Durante años, las campañas de phishing han seguido un patrón relativamente reconocible, en el sentido de que los atacantes creaban copias falsas de páginas de inicio de sesión de servicios populares para engañar a los usuarios y robar sus credenciales.
Esto sigue ocurriendo, pero la ciberdelincuencia siempre avanza para sorprendernos a todos, tal y como se observa en unas investigadores de Check Point Software sobre la que parece ser una nueva tendencia. Los delincuentes informáticos están aprovechando la infraestructura legítima de autenticación de Microsoft para llevar a cabo sus ataques.
Sin falsificaciones: todo parece legal desde la plataforma de Microsoft 365
La principal diferencia respecto a las campañas de phishing convencionales es que, en esta ocasión, las víctimas no son dirigidas a páginas fraudulentas. En su lugar, acceden al portal oficial de inicio de sesión de Microsoft, lo que elimina una de las señales más habituales que los usuarios utilizan para identificar posibles fraudes y dificulta la detección tanto por parte de empleados como de soluciones de seguridad.
Según el análisis realizado por la compañía especializada en ciberseguridad, entre el 25 de junio y la segunda semana de julio se localizaron más de 200 correos electrónicos maliciosos dirigidos contra unas 120 organizaciones de distintos sectores económicos y ubicadas en varios países.
Los mensajes estaban diseñados para simular comunicaciones internas relacionadas con Microsoft Teams y aparentaban proceder del departamento de Recursos Humanos de cada empresa. El objetivo era convencer al destinatario de que debía revisar información relacionada con nóminas, compensaciones o beneficios laborales.
Los mensajes que recibían los empleados ciberatacados
Para aumentar la credibilidad, los atacantes reproducían el diseño habitual de Microsoft Planner e incluían asuntos como «HR@[empresa].com ha enviado 3 mensajes a través del chat de Teams». Además, utilizaban el encabezado visual «Hay actividad nueva en el equipo», acompañado de un aviso que indicaba la existencia de cuatro tareas pendientes para el empleado. La combinación de una apariencia familiar y un mensaje con sensación de urgencia buscaba provocar un clic inmediato antes de que el usuario analizara con detenimiento el contenido.
Otro elemento especialmente sofisticado de la campaña era la identidad del remitente. La dirección visible coincidía con la propia organización de la víctima, dando la impresión de que el correo había sido enviado desde el entorno corporativo e incluso por el propio destinatario. Todos los botones y enlaces del mensaje conducían al mismo destino: la página oficial de autenticación de Microsoft.
Precisamente ahí reside la principal innovación de esta modalidad de ataque. En lugar de capturar directamente las credenciales mediante una página falsa, los ciberdelincuentes aprovechan el sistema OAuth de Microsoft, un mecanismo legítimo que permite conceder permisos a aplicaciones de terceros para acceder a determinados recursos de una cuenta.
Cuando el usuario inicia sesión correctamente en la plataforma oficial, se le solicita autorización para que una aplicación externa pueda acceder a determinados datos. El proceso muestra opciones completamente legítimas como «Aprobar permisos» o «Aceptar en nombre de su organización», por lo que la víctima no percibe ninguna anomalía durante la autenticación.
Una vez concedido ese consentimiento, Microsoft redirige automáticamente la sesión hacia una dirección previamente configurada por los atacantes. Ese punto de redirección, alojado en un servicio de AWS API Gateway bajo su control, permite capturar el código de autorización generado durante el proceso. Posteriormente, ese código se intercambia por un token de acceso que otorga a los delincuentes permisos sobre la cuenta comprometida.
Esta técnica, que ya está documentada dentro del marco MITRE ATT&CK, ha evolucionado de forma significativa. Si en sus primeras fases requería conocimientos avanzados y se reservaba para ataques muy dirigidos, en 2026 se ha convertido en un servicio comercializable bajo el modelo conocido como Phishing as a Service (PhaaS), lo que facilita que cualquier actor malicioso pueda alquilar la infraestructura necesaria para poner en marcha campañas de este tipo.
Los investigadores de Check Point destacan que el verdadero engaño ya no reside en la página de acceso, sino en la aplicación que solicita los permisos. Mientras todo el proceso de autenticación se desarrolla sobre la infraestructura oficial de Microsoft, la única parte fraudulenta es la finalidad de la aplicación autorizada por la víctima.
Las consecuencias pueden ser especialmente graves. Una vez obtenidos los permisos, los atacantes pueden acceder a buena parte del ecosistema Microsoft 365 de la organización. Entre otras acciones, tienen capacidad para leer y buscar correos electrónicos, enviar mensajes haciéndose pasar por el usuario comprometido —una técnica habitual en los fraudes de compromiso del correo corporativo (BEC)—, consultar documentos almacenados en SharePoint y OneDrive, revisar conversaciones de Teams e incluso acceder a la información del calendario y las reuniones programadas.
En cuanto al alcance geográfico de la campaña, la investigación muestra una clara concentración en América del Norte, donde se registró el 98,3 % de los incidentes detectados. Asia y Latinoamérica representaron cada una un 0,9 % del total.
Por sectores, la industria y la manufactura fueron los principales objetivos, concentrando el 19,3 % de los correos analizados. A continuación aparecen los servicios legales y profesionales, con un 13,9 %, seguidos por las organizaciones sin ánimo de lucro, con un 10,9 %. También se registraron ataques contra organismos públicos y administraciones gubernamentales (8,9 %) y entidades sanitarias (6,9 %), mientras que el resto de actividades económicas sumaron algo más del 40 % de los casos identificados.
Ante la creciente sofisticación de estas campañas, los especialistas insisten en que las medidas tradicionales de prevención ya no son suficientes por sí solas. Recomiendan comprobar detenidamente las direcciones URL antes de acceder a cualquier enlace, verificar que exista coherencia entre el nombre mostrado y la dirección real del remitente y evitar asumir que un correo es seguro únicamente porque parece proceder de un dominio corporativo.