Una amenaza creciente para los empleados en movilidad
En el entorno empresarial actual, la movilidad es una constante. Sin embargo, los viajes de negocios y la asistencia a eventos corporativos conllevan riesgos de ciberseguridad que a menudo pasan desapercibidos. Recientemente, se ha detectado una sofisticada campaña de secuestro de DNS (DNS Hijacking) dirigida específicamente a redes Wi-Fi en hoteles y centros de convenciones, con el objetivo de comprometer cuentas de Microsoft 365.
¿Cómo funciona el ataque?
El ataque comienza cuando los ciberdelincuentes logran acceso administrativo a las puertas de enlace (gateways) de las redes Wi-Fi públicas o de cortesía. Una vez dentro, modifican la configuración de los servidores DNS del dispositivo. El DNS es, esencialmente, la «guía telefónica» de Internet; al alterarla, los atacantes pueden redirigir el tráfico legítimo hacia infraestructuras bajo su control.
Cuando un usuario intenta acceder a su portal de Microsoft 365, en lugar de ser dirigido al sitio oficial, es enviado a una página de phishing visualmente idéntica. Lo más preocupante es el uso de flujos de autenticación de «código de dispositivo» (Device Code), que permite a los atacantes obtener tokens de acceso legítimos (OAuth), logrando así evadir la autenticación de doble factor (MFA) sin necesidad de robar contraseñas directamente.
Impacto en el sector empresarial
Según los informes de inteligencia de amenazas, esta campaña no discrimina sectores. Se han observado ataques en organizaciones de servicios financieros, salud, energía, retail y servicios legales. Al comprometer una cuenta de Microsoft 365, los atacantes obtienen acceso a:
- Comunicaciones internas confidenciales (Outlook y Teams).
- Documentación estratégica almacenada en OneDrive y SharePoint.
- Información sensible de clientes y propiedad intelectual.
Expertos vinculan estas tácticas con grupos de espionaje avanzado, como APT28 (también conocido como Fancy Bear), lo que sugiere que el objetivo final podría ser el espionaje corporativo o gubernamental.
Recomendaciones de seguridad para empresas y empleados
Desde el departamento de ciberseguridad de Intedya, recomendamos encarecidamente adoptar las siguientes medidas preventivas:
- Uso de VPN «Always-on»: Implementar soluciones de red privada virtual que cifren todo el tráfico desde el dispositivo del empleado, evitando que las manipulaciones de la red local surtan efecto.
- DNS Cifrado: Configurar los dispositivos corporativos para utilizar protocolos como DNS sobre HTTPS (DoH) o DNS sobre TLS (DoT), lo que impide la interceptación y modificación de consultas DNS.
- Desactivar WPAD: Deshabilitar el protocolo Web Proxy Auto-Discovery en los sistemas operativos Windows para evitar redirecciones maliciosas de tráfico.
- Revisión de políticas de Microsoft Entra ID: Evaluar la desactivación del flujo de autenticación por código de dispositivo si no es estrictamente necesario para la operativa de la empresa.
- Concienciación: Formar a los empleados sobre los riesgos de las redes Wi-Fi públicas y la importancia de verificar siempre la legitimidad de las solicitudes de inicio de sesión.
La seguridad de la información no termina en los muros de la oficina. Proteger a los empleados remotos es hoy una prioridad crítica para garantizar la continuidad y la integridad del negocio.
Fuentes
- Bleeping Computer — Hackers hijack hotel Wi-Fi DNS to steal Microsoft 365 accounts
https://www.bleepingcomputer.com/news/security/hackers-hijack-hotel-wi-fi-dns-to-steal-microsoft-365-accounts/