{"id":757,"date":"2026-05-05T09:11:01","date_gmt":"2026-05-05T09:11:01","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/05\/microsoft-detalla-una-campana-de-phishing-dirigida-a-35-000-usuarios-en-26-paises-cyberdefensa-mx\/"},"modified":"2026-05-05T09:11:01","modified_gmt":"2026-05-05T09:11:01","slug":"microsoft-detalla-una-campana-de-phishing-dirigida-a-35-000-usuarios-en-26-paises-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/05\/microsoft-detalla-una-campana-de-phishing-dirigida-a-35-000-usuarios-en-26-paises-cyberdefensa-mx\/","title":{"rendered":"Microsoft detalla una campa\u00f1a de phishing dirigida a 35.000 usuarios en 26 pa\u00edses \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Microsoft ha revelado detalles de una campa\u00f1a de robo de credenciales a gran escala que ha aprovechado una combinaci\u00f3n de se\u00f1uelos con temas de c\u00f3digo de conducta y servicios de correo electr\u00f3nico leg\u00edtimos para dirigir a los usuarios a dominios controlados por atacantes y robar tokens de autenticaci\u00f3n.<\/p>\n

La campa\u00f1a de varias etapas, observada entre el 14 y el 16 de abril de 2026, se dirigi\u00f3 a m\u00e1s de 35 000 usuarios en m\u00e1s de 13 000 organizaciones en 26 pa\u00edses, con el 92 % de los objetivos ubicados en los EE. UU. La mayor\u00eda de los correos electr\u00f3nicos de phishing estaban dirigidos a los sectores de atenci\u00f3n m\u00e9dica y ciencias biol\u00f3gicas (19 %), servicios financieros (18 %), servicios profesionales (11 %) y tecnolog\u00eda y software (11 %).<\/p>\n

\u00abLos se\u00f1uelos de esta campa\u00f1a utilizaron plantillas HTML pulidas de estilo empresarial con dise\u00f1os estructurados y declaraciones de autenticidad preventivas, lo que los hace parecer m\u00e1s cre\u00edbles que los t\u00edpicos correos electr\u00f3nicos de phishing y aumenta su plausibilidad como comunicaciones internas leg\u00edtimas\u00bb, dijo el equipo de investigaci\u00f3n de seguridad de Microsoft Defender y Microsoft Threat Intelligence. dicho<\/a>.<\/p>\n

\u00abDebido a que los mensajes conten\u00edan acusaciones y repetidas indicaciones de acci\u00f3n con plazos determinados, la campa\u00f1a cre\u00f3 una sensaci\u00f3n de urgencia y presi\u00f3n para actuar\u00bb.<\/p>\n

Los mensajes de correo electr\u00f3nico utilizados en la campa\u00f1a emplean se\u00f1uelos relacionados con revisiones del c\u00f3digo de conducta, utilizando nombres para mostrar como \u00abCOC regulatorio interno\u00bb, \u00abComunicaciones de la fuerza laboral\u00bb e \u00abInforme de conducta del equipo\u00bb. Las l\u00edneas de asunto asociadas con estos correos electr\u00f3nicos incluyen \u00abRegistro de casos interno emitido bajo la pol\u00edtica de conducta\u00bb y \u00abRecordatorio: el empleador abri\u00f3 un registro de casos de incumplimiento\u00bb.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

\u00abEn la parte superior de cada mensaje, un aviso dec\u00eda que el mensaje hab\u00eda sido ‘emitido a trav\u00e9s de un canal interno autorizado’ y que los enlaces y archivos adjuntos hab\u00edan sido ‘revisados \u200b\u200by aprobados para acceso seguro’, reforzando la supuesta legitimidad del correo electr\u00f3nico\u00bb, explic\u00f3 Microsoft.<\/p>\n

Se eval\u00faa que los correos electr\u00f3nicos se env\u00edan desde un servicio de entrega de correo electr\u00f3nico leg\u00edtimo. Los mensajes tambi\u00e9n vienen con un archivo adjunto en PDF que supuestamente brinda informaci\u00f3n adicional sobre la revisi\u00f3n de conducta, incitando a las v\u00edctimas a hacer clic en un enlace dentro del documento para iniciar el flujo de recolecci\u00f3n de credenciales.<\/p>\n

