NoticiasNews

Microsoft 365: robo de tokens compromete 97 cuentas en 79 organizaciones aun con MFAMicrosoft 365 token replay compromises 97 accounts at 79 organizations despite MFA

2026-10-26

Según reportó The Hacker News el 26 de octubre de 2026, con base en una investigación de Huntress, una campaña contra Microsoft 365 logró comprometer 97 cuentas en 79 organizaciones entre el 14 de julio y el 22 de septiembre de 2026. Los atacantes obtuvieron 497 inicios de sesión exitosos a partir de más de 200,000 intentos.

Cómo funciona el ataque

Los atacantes usaron páginas de inicio de sesión falsas que capturaban credenciales y códigos MFA y los retransmitían al acceso real de Microsoft. Con el token resultante, que Huntress describe como una "prueba de inicio de sesión", entraban desde sus propios equipos en cuestión de minutos. Los tokens también se obtuvieron mediante phishing de código de dispositivo e ingeniería social durante un acceso legítimo.

Qué hicieron después

  • Registraron 48 dispositivos no autorizados en Entra.
  • En al menos 19 organizaciones eliminaron los métodos MFA existentes y registraron uno nuevo en menos de tres horas; en un caso, menos de 51 minutos.
  • Crearon reglas ocultas en la bandeja que borraban o movían correos sobre nómina, depósitos y bonos.
  • Usaron un buzón comprometido para enviar spam a cientos de destinatarios externos.

Medidas recomendadas

Huntress recomienda revocar sesiones y restablecer contraseñas de las víctimas probables, auditar los dispositivos de Entra y los métodos MFA, buscar reglas de bandeja y aplicaciones empresariales inesperadas, y restringir el flujo de código de dispositivo con políticas de acceso condicional.

Lo que significa para soporte y TI

Un incidente así suele llegar primero como un ticket aparentemente menor: "me pidieron cambiar mi autenticador" o "no me llegan unos correos". Si esas solicitudes se atienden por canales dispersos y sin historial, el patrón se pierde. Servigo365 ayuda a que cada solicitud quede registrada como ticket, con su historial, prioridad y SLA, de modo que el equipo de TI pueda ver rápido si varias señales apuntan a un mismo problema y escalarlas a seguridad a tiempo.

Fuente: The Hacker News / Huntress, 26 de octubre de 2026.

As The Hacker News reported on October 26, 2026, based on Huntress research, a campaign against Microsoft 365 compromised 97 accounts at 79 organizations between July 14 and September 22, 2026. Attackers made 497 successful sign-ins out of more than 200,000 attempts.

How the attack works

Attackers used fake sign-in pages that captured credentials and MFA codes and relayed them to the real Microsoft login. With the resulting token, which Huntress calls a "proof of login", they signed in from their own devices within minutes. Tokens were also obtained through device-code phishing and social engineering during a legitimate login.

What they did next

  • They registered 48 rogue devices in Entra.
  • At at least 19 organizations they removed existing MFA methods and registered a new one within three hours; in one case, under 51 minutes.
  • They created hidden inbox rules that deleted or moved emails about payroll, deposits and bonuses.
  • They used a compromised mailbox to send spam to hundreds of external recipients.

Recommended steps

Huntress advises revoking sessions and resetting passwords for likely victims, auditing Entra devices and MFA methods, looking for unexpected inbox rules and enterprise applications, and restricting the device-code flow with Conditional Access policies.

What it means for support and IT

An incident like this often arrives first as a seemingly minor ticket: "I was asked to change my authenticator" or "some emails are missing". If those requests are handled across scattered channels with no history, the pattern is lost. Servigo365 helps keep every request recorded as a ticket with its history, priority and SLA, so IT can quickly see whether several signals point to the same problem and escalate to security in time.

Source: The Hacker News / Huntress, October 26, 2026.

← Volver al blog← Back to blog