Microsoft 365 bajo ataque: cuando robar una sesión permite eludir la MFA

Una campaña de ciberataques comprometió 97 cuentas en 79 organizaciones mediante el robo y la reutilización de tokens de autenticación. La investigación revela cómo los atacantes pueden aprovechar sesiones legítimas, registrar dispositivos fraudulentos y manipular bandejas de entrada para mantener el acceso a información corporativa. Un escenario que refuerza la importancia de proteger la identidad digital más allá de la contraseña.

Cuando iniciar sesión correctamente deja de ser suficiente

Durante años, la autenticación multifactor (MFA) se ha consolidado como una de las principales barreras para proteger las cuentas corporativas. Al exigir una segunda verificación, como una notificación en el teléfono o un código temporal, permite reducir significativamente el riesgo de que una contraseña robada sea suficiente para acceder a los sistemas de una organización.

Sin embargo, las técnicas de ataque también han evolucionado. En lugar de concentrarse exclusivamente en obtener contraseñas, los ciberdelincuentes buscan apropiarse de sesiones que ya superaron los mecanismos de autenticación.

Una investigación publicada por Huntress en octubre de 2026 documentó una campaña dirigida a cuentas de Microsoft 365 que utilizó esta estrategia. Entre el 14 de julio y el 22 de septiembre, los investigadores identificaron actividad relacionada con 79 organizaciones, más de 200.000 intentos de inicio de sesión fallidos y 497 eventos de acceso exitosos. La campaña terminó con 97 cuentas comprometidas y al menos 48 dispositivos fraudulentos registrados en los directorios de Microsoft Entra de las organizaciones afectadas.

Estas cifras permiten observar una tendencia relevante para los equipos de TI y ciberseguridad: proteger las credenciales es indispensable, pero también es necesario controlar qué ocurre después de que un usuario se autentica.

¿Qué es un ataque de repetición de tokens?

Para comprender este tipo de amenaza, primero debemos distinguir entre una contraseña y un token de autenticación.

La contraseña es una credencial que permite demostrar la identidad de una persona durante el proceso de inicio de sesión. El token, por su parte, es un elemento digital que el sistema emite como parte del proceso de autenticación y autorización. Según su tipo y sus condiciones de uso, permite que una aplicación o servicio reconozca una sesión y conceda acceso a los recursos correspondientes sin solicitar al usuario que introduzca sus credenciales en cada interacción.

En condiciones normales, estos mecanismos facilitan el uso de servicios como Outlook, SharePoint y otras aplicaciones de Microsoft 365. El problema aparece cuando un atacante consigue robar un token válido y logra reutilizarlo desde otro entorno.

Esta técnica se conoce como token replay o repetición de tokens. En vez de volver a introducir una contraseña y superar la autenticación multifactor, el atacante intenta aprovechar la sesión previamente autenticada.

La diferencia es importante: el objetivo deja de ser únicamente obtener las credenciales y pasa a ser apropiarse de una sesión que ya cuenta con la confianza del sistema.

El éxito de una repetición depende de las características del token, su vigencia, el contexto de autenticación y los controles que aplica el servicio. Por eso, no todos los tokens robados permiten automáticamente acceder a cualquier recurso. Sin embargo, cuando las condiciones son favorables para el atacante, la técnica puede facilitar el acceso no autorizado a información corporativa.

El papel del phishing de intermediario

En la campaña analizada por Huntress, una de las técnicas utilizadas fue el ataque de intermediario, conocido como Adversary-in-the-Middle (AiTM).

En este escenario, el atacante crea o utiliza una página de inicio de sesión que actúa como intermediaria entre la víctima y el servicio legítimo. La página presenta el proceso de autenticación real, pero transmite las interacciones del usuario a la infraestructura legítima mientras captura información útil para el atacante.

Por ejemplo, un empleado puede recibir un correo electrónico que parece corresponder a una notificación habitual de su entorno laboral. Al hacer clic, llega a una página que reproduce el inicio de sesión de Microsoft. Introduce su contraseña, completa la verificación MFA y aparentemente accede a su cuenta.

Desde su perspectiva, el proceso puede parecer normal. Sin embargo, si la autenticación está siendo intermediada por un atacante, este puede capturar elementos de la sesión resultante y tratar de reutilizarlos.

La autenticación multifactor sigue cumpliendo su función: verifica que el usuario complete un segundo factor. El riesgo aparece porque el atacante no necesariamente necesita volver a superar ese desafío si consigue apropiarse de una sesión ya autenticada.

La investigación también identificó tokens obtenidos mediante phishing basado en códigos de dispositivo e ingeniería social durante procesos legítimos de inicio de sesión. Esto demuestra que no existe una única vía para obtener material de autenticación reutilizable.

