NoticiasNews

El atacante ya no escribe malware: llama por teléfono haciéndose pasar por la mesa de ayuda, y el endpoint nunca se enteraAttackers Stopped Writing Malware: They Call You Pretending to Be the Help Desk, and the Endpoint Never Notices

2026-09-10

Un informe de Arctic Wolf publicado el 8 de septiembre de 2026 describe un clúster de amenazas activo y extendido, rastreado como PREY-0058, que no instala malware, no explota una vulnerabilidad de software y no toca el endpoint. Levanta el teléfono.

Cómo funciona el ataque

La secuencia es notablemente simple y por eso funciona:

  • Los atacantes llaman por teléfono suplantando a personal interno de TI o de la mesa de ayuda.
  • Dirigen a la víctima a una URL con temática de autenticación, típicamente con el formato organización-de-la-víctima.dominio-señuelo, lo que le da apariencia legítima.
  • Los objetivos preferidos son directores, vicepresidentes y personal ejecutivo, es decir, quienes tienen acceso amplio y menos tiempo para dudar.
  • En esas páginas, paneles de adversary-in-the-middle interceptan credenciales y aprobaciones de autenticación multifactor en tiempo real. La MFA se aprueba de verdad; el atacante simplemente está en el medio.

El detalle que rompe las defensas habituales

Las sesiones robadas se reproducen desde infraestructura de proxy residencial, sobre todo NodeMaven, con direcciones IP que resuelven a la misma geolocalización y la misma red (ASN) que la víctima. Esto anula la detección más común contra el robo de sesiones: la alerta de viaje imposible. Para el sistema, el usuario sigue conectándose desde su ciudad, con su proveedor de internet.

Una vez dentro, la actividad inicial pasa por aplicaciones como My Signins, My Profile y My Apps, que le revelan al atacante los detalles de la cuenta y qué aplicaciones tiene disponibles la víctima. Después viene el reconocimiento contra SharePoint y Entra ID, con eventos SearchQueryPerformed que mapean sitios y archivos, y la extracción masiva de datos desde OneDrive, Exchange y Box. El cierre es una demanda de extorsión.

Qué monitorear

  • Inicios de sesión en Microsoft 365 desde proxies residenciales o redes de hosting.
  • Sesiones que arrancan accediendo en secuencia a OfficeHome, My Signins, My Profile, My Apps y Microsoft Account Controls.
  • Desviaciones del patrón normal del usuario: ubicación, ISP, navegador, sistema operativo o user agent distintos.
  • Eventos SearchQueryPerformed inusuales en SharePoint que enumeran sitios y archivos.
  • Gran volumen de eventos MailItemsAccessed en Exchange en poco tiempo, sobre todo desde IP de hosting o proxy.
  • Descargas masivas de SharePoint y OneDrive por un solo usuario, especialmente con herramientas de scripting como Python requests o Microsoft Graph.
  • Dominios de phishing nuevos que imiten a su organización y apunten al registro de passkeys o MFA.

Cómo reducir el riesgo

  • Exigir dispositivos gestionados para acceder a Microsoft 365 y bloquear o desafiar el acceso desde redes de proxy y hosting.
  • Usar MFA resistente a phishing: llaves FIDO2 o passkeys vinculadas al dispositivo, que sí detienen los ataques adversary-in-the-middle.
  • Limitar el acceso de los usuarios a datos sensibles en SharePoint y habilitar Continuous Access Evaluation.
  • Entrenar a los empleados y a los equipos de mesa de ayuda para verificar llamadas de TI inesperadas por un canal de confianza.

El punto que nadie quiere mirar

Ese último control es el más barato y el más ignorado. El ataque no funciona por una falla técnica: funciona porque la mesa de ayuda es una relación de confianza sin protocolo de verificación. Todo el mundo sabe que TI a veces llama. Nadie tiene claro cómo confirmar que quien llama es realmente TI.

