En el entorno empresarial actual, la línea que separa los dispositivos personales de los profesionales es cada vez más delgada. El modelo BYOD (Bring Your Own Device), aunque ofrece flexibilidad y ahorro de costes, se ha convertido en una de las puertas de entrada preferidas para los ciberdelincuentes. Recientemente, investigadores de seguridad han detectado una campaña sofisticada donde atacantes utilizan llamadas de voz y mensajes de texto para vulnerar cuentas de Microsoft 365 y exfiltrar datos corporativos críticos.
El vector de ataque: Ingeniería social dirigida
Los actores de amenazas, identificados como Storm-3032 y Storm-3121, están perfeccionando técnicas de vishing (phishing por voz) y smishing (phishing por SMS). El proceso comienza con una llamada al dispositivo personal del empleado, donde el atacante se hace pasar por un técnico del departamento de soporte de TI (Helpdesk).
Bajo el pretexto de una actualización necesaria en los métodos de autenticación —como una clave de acceso o una nueva configuración de inicio de sesión único (SSO)—, convencen al usuario para que haga clic en un enlace enviado a su teléfono. Este enlace redirige a una página de inicio de sesión de Microsoft falsa pero muy convincente, diseñada para capturar credenciales y tokens de sesión mediante técnicas de Adversary-in-the-Middle (AiTM).
Abuso de Microsoft Graph API: El espionaje silencioso
Una vez que los atacantes obtienen el control de la identidad del empleado, el siguiente paso no es desplegar malware convencional, lo que podría activar las alarmas de los sistemas EDR (Endpoint Detection and Response). En su lugar, utilizan la Microsoft Graph API.
La Graph API es una herramienta legítima que permite a las aplicaciones interactuar con los datos de los servicios en la nube de Microsoft. Los atacantes la utilizan para realizar un inventario exhaustivo de:
- Usuarios y grupos de la organización.
- Recursos y permisos de acceso.
- Contenido sensible almacenado en SharePoint, OneDrive y Exchange.
Lo más preocupante es que este reconocimiento es difícil de detectar, ya que las llamadas a la API parecen tráfico legítimo. Los atacantes exfiltran la información en pequeños lotes durante periodos prolongados para mantener un perfil bajo antes de vender este acceso a grupos de extorsión como ShinyHunters.
¿Cómo proteger su organización?
Para mitigar estos riesgos, es fundamental que las empresas no solo se centren en la tecnología, sino también en la gobernanza de la identidad. Desde Intedya, recomendamos las siguientes medidas estratégicas:
- Implementar MFA resistente al phishing: Utilizar métodos de autenticación basados en hardware o certificados que no puedan ser interceptados mediante técnicas de AiTM.
- Restringir permisos de Graph API: Aplicar el principio de mínimo privilegio, limitando qué usuarios y aplicaciones pueden realizar consultas masivas a la estructura de la organización.
- Monitoreo de actividad anómala: Configurar alertas para detectar patrones inusuales en las llamadas a la API y cambios repentinos en los métodos de autenticación de los usuarios.
- Formación continua: Capacitar a los empleados para que desconfíen de comunicaciones de soporte técnico que lleguen a través de canales personales o no oficiales.
El BYOD no tiene por qué ser una vulnerabilidad insalvable, siempre que se gestione bajo un marco de seguridad robusto y una cultura de prevención organizacional.
Fuentes
- Dark Reading — Voice Callers Exploit BYOD to Reach Microsoft 365, Corporate Data
https://www.darkreading.com/threat-intelligence/voice-callers-exploit-byod-microsoft-365-corporate-data