Alerta: Campaña de ciberataques compromete cuentas de Microsoft 365 en Latinoamérica
Una nueva campaña de ciberataques está en el radar de los expertos en seguridad de la región. Investigadores de Proofpoint acaban de revelar detalles de UNK_CondorFiltration, una operación que ha comprometido más de 5.700 cuentas de Microsoft 365 en 28 organizaciones diferentes. Lo preocupante: el ataque se originó desde casi 1.500 direcciones IP únicas de AWS EC2, y tiene a Chile como blanco principal. ¿Qué significa esto para vos si trabajás en Argentina o en cualquier lado de América Latina?
¿Qué pasó?
Los investigadores identificaron una campaña activa llamada TeamFiltration que apunta específicamente a instituciones de retail y financieras en Chile. Hasta ahora, se han confirmado 7 cuentas de Microsoft 365 comprometidas, pero los números son mucho más alarmantes: más de 5.700 intentos de acceso no autorizado fueron detectados en 28 tenants diferentes.
Lo interesante (y lo peligroso) es que los atacantes utilizaron contraseñas por defecto para acceder a estas cuentas. Esto sugiere que muchas organizaciones nunca cambiaron las credenciales estándar que vienen con las soluciones cloud, dejando una puerta abierta de par en par. Las direcciones IP de ataque provinieron principalmente de instancias EC2 de Amazon, probablemente comprometidas o alquiladas específicamente para esta operación.
Proofpoint vincula esta actividad con campañas previas de filtración de datos, lo que indica que los atacantes no solo buscan acceso temporal, sino que probablemente están exfiltrando información sensible de estas organizaciones.
¿Por qué importa en Argentina y América Latina?
Aunque el foco actual esté en Chile, este ataque es un campanazo para todas las empresas de la región. Argentina, Uruguay, Paraguay y Colombia tienen miles de organizaciones que utilizan Microsoft 365 sin auditar adecuadamente sus credenciales de acceso. Si vos trabajás en una empresa que usa este servicio, es muy probable que existan cuentas con contraseñas por defecto en tu infraestructura.
Las instituciones financieras son particularmente vulnerables, y en Latinoamérica contamos con varias grandes cadenas retail que podrían ser objetivos. Un compromiso masivo de datos en estas industrias no solo significa pérdida de información sensible de clientes, sino también problemas regulatorios graves bajo normas como RGPD (si tienen operaciones en Europa) y las leyes locales de protección de datos.
¿Qué se recomienda?
Si sos responsable de TI o seguridad en tu organización, acá van los pasos inmediatos:
- Audita todas las credenciales por defecto en Microsoft 365. No importa qué tan antiguo sea tu sistema, nunca es tarde para cambiar contraseñas genéricas.
- Implementá autenticación multifactor (MFA) en todas las cuentas. Es la defensa más efectiva contra este tipo de ataques.
- Revisa los logs de acceso a Microsoft 365 de los últimos 30-60 días. Buscá patrones sospechosos, IPs desconocidas, accesos fuera de horario.
- Monitoreá el comportamiento anómalo en tus tenants. Herramientas como Microsoft Defender for Cloud Apps pueden ayudarte a detectar actividad maliciosa.
- Capacitá a tu equipo sobre gestión de contraseñas. No es solo responsabilidad del área de seguridad; todos deben entender la importancia de credenciales fuertes.
La realidad es que los atacantes van por lo fácil primero. Si dejás puertas abiertas con contraseñas por defecto, no necesitan usar técnicas sofisticadas. Refuerza tus defensas básicas y reducirás drásticamente tu riesgo de ser el próximo objetivo en Latinoamérica.
Fuente: The Hacker News
