Ataques de phishing con Passkey: Por qué la seguridad de Microsoft 365 no puede detenerse en el inicio de sesión

Se están utilizando ataques de phishing con temática de Passkey para comprometer cuentas de Microsoft 365. Por eso las organizaciones necesitan protección de identidad, detección de usurpación de cuentas y visibilidad posterior al inicio de sesión para detener a los atacantes después del acceso inicial.

Conclusiones principales

• Las claves de acceso siguen siendo fuertes, pero los atacantes están utilizando mensajes relacionados con las claves de acceso como señuelos de ingeniería social.
• El riesgo real comienza después de que los atacantes obtienen acceso a una cuenta de Microsoft 365 confiable.
• Los equipos de seguridad necesitan visibilidad en todo lo relacionado con la identidad, el correo electrónico, las aplicaciones en la nube y la actividad de datos.
• La detección de usurpación de cuentas y la remediación posterior a la entrega son críticas cuando la prevención falla.

Las claves de acceso están diseñadas para hacer que los ataques de phishing sean más difíciles. Por lo tanto, cuando los atacantes comenzaron a usar las claves de acceso como señuelo, captó la atención de muchas personas.

El phishing de claves de acceso es una táctica de ingeniería social donde los atacantes utilizan actualizaciones de claves de acceso, MFA o inicio de sesión único como señuelo para engañar a los usuarios y hacer que concedan acceso o cambien la configuración de autenticación.

Según una investigación reciente de Microsoft Security Research, los actores de amenazas han estado suplantando a personal de soporte técnico de IT y contactando a empleados directamente a través de llamadas telefónicas y mensajes de texto. El mensaje es simple: Su clave de acceso, MFA o configuración de inicio de sesión único necesita ser actualizada. Siga estas instrucciones ahora o corre el riesgo de perder el acceso.

Parece algo rutinario. Precisamente por eso funciona. Y una vez que un usuario muerde el anzuelo, las cosas pueden escalar rápidamente.

¿Qué sucede después de que un ataque de phishing passkey tiene éxito?

Lo primero que destaca la investigación de Microsoft es que los atacantes no estaban realmente interesados en las claves de acceso. Las claves de acceso eran solo el gancho. El verdadero objetivo era acceder a cuentas de Microsoft 365. Una vez que lo lograron, la campaña se veía muy diferente de un ataque de phishing tradicional.

Los atacantes añadieron métodos de autenticación que controlaban. Exploraron el entorno de Microsoft 365. Identificaron información valiosa. Luego comenzaron a recopilarla. En algunos casos, esa actividad continuó durante días.

Eso es lo que hace que esta campaña sea importante. La usurpación no fue el evento. Fue el comienzo.

¿Por qué los atacantes se centran en la persistencia tras comprometer Microsoft 365?

Un detalle aparece repetidamente a lo largo de los hallazgos de Microsoft: los atacantes no tenían prisa. Después de obtener acceso, se centraron en la persistencia. Se registraron nuevos métodos de autenticación, lo que les permitió mantener el control y continuar operando dentro del entorno.

Desde allí, mapearon gradualmente la organización. ¿Quién tiene acceso a qué? ¿Dónde se almacena la información valiosa? ¿Qué cuentas podrían ser útiles a continuación?

Esas respuestas no provienen de un ataque rápido de smash-and-grab. Provienen de pasar tiempo dentro del entorno. Y eso es exactamente lo que estos atacantes estaban intentando conseguir para sí mismos.

¿Por qué es difícil detectar la actividad de usurpación de cuentas?

Aquí es donde las cosas se vuelven difíciles para los defensores. Microsoft observó a atacantes utilizando Microsoft Graph, SharePoint, OneDrive, Exchange Online y otros servicios legítimos de Microsoft 365. Ninguna de esas actividades es inusual por sí sola. Los empleados buscan archivos. Acceden a SharePoint. Leen correos electrónicos. Utilizan aplicaciones empresariales. En apariencia, gran parte de la actividad del atacante parecía exactamente la misma.

