Noticias
Primero cayó Microsoft 365. Ahora llega el phishing
Microsoft Threat Intelligence ha detectado una campaña activa de phishing que se aprovecha de la caída global de Microsoft 365: correos que se hacen pasar por avisos oficiales del servicio para robar credenciales.
La interrupción global de Microsoft 365 del pasado jueves no solo dejó a miles de empresas sin correo durante más de un día. También ha dado a los ciberdelincuentes el señuelo perfecto. Microsoft Threat Intelligence ha detectado una campaña activa de phishing contra usuarios de Microsoft 365 que se hace pasar por las notificaciones oficiales del estado del servicio.
Según detalla el equipo de inteligencia de amenazas de la compañía en un aviso publicado en X, los correos llegaron el 13 de noviembre, un día después de la caída, y ganan credibilidad citando el identificador real del incidente de Exchange Online, EX1550543. Microsoft la describe como una actividad «consistente con el phishing de credenciales», aunque por ahora no ha confirmado ni la recolección de credenciales ni la entrega de malware.
El anzuelo es sencillo y oportuno. Algunos de los mensajes detectados afirman, falsamente, que los correos retenidos durante la interrupción se eliminarán en 24 horas si el destinatario no pulsa para restaurarlos. Después de una caída que dejó a buena parte de las empresas españolas sin Outlook ni Teams, la amenaza de perder mensajes es un reclamo eficaz.
Cómo llega el señuelo
La campaña sigue un patrón reconocible. Los asuntos llevan la forma «Outage – [código de seis caracteres]» y los nombres de remitente combinan un prefijo específico de cada organización con coletillas como «Outage Notification» o «Service Health», para aparentar un aviso interno de TI.
En la infraestructura, Microsoft ha identificado tres dominios de envío (moments-notice[.]com, planetmaison[.]com y newbooker[.]com) y enlaces de seguimiento de SendGrid personalizados para cada destinatario, que redirigen al dominio reallifeaccounting[.]com, con rutas observadas como /themelist0.html. Los mensajes similares se han dirigido a organizaciones de varios sectores de Estados Unidos.
De momento, la compañía sitúa los objetivos al otro lado del Atlántico. No constan víctimas españolas. Pero la plantilla del engaño viaja rápido y la caída fue global, así que la cautela aplica igual aquí.
Qué debe hacer tu empresa
La primera medida es de sentido común aplicado a la semana que llevamos: el estado real del servicio solo se comprueba en el centro de administración de Microsoft 365 o en el portal oficial de estado, nunca desde un enlace recibido por correo. Microsoft no pide restaurar mensajes por email.
En lo técnico, Microsoft recomienda revisar las políticas de Safe Links de Defender for Office 365, que aplican protección en el momento del clic, y rastrear la campaña con Threat Explorer y con las consultas de advanced hunting de Defender XDR sobre las tablas EmailEvents, EmailUrlInfo y UrlClickEvents. Con los dominios y la ruta publicados, un equipo de seguridad puede buscar hoy mismo si alguien en la organización recibió o pulsó estos enlaces.
Y conviene avisar a la plantilla. Tras días de incidencias reales, un aviso falso de «restablecimiento» parece plausible. Ya pasó con la brecha de Iberostar, cuando la cadena tuvo que alertar de correos fraudulentos que aprovechaban el incidente para pescar clientes desprevenidos.
El patrón se repite con cada gran caída: primero colapsa el servicio, después llegan los buzos a por los restos. La interrupción de esta semana, que Microsoft atribuye a un fallo en una actualización de red y que duró más de 24 horas, ha tardado apenas un día en tener su campaña. La próxima vez, la respuesta de tu empresa debería ser igual de rápida: verificar en el panel, ignorar el correo.