El 23 de octubre de 2026, Infosecurity Magazine informó de una campaña mundial contra Microsoft 365 investigada por Huntress. Entre julio y septiembre de 2026, Huntress analizó inicios de sesión sospechosos en 79 organizaciones clientes y comunicó al menos 200.000 intentos, incluidos 497 inicios de sesión exitosos.
Qué significa «token spraying» en este caso
En esta campaña, «token spraying» describe intentos automatizados de inicio de sesión que reutilizan tokens de sesión robados. Un token de sesión permite mantener una sesión iniciada. El password spraying, en cambio, consiste en probar contraseñas contra distintas cuentas.
Según el relato de la campaña, los tokens robados se habían generado después de un inicio de sesión legítimo con autenticación multifactor (MFA). Quien tuviera uno podía usarlo para acceder durante esa sesión sin repetir la comprobación de MFA.
Qué actividad y persistencia comunicó Huntress
La investigación abarcó 79 organizaciones clientes de Huntress con inicios de sesión sospechosos. Esa cifra corresponde al alcance investigado. Huntress comunicó al menos 200.000 intentos y 497 inicios de sesión exitosos.
Los métodos descritos incluyeron phishing de intermediario, también llamado adversary-in-the-middle (AiTM), páginas de inicio de sesión falsas, phishing mediante códigos de dispositivo e ingeniería social. En algunos incidentes, los atacantes modificaron ajustes de MFA, añadieron teléfonos o dispositivos y crearon reglas ocultas en el correo para mantener el acceso.
Los atacantes también usaron un buzón comprometido para enviar un mensaje de phishing relacionado con nóminas. La víctima prevista aparentemente no realizó ningún pago.
Qué recomendó Huntress
Para reducir las brechas que puede dejar la MFA, Huntress recomendó configurar las directivas de acceso condicional para exigir MFA o bloquear el acceso a todos los usuarios, aplicaciones en la nube y tipos de aplicaciones cliente.
Ante una posible repetición de tokens, Huntress recomendó revocar las sesiones, restablecer las contraseñas, auditar los dispositivos y métodos de MFA de Microsoft Entra y revisar las reglas del correo.
