Microsoft detalló una campaña que secuestra cuentas corporativas en la nube y termina con alguien descargando los correos y archivos de la empresa durante días. No hay virus ni archivo adjunto: el punto de partida es una llamada al celular de un trabajador, y ninguna herramienta de correo puede detener una llamada telefónica.
El atacante no rompe la contraseña ni el segundo factor. Consigue que el propio trabajador le conceda el acceso y después registra su propio método de verificación para entrar cuando quiera.
Durante años la recomendación fue la misma: active la verificación en dos pasos y estará tranquilo. Esa recomendación sigue siendo válida, pero ya no basta por sí sola, y esto importa especialmente en Perú y Latinoamérica, donde miles de pequeñas y medianas empresas migraron su correo a la nube sin un área de sistemas que vigile lo que ocurre en esas cuentas.
El ataque no llega por correo, llega por teléfono
La campaña que Microsoft observa desde mayo de 2026 empieza fuera de los sistemas de la empresa. El atacante llama o escribe al número personal del trabajador y se presenta como el soporte técnico de su propia organización. El mensaje siempre tiene urgencia: hay que reconfigurar la clave de acceso, el segundo factor o el inicio de sesión antes de que se corte el servicio.
Quien acepta recibe un enlace en ese mismo teléfono hacia un portal que imita la pantalla de inicio de sesión de Microsoft. De ahí salen dos caminos:
- El portal intermediario. Captura las credenciales y la sesión mientras el trabajador cree estar entrando con normalidad a su cuenta.
- La autorización por código. Se le muestra un código y se le pide aprobarlo. Nadie le roba la contraseña porque nunca hizo falta: el permiso lo concede él.
Cuando el atacante ya controla una cuenta de la empresa, repite el pedido desde adentro por Teams. Un mensaje que llega de un compañero real no levanta ninguna sospecha.
Por qué una empresa pequeña es un objetivo cómodo
La gran empresa tiene mesa de ayuda propia, con nombres y anexos conocidos. La pequeña, no. Y ahí está la ventaja del atacante:
- No hay con quién verificar. El soporte suele ser un proveedor externo, un consultor que atiende por WhatsApp o alguien que rota. Recibir instrucciones de una persona desconocida es la rutina normal, no la excepción.
- Los perfiles están publicados. El cargo, el área y el nombre de la empresa figuran en redes profesionales. Eso es todo lo que el atacante necesita para sonar creíble.
- Nadie mira los registros. Microsoft 365 avisa cuando se inscribe un método de verificación nuevo, pero ese aviso no le llega a nadie que sepa interpretarlo.
El atacante registra su propia verificación
Este es el punto que conviene entender bien. Según el análisis de Microsoft, el primer objetivo después de entrar no es robar datos, sino convertir un acceso momentáneo en uno permanente. Para eso el atacante inscribe en la cuenta un método de verificación bajo su control: un teléfono nuevo, una aplicación autenticadora o un token de un solo uso.
Con ese segundo factor propio puede iniciar sesión sin que el trabajador participe, y conserva el acceso mientras existan sesiones sin revocar o credenciales válidas. Cambiar la contraseña, por sí solo, no lo expulsa.
Lo que se llevan mientras nadie mira
Con el acceso asegurado, la actividad sigue un patrón reconocible: recorrer el directorio de la organización, inventariar usuarios y permisos, buscar cuentas con privilegios altos, revisar mensajes y adjuntos, y descargar en volumen desde SharePoint, OneDrive y, en algunos casos, el correo completo.
La extracción dura de varias horas a varios días y el atacante cambia de dirección IP entre cada fase para no activar alertas de red. Para una empresa pequeña eso significa cotizaciones, contratos, datos de clientes y toda la correspondencia comercial en manos de un tercero, sin un solo archivo malicioso de por medio.
Las direcciones falsas llevan el nombre de su empresa
Los dominios que usa esta campaña no son genéricos. Se registran con nombres ligados a trámites de identidad —claves de acceso, activación de cuenta, verificación— y el enlace se arma poniendo el nombre de la empresa objetivo como subdominio, de modo que la dirección queda con la forma nombre-de-su-empresa.dominio-malicioso.com.
Entre los identificados figuran passkeyhelpdesk, secure-passkey, add-passkey y portalsetuphub. El trabajador ve el nombre de su propia empresa al inicio de la dirección y avanza sin dudar.
Cuatro cosas que puede revisar esta semana
Ninguna de estas medidas requiere comprar nada:
- Fije un canal único de verificación. Un número o un correo conocido al que cualquier trabajador pueda escribir para confirmar si un pedido es real. Y comunique que el soporte nunca pide cambios de autenticación por llamada al teléfono personal.
- Active la alerta de métodos nuevos. Cada vez que se inscriba un teléfono o una aplicación autenticadora en una cuenta, alguien debe enterarse.
- Revoque las sesiones, no solo la contraseña. Ante cualquier sospecha, cierre las sesiones activas y elimine los métodos de verificación que el usuario no reconozca.
- Desactive el inicio de sesión por código de dispositivo si su empresa no lo utiliza.
Cerrar la puerta antes de la próxima llamada
El teléfono es solo una de las vías. El correo sigue siendo la principal, y es la que sí se puede filtrar antes de que el mensaje llegue a la bandeja. Un filtro en la nube detiene los señuelos de suplantación, y la autenticación del dominio con SPF, DKIM y DMARC impide que alguien envíe mensajes usando el nombre de su empresa para preparar el terreno.
Esa es exactamente la función de Xcitione Mail Protect: bloquear phishing, suplantación y correo malicioso antes de que lleguen a sus trabajadores, con análisis de adjuntos y protección contra el fraude por correo corporativo.
Conclusión
Esta campaña demuestra que la seguridad de una empresa ya no depende solo de lo que instala, sino de lo que su gente sabe responder cuando suena el teléfono. La verificación en dos pasos hizo su trabajo; el problema fue el canal por donde se pidió el cambio.
Para un negocio sin área de sistemas, la defensa realista es doble: reducir al mínimo lo que llega por correo, y acordar con el equipo una regla simple que ningún atacante pueda saltarse — ningún cambio de acceso se hace por una llamada, nunca, sin importar cuánta urgencia transmita quien está del otro lado.
