Hackers roban emails con ataques de phishing en Microsoft: aquí te enseñamos cómo evitarlo
Un grupo identificado como 'Storm-2372' usa códigos de dispositivo para acceder a correos electrónicos y datos en la nube sin necesidad de contraseñas. Microsoft recomienda bloquear este método de autenticación y reforzar la seguridad en cuentas corporativas.
Microsoft advierte sobre una campaña de phishing que compromete cuentas de Microsoft 365 mediante el uso de códigos de dispositivo. Los ataques, atribuidos al grupo 'Storm-2372', afectan a organizaciones de sectores estratégicos en distintas regiones del mundo.
Ataque dirigido a sectores clave
El grupo 'Storm-2372' se dirige a cuentas de Microsoft 365 en sectores gubernamentales, de defensa, telecomunicaciones, energía y salud, entre otros. Los investigadores de Microsoft sospechan que esta actividad está vinculada a intereses rusos.
El método utilizado aprovecha dispositivos con entrada restringida, como televisores inteligentes y dispositivos IoT, que requieren códigos de autenticación en un dispositivo secundario. Desde agosto de 2024, los atacantes han abusado de este sistema para obtener acceso a cuentas sin necesidad de credenciales tradicionales.
Los atacantes establecen contacto con las víctimas a través de plataformas como WhatsApp, Signal y Microsoft Teams, haciéndose pasar por figuras relevantes. Luego, envían invitaciones falsas a reuniones en línea que incluyen códigos de dispositivo generados por ellos. Cuando la víctima ingresa el código en la página de inicio de sesión de Microsoft, los atacantes obtienen acceso a su cuenta y pueden recopilar información, incluyendo correos electrónicos y datos almacenados en la nube.
Método de persistencia y recomendaciones de seguridad
Microsoft ha detectado que 'Storm-2372' también utiliza el ID de cliente de Microsoft Authentication Broker, lo que les permite generar nuevos tokens y registrar dispositivos en Microsoft Entra ID. Esto facilita el acceso prolongado a las cuentas comprometidas, aumentando el riesgo de robo de información.
Para mitigar el impacto de estos ataques, Microsoft recomienda:
- Bloquear el uso de códigos de dispositivo cuando sea posible.
- Aplicar políticas de acceso condicional en Microsoft Entra ID para restringir autenticaciones solo a dispositivos y redes confiables.
- Revocar tokens de acceso si se sospecha de una brecha de seguridad.
- Monitorear intentos de autenticación sospechosos, como múltiples solicitudes en poco tiempo o accesos desde direcciones IP desconocidas.
