AgreeTo el complemento de Outlook que se convirtió en un kit de phishing y robó miles de credenciales

Hace unos días se destapó un incidente inquietante que muestra hasta qué punto la cadena de confianza en las extensiones de correo puede romperse cuando un proyecto queda “huérfano”. Un complemento legítimo para Outlook llamado AgreeTo, creado originalmente para facilitar la programación de reuniones, fue secuestrado y convertido en un kit de phishing que, según la investigación, llegó a recopilar más de 4.000 credenciales de cuentas Microsoft, además de datos sensibles como números de tarjeta y respuestas a preguntas de seguridad.

No se trató de un fallo en Outlook, sino de la forma en que funcionan los add-ins de Office: estos complementos son básicamente páginas web alojadas en servidores del desarrollador y son cargadas dentro del cliente de Microsoft. Microsoft revisa el manifiesto del add-in al momento de la publicación y lo firma, pero salvo excepciones no hay un control continuo sobre el contenido que ese URL sirve una vez que el complemento ya está publicado. La documentación oficial explica cómo se integran estos complementos y por qué su contenido puede venir de cualquier servidor externo: esto forma parte de la arquitectura de Office Add-ins.

En el caso de AgreeTo, el desarrollador original publicó el complemento en diciembre de 2022 y utilizó una URL alojada en Vercel. Con el tiempo la aplicación quedó abandonada y el dominio asociado a ese despliegue quedó disponible para ser reclamado. Un actor malicioso aprovechó esa oportunidad para apuntar la URL a un conjunto de páginas diseñadas para engañar al usuario: una réplica de la página de inicio de sesión de Microsoft, una página para recopilar contraseñas, un script para enviar esos datos al atacante y una redirección posterior a la página legítima para disimular el robo.

El mecanismo de exfiltración fue sorprendentemente directo: los datos robados se enviaban mediante la API de bots de Telegram, un canal que los investigadores de Koi Security consiguieron localizar y utilizar para confirmar la escala del ataque. Gracias a ese acceso, los analistas comprobaron que los operadores habían recopilado miles de credenciales y que, además, estaban probando activamente las cuentas robadas para comprobar su validez. El informe técnico del equipo que descubrió el incidente recoge todos los hallazgos y el análisis del kit de phishing: Koi Security: investigación de AgreeTo.

La noticia fue recogida por medios especializados que han señalado el alcance y la singularidad del caso: según informes, podría ser la primera instancia documentada de un complemento malicioso funcionando desde la tienda oficial de Microsoft y explotando la confianza implícita que los usuarios depositan en el marketplace. Entre otras coberturas, BleepingComputer informó sobre la investigación y la reacción inicial.

Desde el punto de vista técnico, el add-in conservaba permisos que le habrían permitido leer y modificar mensajes (ReadWriteItem). Aunque Koi no encontró pruebas de que el actor los hubiera usado para manipular correos o crear reglas de reenvío, la mera posesión de esos permisos aumenta el riesgo: una extensión maliciosa con capacidad de modificar el mailbox podría robar información adicional o abrir rutas de persistencia en una cuenta comprometida.

¿Cómo se aprovechó la situación? El flujo de la estafa era simple y efectivo. Cuando un usuario abría la extensión en la barra lateral de Outlook, en lugar de ver la interfaz de programación esperada, aparecía un formulario que parecía ser la auténtica pantalla de autenticación de Microsoft. Al introducir credenciales, esas se enviaban al servidor controlado por el atacante y, acto seguido, la víctima era redirigida a la verdadera página de inicio de sesión para que el comportamiento pareciera legítimo y el usuario no sospechara inmediatamente.

Los atacantes demostraron además un patrón: Koi Security señala que el operador tras este kit administra múltiples colecciones de páginas de phishing dirigidas a proveedores de servicios, bancos y correos web. Esto sugiere un modelo de negocio recurrente basado en kits reutilizables que se despliegan donde haya una oportunidad, y en este caso la oportunidad surgió porque un complemento aprobado quedó sin mantenimiento y su URL fue reclamada.

¿Qué hicieron Microsoft y los investigadores? Los analistas de Koi detectaron la actividad, accedieron al canal de exfiltración y documentaron el alcance del robo. Tras la divulgación, Microsoft eliminó el complemento de la tienda. Es importante recordar que la rápida retirada de un add-in no repara automáticamente las cuentas ya comprometidas; por eso la comunicación de los hallazgos y las recomendaciones a los usuarios son críticas en estos casos.

Si tienes la extensión AgreeTo instalada en tu Outlook o sospechas que tu cuenta podría haber sido afectada, actúa con rapidez. Primero, elimina el complemento y cambia la contraseña de tu cuenta Microsoft. Activa la autenticación multifactor (MFA) si aún no la tienes activada: la protección adicional reduce fuertemente la eficacia de credenciales robadas. Microsoft explica cómo funciona MFA y por qué es una barrera esencial: más sobre autenticación multifactor. También conviene revisar la actividad reciente de inicio de sesión, cerrar sesiones abiertas y comprobar si hay reglas de reenvío o permisos sospechosos en el buzón.

Este caso deja varias lecciones claras para usuarios y plataformas: los mercados de extensiones deben mejorar sus controles continuos sobre el contenido que sirve una URL aprobada, especialmente cuando esa URL cambia de dueño o el desarrollador deja de mantenerla. Para los usuarios, la precaución pasa por limitar permisos a lo estrictamente necesario, desconfiar de formularios de inicio de sesión insertados en sitios o aplicaciones que no esperabas y usar contraseñas únicas junto con gestores y MFA. Para los administradores y responsables de seguridad, es imprescindible auditar periódicamente las extensiones instaladas en entornos corporativos y aplicar políticas que impidan la instalación de complementos no verificados por el departamento de TI.

Si quieres profundizar en los detalles técnicos del ataque, la investigación de Koi Security ofrece el análisis pormenorizado del kit y de los indicadores de compromiso. Para entender cómo funciona la API que usaron los atacantes para exfiltrar datos, la documentación oficial de Telegram sobre bots y su API aclara por qué ese canal fue elegido: Telegram Bot API. Y si necesitas gestionar complementos a nivel organizativo, Microsoft dispone de guías para administradores sobre cómo controlar y retirar add-ins en entornos Microsoft 365: gestión de add-ins en Microsoft 365.

En definitiva, el episodio de AgreeTo es un recordatorio de que la seguridad no termina cuando un software es publicado en una tienda oficial: la vigilancia continua, tanto por parte de las plataformas como de los usuarios, es imprescindible para que el ecosistema de complementos siga siendo útil y seguro. Si tienes dudas sobre pasos concretos a dar tras una posible exposición, consulta con el soporte oficial o con tu equipo de seguridad y prioriza bloquear el acceso inmediato cambiando claves y activando MFA.