La sofisticación de los ciberdelincuentes llega hasta tal punto que ya no necesitan crear páginas falsas para robar credenciales, ahora aprovechan directamente la infraestructura legítima de autenticación de Microsoft para engañar a los usuarios y obtener acceso a sus cuentas sin despertar sospechas. Así lo advierten investigadores de Check Point Software, que han identificado un cambio táctico significativo en los patrones de ataque. La compañía ha detectado una campaña de correos maliciosos que utilizaba la página oficial de inicio de sesión de Microsoft, consiguiendo esquivar muchas de las señales de alerta tradicionales y las recomendaciones de concienciación que reciben los empleados.
Entre el 25 de junio y la segunda semana de julio, Check Point identificó más de 200 correos electrónicos maliciosos dirigidos a unas 120 organizaciones de distintos sectores y países. Los mensajes simulaban ser notificaciones de Microsoft Teams enviadas por el departamento de Recursos Humanos y apelaban a asuntos relacionados con nóminas, compensación y beneficios para provocar una reacción rápida por parte de las víctimas. La campaña imitaba el formato de Microsoft Planner y mostraba como remitente visual el mensaje “Hay actividad nueva en el equipo”. El asunto indicaba que HR@[empresa].com ha enviado 3 mensajes a través del chat de Teams y el cuerpo del correo alertaba de cuatro tareas pendientes relacionadas con los empleados, reforzando la sensación de urgencia.
Uno de los elementos más sofisticados del ataque era que la dirección visible pertenecía aparentemente a la propia organización de la víctima. El correo parecía haber sido enviado internamente e incluso parecía proceder de la misma persona que lo recibía. Además, todos los enlaces conducían al mismo destino: la página oficial de autenticación de Microsoft.
A diferencia del phishing tradicional, las pantallas que veía el usuario durante el proceso de acceso eran auténticas. Tras iniciar sesión mediante un enlace oficial de Microsoft, la víctima recibía una solicitud para conceder permisos a una aplicación de terceros. Al aceptar esa autorización, los atacantes obtenían un código que posteriormente intercambiaban por un token de acceso válido para la cuenta comprometida. Los investigadores comentan que esta técnica, ya catalogada dentro del marco MITRE ATT&CK, ha evolucionado durante 2026 desde ataques dirigidos y manuales hasta convertirse en un modelo de phishing como servicio (PhaaS), accesible para un número mucho mayor de actores maliciosos.
Una vez concedidos los permisos, el atacante se movía libremente por el entorno Microsoft 365 del usuario. Ante este escenario Check Point recomienda comprobar cuidadosamente las direcciones de correo y las URLs antes de hacer clic, evitar confiar automáticamente en mensajes procedentes de dominios internos y acceder a Teams o Planner directamente desde las aplicaciones oficiales cuando exista cualquier duda. La compañía también subraya la importancia de informar de inmediato al equipo de ciberseguridad ante cualquier mensaje sospechoso para revocar permisos OAuth y bloquear campañas activas antes de que se propaguen.
