Una campaña de phishing AitM Microsoft 365 está causando preocupación entre equipos de seguridad. Según investigadores, los atacantes emplean técnicas de adversary-in-the-middle (AitM) para conseguir acceso a cuentas de Microsoft 365 y, después, recopilar información por correo relacionada con procesos financieros.
Lo preocupante es la forma de operar: la actividad intenta parecer tráfico legítimo de usuarios domésticos, se mantiene durante horas con automatización y se enfoca en identificar a personal clave de nómina, recursos humanos y finanzas.
Qué hace diferente a este phishing AitM
En lugar de limitarse a robar credenciales de manera directa, esta campaña usa un enfoque AitM para interceptar y reproducir la autenticación del servicio. Así, cuando la víctima visita una página trampa, el sistema captura tanto la información de acceso como los códigos asociados a la verificación multifactor (MFA).
De acuerdo con el análisis publicado, los atacantes mantienen sesiones comprometidas con cadencia aproximada de ocho horas. Esa repetición ayuda a sostener el control del acceso sin levantar demasiadas alertas inmediatas.
Proxies residenciales para disfrazar el origen
Otro elemento clave es el uso de proxies residenciales. Los investigadores indican que los inicios de sesión maliciosos se presentan como si provinieran de tráfico de consumo normal, con el objetivo de reducir la probabilidad de bloqueo por sistemas basados en reputación de IP.
En pruebas controladas, se observó que el origen de la actividad aparece en cuestión de minutos a través de nodos de salida del proxy en el mismo país de la víctima. Esto sugiere que los atacantes podrían usar datos geográficos para elegir infraestructura que encaje con la ubicación y así evadir controles que detectan accesos inusuales.
El recorrido desde el correo hasta la página trampa
La cadena de ataque comienza con correos de phishing que imitan temas relacionados con buzones de voz. El objetivo es dirigir a la víctima a un flujo que termina en una página que actúa como intermediaria del proceso real de autenticación de Microsoft.
La intrusión hace uso de una cadena de redirecciones en seis etapas que se apoya en servicios legítimos y confiables. Entre los servicios mencionados se encuentran plataformas de Google, enlaces de infraestructura de salida, y elementos de publicidad/seguimiento, además de un alojamiento en un entorno tipo AWS S3.
En el caso observado, el destino incrustado en el rastreador apuntaba a una página HTML alojada en un bucket de almacenamiento. Esa página, a su vez, redirigía al usuario hacia la infraestructura de phishing AitM Microsoft 365.
Cómo capturan credenciales y códigos MFA
Cuando la víctima llega a la página maliciosa, el comportamiento va más allá de recopilar datos básicos. El análisis destaca el uso de JavaScript para reconocer el entorno del visitante.
El script recopila información como el navegador, el sistema operativo, el tamaño de pantalla y ventana, el idioma del navegador, el desfase horario, capacidades de cookies, estado de WebDriver, proveedor de WebGL y disponibilidad de APIs del navegador. Con esos datos, los atacantes intentan adaptar el manejo del flujo y mejorar la fiabilidad del robo.
Luego, esa información se empaqueta y se envía a un endpoint mediante una petición HTTP POST. Después, el navegador es redirigido al punto de autorización de OAuth de Microsoft, pero vía el mecanismo proxy de la campaña.
Además, se consulta una API de geolocalización para obtener el código del país, y se guarda el resultado en una cookie con vencimiento de siete días. Ese detalle encaja con la idea de ajustar la infraestructura utilizada en pasos posteriores.
Automatización tras el acceso: qué ocurre después
Una vez logrado el acceso inicial, los atacantes no parecen enfocarse en cambios visibles dentro de la cuenta, al menos en la mayoría de intrusiones investigadas. En concreto, el trabajo se centra en:
- Mantenimiento de la sesión para conservar el control.
- Reconocimiento para identificar qué personas intervienen en flujos financieros.
- Recolección de buzones relacionados con esos procesos.
Los investigadores señalan que no se observó, en la mayor parte de los casos, actividad como modificación de métodos de MFA, registro de dispositivos, alteración de credenciales, phishing lateral, ni creación de reglas de bandeja de entrada.
Este patrón puede ayudar a reducir la detección temprana, porque muchas defensas buscan señales asociadas a cambios en la cuenta o abuso evidente de envíos desde el correo.
