for Endpoint, la actividad relacionada no aparece en telemetría de endpoint. En múltiples investigaciones, el recuerdo del empleado sobre la llamada o el mensaje de texto se convierte en la única evidencia temprana que explica cómo comenzó el compromiso. Los investigadores deben reconstruir el ataque conectando estos reportes con inicios de sesión posteriores, eventos de autenticación de código de dispositivo, actividad de tokens y cambios en métodos de autenticación.
Infraestructura rotativa y dominios con el nombre de la organización como subdominio
Los actores de amenaza realizan investigación previa exhaustiva utilizando redes sociales y plataformas de perfiles profesionales para identificar empleados y estructura organizacional. En casos seleccionados, aprovechan cuentas ya comprometidas para expandir su alcance: desde una identidad de empleado de confianza, envían mensajes temáticos de passkey a través de Microsoft Teams, lo que aumenta significativamente la probabilidad de que otros empleados interactúen con el señuelo.
Para sostener estas operaciones, los atacantes despliegan rápidamente infraestructura de phishing construida alrededor de temas como passkeys, inscripción SSO, activación de cuenta y verificación de identidad. Una técnica recurrente consiste en registrar dominios genéricos e incrustar el nombre de la organización objetivo como subdominio, creando URLs que parecen familiares a primera vista. Ejemplos observados incluyen patrones como empresa.integratedsso[.]com y empresa.secure-passkey[.]com. Múltiples dominios pueden crearse para la misma organización, permitiendo al actor rotar infraestructura según sea necesario. Estos dominios se registran frecuentemente con el registrador Nicenic (observado en campañas de extorsión previas) y quedan operativos en cuestión de horas, dejando poco margen para que los defensores identifiquen y bloqueen la infraestructura antes de que los empleados la encuentren. El registro en sí no debe interpretarse como evidencia de participación del registrador en la actividad.
De la identidad comprometida a la exfiltración automatizada en Graph y SharePoint
Una vez que el atacante obtiene acceso inicial, la secuencia técnica se vuelve predecible. Se observa actividad de alto volumen en Microsoft Graph, descargas de SharePoint y OneDrive, y recopilación de correo electrónico a través de APIs REST. Esta actividad es consistente con recolección automatizada desde identidades cloud comprometidas utilizando infraestructura asociada a proxies. Los actores agregan métodos de autenticación propios a las cuentas comprometidas, lo que les permite mantener persistencia incluso si la víctima cambia su contraseña. La combinación de persistencia en autenticación, reconocimiento en la nube y acceso dirigido a datos forma una cadena de ataque que, aunque los dominios, direcciones IP y proveedores de hosting cambien rápidamente, mantiene una secuencia recurrente que proporciona una base más duradera para la investigación.
Para organizaciones en América Latina, esta campaña representa un riesgo estructural concreto. La dependencia de servicios cloud de Microsoft es alta en sectores financieros, de salud y gobierno en países como México, Brasil, Colombia y Argentina. La investigación previa que realizan los atacantes en redes sociales y plataformas profesionales es especialmente efectiva en contextos donde la información de empleados y estructura organizacional está ampliamente disponible en LinkedIn y otras plataformas públicas. Además, la práctica de usar dispositivos personales para acceder a recursos corporativos — común en modelos de trabajo remoto e híbrido adoptados masivamente en la región desde 2020 — amplifica la ventana de oportunidad para ataques que no dejan rastro en telemetría de endpoint corporativo. No hay datos reportados específicamente sobre víctimas en LATAM en esta campaña, pero la exposición estructural es directa: cualquier organización en la región que use Microsoft 365 y permita acceso desde dispositivos no gestionados enfrenta el mismo vector de ataque documentado por Microsoft Security Research.
Nuestro análisis
Esta campaña confirma un patrón que ya se observó en ataques de extorsión previos: la combinación de ingeniería social telefónica con infraestructura técnica de rotación rápida permite a los atacantes eludir controles de seguridad tradicionales que dependen de detección de dominios maliciosos o análisis de tráfico de red. Lo que distingue esta actividad es la inversión en investigación previa y la explotación de confianza interna a través de mensajes por Teams desde cuentas ya comprometidas. El uso de passkey como señuelo es particularmente efectivo porque apela a una práctica de seguridad legítima que las organizaciones están promoviendo activamente, lo que reduce la sospecha del empleado ante una solicitud de actualización urgente.
El desafío forense que plantea esta campaña es significativo. Cuando la interacción inicial ocurre en un dispositivo personal no gestionado, la única evidencia temprana es el testimonio del empleado. Esto obliga a los equipos de respuesta a incidentes a reconstruir la cadena de ataque conectando señales dispersas en logs de identidad, actividad de Graph, cambios en métodos de autenticación y patrones de acceso a datos. La pregunta que queda abierta es si las organizaciones están preparadas para investigar compromisos de identidad en entornos donde la evidencia forense tradicional de endpoint simplemente no existe, y si los controles de acceso condicional actuales son suficientes para detectar la agregación no autorizada de métodos de autenticación antes de que comience la exfiltración masiva de datos.