Arctic Wolf registró una táctica que explota el chat externo de Teams: los atacantes saturan bandejas de entrada y luego se presentan como help desk interno para resolver el problema que ellos mismos crearon.
Arctic Wolf documentó más de 400 incidentes en los que actores de amenaza explotaron la función de chat externo de Microsoft Teams para ejecutar ataques de ingeniería social. La táctica combina dos vectores: primero saturan las bandejas de entrada de empleados con cientos de confirmaciones de suscripción y newsletters no solicitadas; minutos después, contactan a las víctimas a través de Teams haciéndose pasar por personal de soporte IT que ofrece resolver el problema de spam que ellos mismos generaron. La secuencia temporal entre ambas fases —documentada en múltiples casos— sugiere coordinación automatizada entre la inundación de correos y el contacto posterior en la plataforma de colaboración.
Cómo la función de chat externo se convierte en vector de ataque
Microsoft Teams permite por defecto que usuarios externos a la organización inicien conversaciones con empleados, una configuración diseñada para facilitar la colaboración entre empresas. Los atacantes aprovechan esta apertura para presentarse como miembros del equipo de soporte técnico interno inmediatamente después de que la víctima haya recibido la avalancha de spam. El mensaje falso del help desk llega en el momento exacto en que el empleado está más receptivo a buscar ayuda: cuando su bandeja de entrada acaba de volverse inmanejable.
La sincronización entre ambas fases del ataque no es casual. Arctic Wolf observó que en la mayoría de los casos documentados, el contacto a través de Teams se produce minutos después de que comienza el bombardeo de correos. Esta ventana temporal reducida maximiza la credibilidad del atacante: el empleado todavía está procesando el problema cuando aparece alguien que dice poder solucionarlo. La función de chat externo, sin restricciones de dominio configuradas, no ofrece al usuario final ninguna señal visual clara de que está hablando con alguien fuera de la organización.
El patrón de 400 incidentes revela una campaña estructurada
La cantidad de casos registrados por Arctic Wolf —más de 400— indica que no se trata de intentos aislados sino de una táctica replicada sistemáticamente. La firma de seguridad no especificó el período temporal en que se concentraron estos incidentes, pero la documentación de cientos de casos sugiere que múltiples grupos de atacantes adoptaron el mismo método o que un mismo actor lo ejecutó a escala contra distintas organizaciones.
El abuso de la función de chat externo en Teams no es nuevo, pero su combinación con spam previo como mecanismo de preparación psicológica representa una evolución en la sofisticación de los ataques de ingeniería social. La inundación de correos no es el objetivo final —es el pretexto que justifica el contacto posterior. Esta estructura en dos tiempos permite al atacante controlar tanto el problema como la solución aparente, una dinámica que reduce la resistencia natural del usuario a compartir credenciales o ejecutar acciones solicitadas por un desconocido.
Por qué América Latina enfrenta exposición estructural a este vector
La adopción acelerada de Microsoft 365 en empresas latinoamericanas durante los últimos tres años —impulsada por la migración forzada al trabajo remoto— dejó en muchos casos configuraciones de seguridad por defecto sin revisión posterior. Organizaciones en México, Brasil, Colombia y Argentina que implementaron Teams como herramienta de colaboración principal rara vez ajustaron las políticas de chat externo, según patrones observados en reportes de incidentes regionales previos. La combinación de configuraciones permisivas y equipos de IT con recursos limitados para auditorías de seguridad en plataformas SaaS crea un escenario donde esta táctica puede replicarse sin fricción técnica significativa.
El factor cultural agrava la exposición: en contextos corporativos latinoamericanos, la disposición a ayudar y la confianza en figuras de autoridad técnica —como el soporte IT— tienden a ser más altas que en culturas organizacionales donde el escepticismo hacia solicitudes no verificadas está más normalizado. Un empleado que recibe ayuda no solicitada del «help desk» en medio de un problema real tiene menos probabilidades de cuestionar la legitimidad del contacto si la interacción ocurre en una plataforma corporativa oficial como Teams.
Qué configuraciones mitigan el vector sin bloquear colaboración legítima
Microsoft permite restringir el chat externo en Teams a dominios específicos aprobados, una configuración que bloquea contactos de cuentas no corporativas o de organizaciones no autorizadas. Esta política elimina el vector de ataque documentado por Arctic Wolf sin impedir la colaboración con socios comerciales conocidos. La implementación requiere que los administradores de Microsoft 365 definan una lista blanca de dominios externos permitidos en el centro de administración de Teams, una tarea que muchas organizaciones posponen indefinidamente por falta de claridad sobre qué dominios necesitan acceso.
La alternativa menos restrictiva es habilitar indicadores visuales más prominentes que distingan conversaciones internas de externas. Teams marca los contactos externos con una etiqueta, pero la señal es sutil y fácil de pasar por alto en medio de una conversación urgente. Capacitaciones específicas que simulen este tipo de ataque —incluyendo la secuencia spam-contacto— pueden elevar la tasa de detección por parte de usuarios finales, aunque la efectividad de este enfoque depende de la frecuencia y realismo de los ejercicios.
Nuestro análisis
La táctica documentada por Arctic Wolf representa un caso de manual sobre cómo los atacantes explotan no solo vulnerabilidades técnicas sino ventanas de oportunidad psicológica. La inundación de spam no es un ataque en sí mismo —es la construcción del contexto que hace creíble el ataque real. Esta estructura en dos fases requiere coordinación temporal precisa, lo que sugiere automatización o al menos procesos estandarizados que permiten escalar la operación a cientos de víctimas. La ausencia de datos sobre tasas de éxito en estos 400 incidentes impide evaluar qué porcentaje de contactos derivó en compromiso efectivo, pero la persistencia del método indica que la conversión es suficientemente alta para justificar su repetición.
Lo que Arctic Wolf no reportó —y que sería crítico para dimensionar el riesgo— es qué acciones específicas solicitaron los atacantes una vez establecido el contacto en Teams, y qué porcentaje de organizaciones afectadas tenía configuraciones restrictivas de chat externo que fallaron en bloquear el vector. Sin esos datos, queda abierta la pregunta de si este patrón seguirá escalando hasta que Microsoft cambie los valores por defecto de Teams, o si la presión de incidentes documentados forzará a las organizaciones a auditar configuraciones que llevan años sin revisión.