Ataque masivo a Microsoft 365: robaron tokens de 97 cuentas en 79 empresas
Si usás Microsoft 365 en tu empresa, prestá atención: investigadores de seguridad acaban de descubrir una campaña coordinada que logró comprometer 97 cuentas de correo en 79 organizaciones distintas. El método es sofisticado y alarmante, y es probable que haya afectado a empresas argentinas y latinoamericanas sin que se den cuenta todavía.
¿Qué pasó?
Entre julio y septiembre de 2026, los expertos de Huntress detectaron un ataque masivo basado en técnicas de "adversario en el medio" (AitM). Los atacantes utilizaron un relay malicioso para interceptar sesiones de inicio de sesión en Microsoft 365, capturar los tokens de autenticación y, luego, reutilizarlos para acceder a las cuentas de correo sin necesidad de contraseñas ni autenticación multifactor.
¿Lo más preocupante? Los investigadores registraron 497 intentos exitosos de inicio de sesión usando estos tokens robados. Esto significa que los atacantes no solo obtuvieron acceso, sino que lo mantuvieron activo durante semanas, potencialmente accediendo a correos sensibles, archivos compartidos y datos confidenciales de las organizaciones afectadas.
El ataque funciona así: el atacante intercepta la comunicación entre tu dispositivo y los servidores de Microsoft, "roba" el token de sesión válido y lo reproduce en otro lugar para acceder como si fuera vos. Es un robo de identidad digital en tiempo real.
¿Por qué importa en Argentina y América Latina?
Microsoft 365 es la suite de productividad más usada en empresas medianas y grandes de Argentina, Brasil, México y el resto de la región. Bancos, empresas de tecnología, estudios legales, consultoras y organismos gubernamentales dependen diariamente de Outlook y Teams. Si los atacantes lograron acceder a 79 organizaciones en el mundo, es muy probable que entre ellas haya empresas argentinas y latinoamericanas que aún no se hayan dado cuenta del compromiso.
Lo crítico es que el ataque fue silencioso: no requiere malware, no activa alarmas tradicionales y puede pasar desapercibido durante semanas. En un contexto donde la ciberseguridad en América Latina sigue siendo una asignatura pendiente en muchas organizaciones, esto representa un riesgo enorme para la privacidad de datos y la continuidad operativa de negocios locales.
¿Qué se recomienda?
Si sos responsable de IT en una empresa:
- Revisá los logs de acceso: Consultá los registros de Azure AD y Microsoft 365 buscando patrones anómalos, inicios de sesión desde IPs desconocidas o accesos fuera del horario laboral.
- Implementá autenticación multifactor (MFA): Si aún no lo hiciste, es el momento. MFA evita que tokens robados sean suficientes para acceder.
- Configurá políticas de acceso condicional: Azure AD te permite bloquear inicios de sesión desde ubicaciones sospechosas o dispositivos no gestionados.
- Capacitá a tu equipo: Los ataques AitM se distribuyen a menudo mediante phishing. Entrenamientos regulares pueden reducir significativamente el riesgo.
- Contactá a Microsoft: Si sospechas que tu organización fue afectada, avisá a Microsoft Security Response Center.
Si sos usuario:
- Cambiá tu contraseña de Microsoft 365 cuanto antes.
- Habilitá la autenticación multifactor en tu cuenta personal.
- Verificá en "Mi cuenta de Microsoft" qué dispositivos tienen acceso activo y desconectá los que no reconozcas.
Fuente: The Hacker News
