Microsoft describe dos campañas de fraude: facturas falsas y acceso a Microsoft 365 vía passkeys

Microsoft ha publicado análisis técnicos sobre dos campañas recientes que combinan ingeniería social avanzada y abuso de infraestructura legítima para defraudar empresas y tomar control de cuentas en la nube. Según la compañía, los hechos confirmados incluyen una oleada masiva de correos fraudulentos que buscaba transferencias bancarias por ACH y una campaña persistente de acceso a identidades corporativas mediante cebos relacionados con passkeys y flujos de autenticación. A continuación explico qué ocurrió, cómo funcionan las tácticas técnicas, quiénes quedan expuestos, qué consecuencias reales pueden derivarse y qué pasos concretos deben tomar empresas y empleados.

Hechos verificados: Microsoft reportó que entre el 3 y el 5 de agosto de 2026 se enviaron más de un millón de correos de fraude dirigidos a departamentos de cuentas por pagar, usando suplantación de altos ejecutivos (CEO/CFO) y alegando facturas por una supuesta suscripción anual a ServiceNow. La compañía también documentó actividad desde mayo de 2026 consistente en intrusiones a entornos Microsoft 365 donde actores registraron métodos de autenticación propios, realizaron descargas masivas vía Microsoft Graph y extrajeron correo y archivos de SharePoint/OneDrive.

Cómo funciona técnicamente la estafa de facturas (campaña 1): los operadores registran dominios que parecen legítimos, construyen hilos de correo falsos que incluyen facturas y firmas de ejecutivos reales y envían los mensajes a través de servicios de entrega de correo de terceros confiables para evitar filtros. Microsoft indica que los mensajes estaban diseñados para reducir la sospecha: combinación de suplantación de directivos, marcas de proveedor y conversaciones previas simuladas. Además, hay evidencia (según Microsoft) del uso de herramientas generativas de IA para producir plantillas y textos personalizados a gran escala.

Cómo funciona técnicamente la campaña de passkeys y acceso a la nube (campaña 2): la primera fase es investigación previa: recopilación de información pública sobre empleados y estructura organizativa. Luego viene la ingeniería social directa por teléfono o SMS dirigida al número personal del empleado, haciéndole creer que proviene del help desk para que actualice un passkey o la configuración de SSO. Las víctimas son redirigidas a sitios falsos que imitan la experiencia de inicio de sesión de Microsoft; mediante flujos AitM (adversary-in-the-middle) o device-code phishing el actor consigue que el usuario autorice el acceso o complete un flujo que permite al atacante iniciar sesión sin robar la contraseña directamente. Tras el acceso inicial, el actor registra métodos de MFA bajo su control (número de teléfono, app autenticadora o token de software) para convertir el acceso temporal en persistente y usar la API de Microsoft Graph para inventariar, descargar y exfiltrar datos con alta velocidad, rotando infraestructuras y direcciones IP para evadir detecciones.

Quiénes resultan afectados: empresas medianas y grandes con presencia en EE. UU. fueron blanco del fraude de facturas, especialmente sectores como servicios TI, bienes de consumo, inmobiliario y manufactura discreta. En la campaña de acceso a la nube, las víctimas suelen ser usuarios con roles de negocio o técnicos con acceso a recursos en Microsoft 365; la técnica es atractiva para actores que buscan cuentas con derechos para SharePoint, OneDrive o buzones con información sensible.

Consecuencias reales: en el primer caso el riesgo es financiero directo: autorización fraudulenta de transferencias ACH y pérdida de fondos. En el segundo, la amenaza es exfiltración de datos, espionaje corporativo y preparación de extorsión (doble impacto: datos robados y posible chantaje). Además, la persistencia mediante métodos MFA controlados por el atacante dificulta la recuperación y puede permitir movimiento lateral dentro del tenant.

Aspectos todavía inciertos o estimaciones: si bien Microsoft atribuye algunas actividades a actores rastreados como Storm-3121 y UNC6671 y señala solapamientos con colectivos detectados por la comunidad, la relación exacta entre grupos, afiliados y paneles de phishing compartidos no está completamente confirmada públicamente. Tampoco hay un número público consolidado de cuentas comprometidas en la campaña de Graph; Microsoft describe patrones y casos, pero el alcance total del compromiso en organizaciones fuera de los incidentes investigados por la compañía sigue siendo estimado.

Medidas técnicas y organizativas concretas (qué deben hacer las empresas): implemente controles de pago estrictos: exigir verificación fuera de banda (llamada a número conocido) para cambios de beneficiarios o aprobaciones de pagos, exigir doble firma en transferencias ACH y retener fondos hasta la verificación. Aplique políticas de autenticación reforzadas: bloquear el registro de nuevos métodos MFA sin aprobación administrativa, limitar la inscripción de phone-as-MFA por defecto y priorizar factores con prueba de posesión hardware (FIDO2/Passkeys con attestation). Configure políticas de acceso condicional para restringir dónde y cómo se puede autorizar MFA y deshabilite métodos de inscripción automática para cuentas con privilegios. Monitorice y correlacione actividad de Microsoft Graph: active alertas por patrones de descubrimiento masivo, descargas sostenidas o accesos desde infraestructuras de proxy y trate las llamadas a Graph de forma agregada (comportamiento, no sólo llamadas individuales). Use listas de bloqueo/monitorización de dominios que imitan proveedores y configure reglas de prevención de phishing en la pasarela de correo y en Defender for Office 365. Revocar sesiones y forzar reautenticación tras detección de cambios en métodos de autenticación y realizar rotación de credenciales privilegiadas después de incidentes.

Recomendaciones concretas para empleados y departamentos de finanzas: nunca autorizar transferencias solo por correo; si llega una factura o un pedido urgente, confirmar por el canal conocido (teléfono corporativo verificado). No seguir enlaces recibidos por SMS o señales urgentes anunciando “actualice su passkey” sin comprobar con el área de TI. Si recibe una llamada de help desk que pide cambio de MFA, colgar y llamar al número interno oficial. Capacitación focalizada en vishing y comprobación de firmas digitales y encabezados del correo puede reducir riesgos.

Recursos útiles y lecturas adicionales: Microsoft publica análisis y mitigaciones en su blog de seguridad (Microsoft Security Blog), y las agencias públicas ofrecen guías prácticas sobre Business Email Compromise y estrategias de defensa contra phishing y abuso de identidad (ver, por ejemplo, la guía de CISA sobre BEC https://www.cisa.gov/resources-tools/business-email-compromise). Para entender riesgos y buenas prácticas sobre passkeys, el Centro Nacional de Ciberseguridad del Reino Unido ofrece una introducción útil: https://www.ncsc.gov.uk/guidance/passkeys-beginners-guide.

En síntesis: estos incidentes muestran dos tendencias convergentes: el uso de infraestructura legítima y capacidad de entrega a escala para evadir controles de correo, y la sofisticación de la ingeniería social orientada a quebrar mecanismos de autenticación moderna. Para reducir la probabilidad y el impacto de estas campañas se requiere una mezcla de controles técnicos (bloqueos en la inscripción de MFA, monitoreo de Graph, políticas de pago estrictas) y procesos humanos (verificación fuera de banda y capacitación específica en vishing y phishing dirigido).