Del acceso inicial a la persistencia: cómo evoluciona el ataque

Obtener acceso a una cuenta es solo una parte del problema. Para mantenerlo, los atacantes pueden modificar elementos del entorno de identidad y del propio buzón de correo.

En los incidentes analizados, Huntress observó varias acciones posteriores al compromiso que ilustran cómo una intrusión puede evolucionar desde el secuestro de una sesión hasta un problema más amplio de seguridad corporativa.

1. Registro de dispositivos no autorizados

Los investigadores identificaron al menos 48 dispositivos fraudulentos incorporados a los directorios de Microsoft Entra de las organizaciones afectadas.

El registro de un dispositivo puede proporcionar al atacante una vía adicional para solicitar tokens o interactuar con los servicios, dependiendo de la configuración y de los permisos aplicables. Además, el dispositivo puede permanecer registrado incluso cuando la sesión inicialmente robada deja de ser válida.

Por este motivo, la aparición de un dispositivo desconocido no debe evaluarse de manera aislada. Es necesario revisar quién lo registró, cuándo se incorporó, desde qué contexto se produjo la actividad y si existe una justificación legítima para su presencia.

2. Modificación de los métodos de autenticación

En al menos 19 organizaciones, los atacantes eliminaron métodos MFA existentes y registraron otros nuevos dentro de las tres horas posteriores al primer inicio de sesión observado.

En uno de los casos documentados, una aplicación de autenticación identificada como «iPhone 13» fue activada menos de 51 minutos después del secuestro de la sesión.

Esta acción puede ser especialmente relevante porque un token robado tiene condiciones de vigencia determinadas, mientras que un método de autenticación fraudulento registrado en la cuenta puede convertirse en una vía adicional para intentar mantener el acceso.

Por eso, restablecer una contraseña no basta para descartar que exista persistencia. También es necesario verificar que los métodos de autenticación asociados a la identidad sigan bajo el control de su titular legítimo.

3. Reglas de correo diseñadas para ocultar información

Otra parte de la campaña afectó directamente a las bandejas de entrada.

Los investigadores identificaron reglas que movían mensajes a carpetas poco habituales, los marcaban como leídos o los eliminaban cuando contenían determinadas palabras clave. Entre los términos de interés se encontraban referencias a nóminas, depósitos bancarios y bonos.

En uno de los casos, una cuenta comprometida fue utilizada para enviar mensajes no deseados a cientos de destinatarios externos. En otro, las reglas ayudaban a ocultar comunicaciones relacionadas con pagos y a desviar mensajes de un contacto externo.

Este comportamiento puede facilitar fraudes posteriores. Por ejemplo, si un atacante consigue intervenir una conversación sobre una transferencia o una modificación de datos bancarios, podría intentar aprovechar la confianza existente entre las partes para inducir una operación financiera no autorizada.

También puede dificultar la detección del incidente, porque el usuario legítimo podría no ver determinados mensajes o respuestas que permitirían advertir la actividad sospechosa.

El compromiso de una cuenta corporativa, por tanto, no afecta únicamente al acceso al correo. También puede convertirse en un punto de partida para fraudes, suplantaciones y exposición de información sensible.

¿Por qué este escenario importa para las empresas?

Microsoft 365 concentra comunicaciones, documentos y procesos de colaboración que forman parte de la operación diaria de muchas organizaciones. Una cuenta comprometida puede ofrecer acceso a información comercial, conversaciones internas, archivos compartidos y datos relacionados con clientes o proveedores, según los permisos de cada usuario.

El riesgo aumenta cuando la identidad afectada tiene acceso a información financiera, participa en procesos de aprobación o administra recursos con privilegios elevados.

Además, una cuenta legítima puede resultar útil para un atacante precisamente porque su actividad inicial no siempre parece anómala. Los mensajes se envían desde una dirección corporativa real y las acciones se ejecutan dentro de servicios que la organización utiliza habitualmente.

Esto plantea un desafío para los equipos de seguridad: no basta con identificar intentos de acceso fallidos o detectar una dirección IP sospechosa. También es necesario reconocer cambios inusuales en la identidad, el dispositivo, la sesión y el comportamiento posterior al inicio de sesión.

La investigación de Huntress muestra que las organizaciones pueden presentar resultados muy diferentes frente a una misma campaña. Algunas políticas de acceso condicional bloquearon intentos de acceso, mientras que en otros entornos los atacantes consiguieron autenticarse y continuar con sus acciones.

La lección no es que la MFA haya perdido su utilidad, sino que su efectividad depende de una estrategia de protección más amplia, capaz de evaluar las condiciones de acceso y reaccionar cuando una sesión presenta señales de riesgo.

Cómo fortalecer la seguridad de Microsoft 365

Reducir la exposición a ataques de repetición de tokens requiere combinar medidas preventivas, supervisión y procedimientos de respuesta. No existe un único control que elimine todos los escenarios posibles, pero sí es posible dificultar el acceso no autorizado y reducir el tiempo disponible para que un atacante actúe.