La contramedida no es tecnología nueva, es proceso registrado: un canal de verificación conocido por todos, un registro de qué contactos legítimos inició realmente la mesa de ayuda, y la capacidad de que un empleado consulte en segundos si ese ticket existe. Cuando el soporte opera por llamadas informales y mensajes sueltos, esa verificación es imposible.

En TEKFENIX diseñamos Servigo365 partiendo de esa idea: toda interacción de soporte queda registrada como ticket identificable, con canal, responsable y trazabilidad, sea que llegue por teléfono, WhatsApp, correo o chat. Eso convierte la pregunta ¿esta llamada de TI es real? en algo que el usuario puede verificar en lugar de suponer. Si su organización todavía depende de que la gente reconozca la voz de soporte, conversemos sobre cómo darle a su mesa de ayuda una identidad verificable.

An Arctic Wolf report published on September 8, 2026 describes an active, widespread threat cluster tracked as PREY-0058 that installs no malware, exploits no software vulnerability and never touches the endpoint. It picks up the phone.

How the attack works

The sequence is remarkably simple, which is why it works:

  • Attackers call by phone impersonating internal IT or help desk personnel.
  • They direct the victim to an authentication-themed URL, typically formatted as victim-organization.lure-domain, which lends it legitimacy.
  • Preferred targets are directors, vice presidents and executive staff, that is, people with broad access and less time to hesitate.
  • On those pages, adversary-in-the-middle panels intercept credentials and multi-factor approvals in real time. The MFA prompt is genuinely approved; the attacker is simply in the middle.

The detail that breaks standard defenses

Stolen sessions are replayed from residential proxy infrastructure, most notably NodeMaven, using IP addresses that resolve to the same geolocation and network (ASN) as the victim. This defeats the most common detection against session theft: the impossible-travel alert. As far as the system is concerned, the user is still signing in from their city, on their ISP.

Once inside, initial activity runs through applications like My Signins, My Profile and My Apps, which reveal account details and which applications the victim can reach. Then comes discovery against SharePoint and Entra ID, with SearchQueryPerformed events mapping sites and files, followed by mass data extraction from OneDrive, Exchange and Box. The finale is an extortion demand.

What to monitor

  • Microsoft 365 sign-ins from residential proxies or hosting networks.
  • Sessions that begin by accessing OfficeHome, My Signins, My Profile, My Apps and Microsoft Account Controls in sequence.
  • Deviations from a user’s normal pattern: different location, ISP, browser, operating system or user agent.
  • Unusual SearchQueryPerformed events in SharePoint that enumerate sites and files.
  • Large numbers of MailItemsAccessed events in Exchange in a short window, especially from hosting or proxy IPs.
  • Heavy SharePoint and OneDrive downloads by a single user, particularly using scripting tools such as Python requests or Microsoft Graph.
  • New phishing domains imitating your organization and targeting passkey or MFA registration.

How to reduce the risk

  • Require managed devices for Microsoft 365 and block or challenge access from proxy and hosting networks.
  • Use phishing-resistant MFA: FIDO2 keys or device-bound passkeys, which do stop adversary-in-the-middle attacks.
  • Limit user access to sensitive SharePoint data and enable Continuous Access Evaluation.
  • Train employees and help desk teams to verify unexpected IT calls through a trusted channel.

The part nobody wants to look at

That last control is the cheapest and the most ignored. The attack does not work because of a technical flaw: it works because the help desk is a trust relationship with no verification protocol. Everyone knows IT sometimes calls. Nobody is clear on how to confirm that the caller really is IT.

The countermeasure is not new technology, it is recorded process: a verification channel everyone knows, a record of which legitimate contacts the help desk actually initiated, and the ability for an employee to check in seconds whether that ticket exists. When support runs on informal calls and loose messages, that verification is impossible.

At TEKFENIX we designed Servigo365 around that idea: every support interaction is recorded as an identifiable ticket, with channel, owner and traceability, whether it arrives by phone, WhatsApp, email or chat. That turns the question is this IT call real? into something a user can verify rather than assume. If your organization still relies on people recognizing the support team’s voice, let’s talk about giving your help desk a verifiable identity.

← Volver al blog← Back to blog