Mirage2FA: el 48% de los objetivos del phishing contra Microsoft 365 está potencialmente comprometido

Una campaña activa desde hace dos años

Mirage2FA se describe como una campaña de phishing-as-a-service basada en un kit comercial. Tiene como objetivo las cuentas de Microsoft 365 abusando de los flujos de inicio de sesión legítimos. El objetivo no es una versión específica del software, sino las cuentas y los servicios vinculados mediante inicio de sesión único. La investigación de ANY.RUN, publicada el 25 de agosto de 2026, indica que el 48% de las direcciones de correo electrónico atacadas resultaron potencialmente comprometidas. La campaña está activa desde 2024 y sigue en curso en 2026.

Las cifras son significativas: 4.532 dominios de correo electrónico de organizaciones únicas están potencialmente vinculados a la campaña, lo que representa aproximadamente 4.500 empresas, en su mayoría estadounidenses y europeas. Se detectaron más de 9.000 eventos de compromiso potencial, con robo de cookies y contraseñas, inicio de sesión mediante single sign-on y evasión de la autenticación de dos factores.

Técnica: adversary-in-the-middle para robar sesiones autenticadas

El núcleo del ataque es la técnica adversary-in-the-middle (AiTM). El atacante se interpone entre la víctima y el servicio legítimo de Microsoft 365, interceptando las comunicaciones. A diferencia del phishing tradicional, que solo busca robar credenciales, aquí el objetivo es la sesión autenticada: las cookies de sesión y los tokens se capturan en tiempo real mientras la víctima interactúa con una página de inicio de sesión falsa pero funcional.

El problema es que este enfoque elude la autenticación de dos factores. La víctima introduce la contraseña y completa la verificación MFA, pero el atacante intercepta la cookie de sesión resultante. A partir de ese momento, puede utilizar la sesión ya autenticada sin necesidad de repetir la MFA. Las brechas explotadas afectan a la autenticación y a la gestión de sesiones, no a la debilidad de una contraseña concreta.

Quiénes son los objetivos: Estados Unidos a la cabeza, seguido de Europa y Asia

La distribución geográfica de las víctimas muestra un claro predominio de Estados Unidos, que representa el 63,7% del total. También se ha observado actividad en India, Singapur, Reino Unido, Canadá, Arabia Saudí, Sudáfrica y otros países. Los sectores más afectados son el tecnológico, el manufacturero y el educativo.

No se trata de un ataque indiscriminado: los 4.532 dominios de correo electrónico únicos sugieren una selección dirigida a organizaciones específicas, con concentración en empresas estadounidenses y europeas. La variedad de sectores y áreas geográficas indica una campaña amplia y persistente.

Consecuencias: sesiones robadas y acceso SSO

El daño no se limita al robo de credenciales. Con las cookies de sesión y las contraseñas robadas, los atacantes acceden a buzones de correo corporativos, cuentas de confianza y datos sensibles utilizando sesiones ya autenticadas. El acceso mediante single sign-on extiende el peligro a las aplicaciones vinculadas, a los flujos de trabajo internos y a los servicios cloud integrados con Microsoft 365.

El compromiso genera riesgos de suplantación de identidad, fraude y nuevos ataques internos. Una sesión secuestrada es más difícil de detectar y bloquear que un inicio de sesión sospechoso con credenciales robadas: el usuario legítimo aparece autenticado con normalidad, mientras el atacante opera en paralelo. Los costes de contención aumentan porque el perímetro a sanear no es una única cuenta, sino cada servicio SSO vinculado.

Mitigaciones: tratar el robo de sesión como un incidente de identidad

Las contramedidas exigen un cambio de perspectiva. El primer paso es revocar de inmediato las sesiones y los tokens comprometidos e iniciar una investigación sobre la identidad afectada. Restablecer la contraseña por sí solo no basta: si la cookie de sesión sigue siendo válida, el atacante mantiene el acceso incluso después del cambio de credenciales.

Debe adoptarse una autenticación resistente al phishing que supere la MFA tradicional basada en códigos o notificaciones push. Se necesitan controles de sesión más estrictos, como la limitación de la duración de los tokens y la supervisión de actividades anómalas. El objetivo es reducir el valor de una cookie robada y dificultar que el atacante reutilice una sesión interceptada.

Detección: sandbox interactivo e inteligencia de amenazas

Para interceptar la campaña antes de la compromisión, el sandbox interactivo de ANY.RUN aísla adjuntos y URL sospechosos y expone los pasos del ataque: redirecciones hacia páginas falsas de inicio de sesión de Microsoft 365, scripts, actividad WebSocket. Según el proveedor, la plataforma detecta amenazas en 14 segundos y reduce el tiempo medio de respuesta (MTTR) en 21 minutos por caso.

La investigación no debe limitarse a los indicadores de compromiso individuales. Los cargadores recurrentes, los datos codificados y la actividad WebSocket sospechosa pueden revelar vínculos con la campaña incluso cuando la infraestructura atacante cambia. Los feeds de inteligencia de amenazas en tiempo real proporcionan indicadores actualizados, mientras que el servicio Threat Intelligence Lookup permite pivotar desde URL, dominios, IP y archivos sospechosos hacia infraestructura relacionada, aprovechando datos procedentes de más de 16.000 organizaciones.