Los atacantes comprometieron 97 cuentas de Microsoft 365 en 79 organizaciones mediante la reproducción de tokens de inicio de sesión robados, según los hallazgos de Huntress descritos en The Hacker News. La campaña también incluyó el registro de 48 dispositivos no autorizados de Microsoft Entra, lo que dio a los atacantes otra forma de mantener el acceso.
Huntress observó la actividad entre el 14 de julio y el 22 de septiembre de 2026. Sus investigadores identificaron 497 inicios de sesión exitosos en Microsoft 365 y rastrearon más de 200.000 intentos fallidos de inicio de sesión hasta el rango de IP 193.26.115[.]0/24. Los inicios de sesión exitosos representan actividad repetida, y no un recuento de cuentas comprometidas distintas.
Los tokens robados permitieron eludir el MFA
La campaña utilizó páginas de phishing de tipo adversario en el medio, colocadas entre las víctimas y la infraestructura legítima de inicio de sesión de Microsoft. Estas páginas capturaban credenciales y códigos de autenticación multifactor, y los retransmitían a Microsoft para completar la autenticación.
Después, los atacantes capturaron el token emitido tras el inicio de sesión y lo reprodujeron desde sus propios dispositivos en cuestión de minutos. Como el token representaba una sesión autenticada, los atacantes podían usarlo sin completar de nuevo el desafío MFA de la víctima.
Huntress denominó el enfoque «token spraying»: la reproducción de muchos tokens robados en varias organizaciones a gran escala, con un patrón comparable al password spraying. Los investigadores afirmaron que los tokens procedían de varias fuentes, entre ellas relés de phishing, phishing de código de dispositivo e ingeniería social durante procesos de inicio de sesión legítimos.
Los atacantes añadieron formas de conservar el acceso
Tras obtener el acceso, los atacantes registraron sus propias aplicaciones de autenticación para poder completar los desafíos MFA en inicios de sesión posteriores, incluso después de que una sesión robada caducara o fuera revocada.
En al menos 19 organizaciones se eliminaron los métodos de MFA existentes y se registró un reemplazo en un plazo de tres horas desde el primer inicio de sesión. En un caso observado el 21 de julio, un atacante activó una aplicación de autenticación llamada «iPhone 13» menos de 51 minutos después de secuestrar la sesión.
Los registros de dispositivos no autorizados ofrecían otro mecanismo de persistencia. Según Huntress, un dispositivo registrado puede ser una forma más duradera de solicitar tokens que una sesión robada por sí sola, y permanece en el directorio de la organización hasta que se elimina.
Los atacantes también crearon reglas ocultas en la bandeja de entrada con nombres discretos como «sss», «iT» y «........». Estas reglas eliminaban los mensajes entrantes que contenían términos relacionados con nóminas, depósitos y bonificaciones, o los trasladaban a carpetas como RSS Feeds y Conversation History.
En un buzón comprometido, una regla marcó como leído cada mensaje entrante y lo eliminó. Posteriormente, la cuenta envió spam a cientos de destinatarios externos antes de que Microsoft Entra ID Protection la clasificara como de riesgo alto.
La recuperación incluye revisar los cambios en las cuentas
Para las organizaciones que sospechen de una reproducción de tokens, Huntress recomendó revocar las sesiones y restablecer las contraseñas, además de auditar los dispositivos de Entra y revisar los métodos de MFA registrados. Su guía también incluía comprobar si hay reglas de bandeja de entrada inesperadas o nuevas aplicaciones empresariales, y restringir los flujos de código de dispositivo mediante directivas de Acceso condicional.
Estas comprobaciones abordan los cambios que los atacantes hicieron tras obtener el acceso: una sesión robada era solo una parte de la intrusión, mientras que los métodos de autenticación añadidos, los dispositivos registrados y las reglas de buzón podían seguir activos.
