Campaña de phishing masiva utiliza técnicas AitM para comprometer cuentas de Microsoft 365
1. Introducción
En las últimas semanas, investigadores de ciberseguridad han alertado sobre una campaña de phishing masiva y activa que emplea técnicas de “adversary-in-the-middle” (AitM) para el secuestro de credenciales y el acceso fraudulento a cuentas de Microsoft 365. El objetivo de los atacantes es identificar y espiar a personal clave implicado en flujos financieros dentro de las organizaciones, así como recopilar comunicaciones sensibles asociadas. Esta campaña destaca por el uso de proxies residenciales para camuflar la procedencia del tráfico malicioso, aumentando su eficacia y dificultando la detección por parte de los sistemas de defensa convencionales.
2. Contexto del Incidente
El phishing dirigido a plataformas de productividad en la nube, como Microsoft 365, continúa siendo uno de los vectores de ataque más lucrativos para actores de amenazas, dados los millones de usuarios y la cantidad de información crítica gestionada en estos entornos. La adopción de técnicas AitM representa una evolución significativa frente a los tradicionales ataques de phishing, ya que permite a los atacantes interceptar tokens de autenticación y sortear mecanismos de seguridad avanzados como la autenticación multifactor (MFA).
Esta campaña ha sido detectada simultáneamente en diversas regiones, afectando especialmente a empresas del sector financiero, servicios profesionales y manufactura. El uso de infraestructuras de proxies residenciales permite a los atacantes simular accesos legítimos desde ubicaciones geográficas variadas, evadiendo soluciones de detección basadas en heurísticas de IP o reputación.
3. Detalles Técnicos
La campaña en cuestión explota técnicas AitM, que implican la utilización de servidores proxy intermedios capaces de interceptar y reenviar las comunicaciones entre la víctima y el portal legítimo de Microsoft 365. Uno de los procedimientos detectados sigue el siguiente flujo:
– El usuario recibe un correo electrónico de phishing, cuidadosamente diseñado para suplantar notificaciones corporativas o alertas de Microsoft 365.
– El enlace incluido redirige a una página web maliciosa que replica fielmente la interfaz de inicio de sesión de Microsoft. En este punto, se establece un servidor proxy AitM (frameworks conocidos: Evilginx2, Modlishka).
– Cuando la víctima introduce sus credenciales y el código MFA, el servidor AitM intercepta tanto usuario/contraseña como tokens de sesión y de autenticación OAuth.
– Los atacantes utilizan estos tokens para acceder en tiempo real a la cuenta comprometida, evitando la necesidad de contraseñas adicionales o MFA.
Indicadores de Compromiso (IoC) destacados:
– Dominios de phishing similares a los legítimos, con uso intensivo de TLDs poco habituales.
– Empleo de proxies residenciales (Redes como Luminati, Oxylabs) para ocultar la verdadera ubicación del atacante.
– Correlación de accesos a Microsoft 365 desde direcciones IP no asociadas a la organización, pero sin disparar alertas por pertenecer a rangos residenciales.
En términos de MITRE ATT&CK, la campaña se alinea con técnicas como Phishing (T1566.001), Adversary-in-the-Middle (T1557), Steal Web Session Cookie (T1539) y Valid Accounts (T1078).
4. Impacto y Riesgos
El impacto potencial de esta campaña es severo. Al obtener acceso a cuentas de Microsoft 365 pertenecientes a personal financiero o directivo, los atacantes pueden:
– Monitorizar hilos de correo para identificar procesos de aprobación de pagos.
– Manipular facturas y comunicaciones para lanzar ataques posteriores de Business Email Compromise (BEC).
– Exfiltrar información confidencial, con posibles consecuencias legales bajo el Reglamento General de Protección de Datos (GDPR) y la Directiva NIS2.
El uso de proxies residenciales y la interceptación de tokens MFA aumentan drásticamente la tasa de éxito del ataque y reducen la probabilidad de detección temprana. Organizaciones con MFA implementado no están completamente protegidas ante este vector.
5. Medidas de Mitigación y Recomendaciones
Ante la sofisticación de las técnicas empleadas, se recomienda:
– Habilitar políticas de acceso condicional en Microsoft 365 para restringir accesos desde ubicaciones geográficas y rangos de IP no habituales.
– Monitorizar y alertar sobre inicios de sesión desde proxies residenciales conocidos.
– Implementar autenticación basada en FIDO2 o Passkeys, que dificultan la interceptación de tokens.
– Educar a los usuarios sobre los riesgos del phishing y promover la verificación manual de URLs antes de introducir credenciales.
– Revisar los registros de acceso y detectar actividad anómala, como cambios en reglas de correo o accesos desde ubicaciones inconsistentes.
– Actualizar las configuraciones de seguridad y aplicar los parches más recientes recomendados por Microsoft.
6. Opinión de Expertos
Expertos en ciberseguridad, como los analistas del sector financiero y responsables de SOC, coinciden en que el auge de ataques AitM representa la mayor amenaza para los entornos de colaboración empresarial en la nube. Según fuentes de la ENISA, “El uso de proxys residenciales y la interceptación de tokens MFA suponen un reto sin precedentes para la detección basada en comportamiento y reputación”. Se enfatiza la importancia de avanzar hacia modelos de autenticación adaptativa y zero trust.
7. Implicaciones para Empresas y Usuarios
Para las empresas, la exposición legal y reputacional derivada de una brecha de este tipo puede ser devastadora, especialmente si involucra datos personales protegidos por el GDPR. Los usuarios, por su parte, deben asumir que el MFA no es infalible y extremar la precaución ante cualquier solicitud de autenticación inesperada. El mercado de la ciberseguridad observa un aumento del 35% en la demanda de soluciones anti-phishing avanzadas en el último año.
8. Conclusiones
El uso de técnicas AitM combinadas con proxies residenciales marca un salto cualitativo en la capacidad de los atacantes para comprometer cuentas y evadir los controles tradicionales. La defensa eficaz exige una aproximación multicapa, con tecnologías modernas de autenticación, monitorización proactiva y una fuerte concienciación de los usuarios. Las organizaciones deben revisar sus estrategias de protección y adaptarse a este nuevo panorama de amenazas.
(Fuente: feeds.feedburner.com)