Uso de Microsoft Graph para ubicar objetivos
En línea con otras operaciones, se identificó el uso de Microsoft Graph para enumerar usuarios del tenant vinculados con funciones de nómina, recursos humanos, finanzas y administración. Tras identificar a las personas relevantes, los atacantes acceden a mensajes relacionados con temas como nóminas, facturas, pagos, banca, beneficios y documentos internos.
Con esa metodología, el robo se vuelve más selectivo: en lugar de exfiltrar todo, prioriza el contenido que encaja con la cadena de trabajo financiera del negocio.
Señales de actividad repetida y automatizada
Los investigadores indican que, entre 11 y 24 horas después de la actividad inicial anómala, comienzan inicios de sesión recurrentes cada ocho horas. En los eventos, Microsoft Outlook aparece como aplicación cliente, mientras que los agentes de usuario reportados no coinciden con el navegador esperado.
Además, se menciona la presencia de combinaciones “implausibles” de navegador y sistema operativo, por ejemplo versiones móviles de Safari o Chrome sobre Windows 10, y en ocasiones agentes como Python Requests.
Otro indicador relevante es que los inicios de sesión repetidos conservan el mismo SessionID, mientras cambian dirección IP, ASN y ubicación geográfica. Esa mezcla sugiere que la automatización mantiene la sesión mientras renueva el origen desde el cual se presenta la actividad.
Relación con amenazas de fraude de nómina
Esta campaña se vincula con tácticas que comparten similitudes con Payroll Pirate, identificado por Microsoft como un conjunto de amenazas motivadas financieramente. En ese tipo de ataques, el propósito suele incluir el secuestro de cuentas de empleados para desviar pagos de nómina hacia cuentas controladas por el atacante.
También se menciona que, desde inicios de 2025, algunas partes de campañas relacionadas han sido documentadas, y que existe un rastreo por parte de Microsoft bajo denominaciones como Storm-2657. El objetivo final no se presenta como un único incidente aislado, sino como parte de una familia de actividad con superposición táctica.
Casos con intervención “manual” en reglas del buzón
En la mayoría de casos analizados, la intrusión se habría mantenido en un nivel de operación relativamente “silencioso”. Sin embargo, los investigadores describen que en algunas situaciones los atacantes sí realizaron acciones más directas.
En esos incidentes, se creó actividad de teclado para generar reglas de bandeja de entrada que movían ciertos mensajes desde “Bandeja de entrada” a “Elementos eliminados” y marcaban los correos como leídos. Esto sugiere que, para parte de la manipulación, pudo existir intervención selectiva, mientras que para otros pasos se mantuvo la automatización centralizada.
Impacto potencial y sectores afectados
De acuerdo con el informe, la actividad habría afectado organizaciones en múltiples sectores, incluyendo salud, educación, manufactura, gobierno y servicios profesionales. También se menciona presencia en países como Estados Unidos, Canadá y Europa.
El enfoque en correos de nómina y finanzas incrementa el riesgo para tareas sensibles: identificación de personal clave, acceso a documentación interna y posible preparación para fraude u otros pasos posteriores.
Qué pueden hacer los equipos para reducir el riesgo
Ante amenazas con phishing AitM Microsoft 365, la recomendación central es asumir que el riesgo no termina en el “robo de contraseña”. La intrusión busca capturar también MFA y mantener sesiones.
Como base, los equipos pueden reforzar controles de acceso, vigilar inicios de sesión repetidos con orígenes rotativos y revisar señales de automatización: agentes de usuario inusuales, combinaciones de sistema operativo/navegador raras y cambios de ubicación con el mismo SessionID.
Asimismo, vale la pena revisar el monitoreo de correos y reglas de bandeja de entrada, especialmente en entornos donde cambios no planificados suelen indicar manipulación.
Conclusión
La campaña descrita muestra cómo el phishing AitM Microsoft 365 puede evolucionar para ser más persistente y difícil de detectar. Al combinar proxies residenciales, una cadena de redirecciones que usa servicios legítimos y una recolección detallada del entorno del usuario, los atacantes logran comprometer cuentas y luego concentrarse en correos críticos de nómina, recursos humanos y finanzas.
La clave para reducir el impacto está en reconocer patrones de automatización y sesión, y en mantener una vigilancia activa sobre accesos y cambios dentro del buzón que puedan indicar manipulación silenciosa.
Fuente: https://thehackernews.com/2026/08/microsoft-365-aitm-phishing-hijacks.html