El peligro solo se hizo evidente cuando esos eventos se conectaron entre sí. Un inicio de sesión exitoso fue seguido por cambios en el MFA. Los cambios en el MFA fueron seguidos por reconocimiento del tenant. El reconocimiento fue seguido por acceso a buzones y recolección de archivos.

Vistos individualmente, estos eventos parecían normales. Vistos en conjunto, revelaron un ataque que avanzaba a través del entorno.

¿Por qué es la suplantación de identidad un incidente de seguridad en la nube?

Durante años, las conversaciones sobre la protección del correo electrónico se centraron en mantener los mensajes maliciosos fuera de las bandejas de entrada. Eso sigue siendo importante, pero ataques como este destacan un desafío mucho mayor.

Una vez que los atacantes obtienen acceso a una identidad de Microsoft 365, ya no se dirigen solo al correo electrónico. Están apuntando a herramientas de colaboración, almacenamiento en la nube, comunicaciones interna, procesos empresariales y conocimiento organizacional.

En ese momento, está lidiando con mucho más que un evento de phishing. Está lidiando con un incidente de seguridad en la nube.

La seguridad se convierte en un problema diferente después de la autenticación.

La investigación de Microsoft refuerza algo que muchos equipos de seguridad ya están viendo en la práctica. Los controles de identidad sólidos siguen siendo esenciales. Tecnologías como las claves de acceso, Microsoft Entra, el acceso condicional, Microsoft Defender y Exchange Online Protection proporcionan una base sólida para proteger los entornos de Microsoft 365.

Pero el desafío cambia después de la autenticación. Las preguntas importantes se convierten en: ¿Ha comenzado una cuenta comprometida a enviar mensajes sospechosos? ¿Se ha añadido un nuevo método de autenticación? ¿Está ocurriendo una actividad inusual en el buzón? ¿Alguien ha comenzado a recopilar archivos de SharePoint o OneDrive de manera silenciosa?

Estas son las señales que a menudo surgen más tarde en el ciclo de vida del ataque. También son la razón por la cual muchas organizaciones están poniendo mayor énfasis en detección de usurpación de cuentas, remediación continua y seguridad post-entrega junto con controles de prevención tradicionales.

El objetivo no es simplemente bloquear amenazas en la puerta principal. Es entender qué sucede si una logra pasar.

¿Cómo pueden los equipos de seguridad detectar ataques posteriores al inicio de sesión?

Quizás la lección más importante de esta campaña es que nadie habría entendido el ataque observando un solo evento. Ni el inicio de sesión. Ni el registro de MFA. Ni la actividad del buzón. Ni el acceso a SharePoint. Ni las solicitudes de Microsoft Graph.

Microsoft señaló específicamente que la actividad de Graph debe evaluarse a través de la progresión del comportamiento y la correlación entre eventos en lugar de solicitudes individuales de forma aislada. Esa observación se aplica mucho más allá de esta campaña. Los ataques modernos rara vez permanecen en un solo lugar. Se mueven a través de identidades, buzones, aplicaciones, servicios en la nube y datos.

El desafío es conectar esas señales antes de que un atacante tenga tiempo de lograr su objetivo.

¿Qué deberían aprender las organizaciones de los ataques de phishing de credenciales?

Sería fácil leer esta historia y concluir que trata sobre claves de acceso. No es así. Las claves de acceso siguen siendo una de las tecnologías de autenticación más sólidas disponibles.

La lección más importante es que los atacantes siguen buscando formas de eludir los controles de seguridad explotando algo mucho más difícil de defender que la tecnología: la confianza. Y una vez que están dentro, a menudo son pacientes.

Para las organizaciones que utilizan Microsoft 365, unos controles de identidad sólidos son solo una parte de la ecuación. Ataques como este resaltan la importancia de detectar cuentas comprometidas rápidamente, remediar continuamente las amenazas emergentes y conectar la actividad a través de identidades, correo electrónico, servicios en la nube y datos.

Porque el verdadero riesgo no es el compromiso inicial. Es todo lo que sucede después.