Se ha descubierto que la cadena de ataque dirige a las v\u00edctimas a trav\u00e9s de m\u00faltiples rondas de CAPTCHA y p\u00e1ginas intermedias que est\u00e1n dise\u00f1adas para darle al esquema una apariencia de legitimidad, al mismo tiempo que mantiene alejadas las defensas automatizadas.<\/p>\n

\"\"<\/a><\/div>\n

En \u00faltima instancia, termina con una experiencia de inicio de sesi\u00f3n que aprovecha las t\u00e1cticas de phishing del adversario en el medio (AiTM) para recolectar credenciales y tokens de Microsoft en tiempo real, lo que permite de manera efectiva a los actores de amenazas eludir la autenticaci\u00f3n multifactor (MFA). El destino final, seg\u00fan Microsoft, depende de si el flujo malicioso se activ\u00f3 desde un dispositivo m\u00f3vil o un sistema de escritorio.<\/p>\n

Tendencias de phishing en 2026<\/h3>\n

La divulgaci\u00f3n se produce cuando el an\u00e1lisis de Microsoft del panorama de amenazas de correo electr\u00f3nico entre enero y marzo de 2026 revel\u00f3 que el phishing con c\u00f3digos QR surgi\u00f3 como el vector de ataque de m\u00e1s r\u00e1pido crecimiento, mientras que el phishing controlado por CAPTCHA evolucion\u00f3 \u00abr\u00e1pidamente\u00bb en todos los tipos de carga \u00fatil. En total, el gigante tecnol\u00f3gico dijo que detect\u00f3 alrededor de 8.300 millones de amenazas de phishing basadas en correo electr\u00f3nico.<\/p>\n

De estos, casi el 80% estaban basados \u200b\u200ben enlaces, donde los archivos HTML y ZIP de gran tama\u00f1o representaban una gran parte de las cargas maliciosas distribuidas a trav\u00e9s de correos electr\u00f3nicos de phishing. El objetivo final de la gran mayor\u00eda de estos ataques era la recolecci\u00f3n de credenciales, y la entrega de malware disminuy\u00f3 a apenas un 5-6% al final del trimestre.<\/p>\n

Microsoft tambi\u00e9n dijo que los operadores de la plataforma de phishing como servicio (PhaaS) Tycoon 2FA han intentado cambiar los proveedores de alojamiento y los patrones de registro de dominios siguiendo una operaci\u00f3n de interrupci\u00f3n coordinada en marzo de 2026.<\/a><\/p>\n

\u00abHacia finales de marzo, vimos a Tycoon 2FA alejarse de Cloudflare como servicio de alojamiento y ahora aloja la mayor\u00eda de sus dominios en una variedad de plataformas alternativas, lo que sugiere que el grupo est\u00e1 intentando encontrar servicios de reemplazo que ofrezcan protecciones anti-an\u00e1lisis comparables\u00bb, dijo. agregado<\/a>.<\/p>\n

\"\"<\/a><\/div>\n

En un informe publicado en febrero, la Unidad 42 de Palo Alto Networks resaltado<\/a> c\u00f3mo los actores de amenazas est\u00e1n abusando de los c\u00f3digos QR como acortadores de URL para disfrazar destinos maliciosos, enlaces profundos en aplicaciones para robar credenciales de cuentas y eludir la seguridad de la tienda de aplicaciones al vincular a descargas directas de aplicaciones maliciosas.<\/p>\n

Los datos de Microsoft muestran un aumento masivo del phishing con c\u00f3digos QR durante el per\u00edodo de tres meses, ya que los vol\u00famenes de ataques aumentaron de 7,6 millones en enero a 18,7 millones en marzo, lo que representa un aumento del 146%. Un avance notable observado a finales de marzo fue el uso de c\u00f3digos QR integrados directamente en los cuerpos de los correos electr\u00f3nicos.<\/p>\n

Las estafas de compromiso de correo electr\u00f3nico empresarial (BEC), por otro lado, mostraron m\u00e1s fluctuaciones, superando m\u00e1s de 4 millones en volumen de ataques en marzo de 2026, frente a m\u00e1s de 3,5 millones en enero y m\u00e1s de 3 millones en febrero. En conjunto, se registraron 10,7 millones de ataques BEC.<\/p>\n

A continuaci\u00f3n se muestran dos campa\u00f1as notables observadas durante el primer trimestre de 2026:<\/p>\n