Nueva campaña de ingeniería social dirigida a usuarios de Microsoft 365
En un giro sofisticado de las tácticas habituales de ingeniería social, un grupo de amenazas identificado como O-UNC-066 (también conocido bajo la marca de extorsión Pink) está ejecutando una campaña de vishing (phishing por voz) que pone en riesgo la integridad de las cuentas corporativas de Microsoft 365. El ataque no busca simplemente robar una contraseña, sino obtener el control total de la identidad digital del usuario mediante el registro fraudulento de una Passkey (llave de acceso).
El ruse de la «actualización de seguridad»
Los atacantes aprovechan una funcionalidad legítima introducida por Microsoft en mayo, que permite a los administradores lanzar campañas de registro de Passkeys para mejorar la seguridad. Bajo este pretexto, los ciberdelincuentes contactan telefónicamente a los empleados, haciéndose pasar por personal de soporte técnico o del departamento de seguridad informática (IT).
Durante la llamada, convencen al usuario de que debe registrar una nueva llave de acceso por motivos de seguridad, dirigiéndolos a una URL maliciosa que suele contener la palabra «passkey» en el dominio y que imita a la perfección la imagen corporativa de la organización víctima.
Análisis técnico: El kit de phishing en tiempo real
A diferencia de los ataques automatizados convencionales, este grupo utiliza un kit de phishing basado en un panel PHP controlado por un operador. Este sistema permite al atacante:
- Interacción en tiempo real: El panel utiliza un mecanismo de sondeo (heartbeat) de un segundo para guiar a la víctima paso a paso.
- Evasión de MFA: El kit adapta la interfaz según el método de autenticación multifactor (MFA) que utilice la empresa, ya sea un código por SMS, una notificación push o un código TOTP.
- Registro de Passkey del atacante: Mientras el usuario cree que está configurando su propia llave de acceso, en realidad está vinculando una Passkey controlada por el atacante a su cuenta corporativa.
Como elemento de distracción adicional, el sitio fraudulento solicita al usuario que guarde una frase de recuperación BIP-39 (común en carteras de criptomonedas), un proceso que no tiene ninguna relación con el registro legítimo en Microsoft Entra ID, pero que aporta una falsa sensación de legitimidad técnica al proceso.
Impacto empresarial y el grupo Pink
Una vez que el atacante ha registrado su propia Passkey, el acceso a la cuenta es prácticamente permanente y difícil de detectar mediante métodos tradicionales. Investigaciones de Okta y Palo Alto Networks indican que el grupo Pink actúa con extrema rapidez, exfiltrando datos críticos de servicios como SharePoint y OneDrive inmediatamente después de obtener el acceso.
Este grupo opera bajo un modelo de extorsión, publicando muestras de los datos robados en sitios de filtración para presionar a las organizaciones al pago de un rescate.
Recomendaciones de seguridad para su organización
Desde el equipo de ciberseguridad de Intedya, recomendamos encarecidamente las siguientes medidas preventivas:
- Verificación de identidad del Helpdesk: Establecer protocolos oficiales para que los usuarios puedan verificar la identidad de cualquier técnico que les contacte telefónicamente antes de realizar cualquier acción en sus cuentas.
- Restricciones geográficas: Implementar políticas de acceso condicional para denegar solicitudes de autenticación desde ubicaciones geográficas donde la empresa no opera.
- Formación continua: Capacitar a los empleados sobre las nuevas modalidades de vishing y recordar que los procesos de seguridad críticos nunca deben ser guiados a través de llamadas no solicitadas.
- Auditoría de dispositivos: Revisar periódicamente los métodos de autenticación registrados en las cuentas de los usuarios para detectar Passkeys o dispositivos desconocidos.
Fuentes
- Bleeping Computer — Entra passkey enrollment vishing targets Microsoft 365 users
https://www.bleepingcomputer.com/news/security/entra-passkey-enrollment-vishing-targets-microsoft-365-users/