Implementar políticas de acceso condicional

Las políticas de acceso condicional de Microsoft Entra permiten aplicar decisiones de acceso según las condiciones configuradas por la organización. Estas pueden considerar aspectos como el usuario, la aplicación, el dispositivo y el contexto de inicio de sesión.

Una implementación bien diseñada puede exigir MFA, limitar determinados flujos de autenticación o bloquear accesos que no cumplan los requisitos establecidos.

Es importante revisar la cobertura de las políticas, sus exclusiones y las aplicaciones a las que se aplican. Una política que protege solo una parte de los usuarios o servicios puede dejar rutas de acceso sin cubrir.

Las excepciones deben responder a necesidades justificadas y contar con controles compensatorios. La configuración debe probarse cuidadosamente para evitar tanto brechas de cobertura como interrupciones innecesarias de la operación.

Revisar los dispositivos registrados y los métodos MFA

Las organizaciones deben mantener visibilidad sobre los dispositivos incorporados a sus directorios y los métodos de autenticación asociados a cada identidad.

Entre las señales que conviene investigar se encuentran los registros de dispositivos desconocidos, los cambios de MFA que el usuario no reconoce y las modificaciones realizadas poco después de un inicio de sesión sospechoso.

La revisión debe incluir el contexto del cambio y la confirmación con el usuario o responsable correspondiente. No todo dispositivo desconocido es malicioso, pero cualquier registro sin una justificación verificable merece atención.

Supervisar las reglas y los cambios en el correo

Las reglas de bandeja de entrada pueden utilizarse para automatizar tareas legítimas, pero también pueden convertirse en mecanismos para ocultar actividad maliciosa.

Por eso, conviene supervisar la creación y modificación de reglas que eliminen mensajes, los marquen automáticamente como leídos o los trasladen a carpetas poco utilizadas. Las reglas que afectan a comunicaciones financieras, pagos o contactos externos deben revisarse con especial cuidado cuando aparecen junto a otros indicadores de compromiso.

También es importante detectar envíos inusuales de mensajes, cambios inesperados en aplicaciones empresariales y accesos que no concuerden con los patrones habituales de la cuenta.

Contar con un procedimiento de respuesta ante incidentes

Si existen indicios de robo o repetición de tokens, la respuesta debe contemplar más que el cambio de contraseña.

De acuerdo con las recomendaciones de Huntress, las organizaciones deberían revocar las sesiones afectadas, restablecer las credenciales cuando corresponda, revisar y eliminar los dispositivos no autorizados, comprobar los métodos MFA y analizar las reglas de correo y las aplicaciones empresariales que puedan haberse añadido.

Estas acciones deben coordinarse con la revisión de los registros de autenticación y actividad para determinar el alcance del incidente. La revocación de sesiones y la eliminación de mecanismos de persistencia son pasos especialmente importantes, ya que un cambio de contraseña por sí solo no garantiza que se hayan eliminado todos los accesos o elementos introducidos por el atacante.

La respuesta debe documentarse y acompañarse de una validación posterior para comprobar que la cuenta y los recursos relacionados vuelvan a estar bajo control de la organización.

Conclusión: proteger la identidad significa proteger toda la sesión

Los ataques de repetición de tokens muestran cómo las amenazas contra las cuentas corporativas están evolucionando. Los ciberdelincuentes pueden intentar aprovechar sesiones autenticadas, registrar dispositivos fraudulentos y modificar configuraciones para prolongar su acceso.

Para las organizaciones, esto significa que la seguridad de la identidad debe abordarse como un proceso continuo. La contraseña y la autenticación multifactor siguen siendo componentes esenciales, pero deben complementarse con políticas de acceso condicional, supervisión de sesiones, revisión de dispositivos y métodos de autenticación, y capacidad de respuesta ante comportamientos sospechosos.

En entornos donde el correo y las herramientas colaborativas concentran procesos críticos, detectar un cambio de identidad a tiempo puede marcar la diferencia entre un intento bloqueado y un incidente con consecuencias operacionales o financieras.

En 8Layer, entendemos la ciberseguridad como una estrategia de protección continua: cada identidad, cada sesión y cada acceso forman parte de la seguridad de la organización. Reforzar estos controles permite avanzar hacia una infraestructura más resiliente y preparada para responder a amenazas que evolucionan junto con la tecnología.

---

Fuentes y referencias

1. The Hacker News. Microsoft 365 Token-Replay Attacks Compromise 97 Accounts at 79 Organizations (26 de octubre de 2026).Leer la noticia original en The Hacker News
2. Huntress. M365 Token Spray and Replay Campaign Compromises Business Email Accounts (22 de octubre de 2026). Investigación técnica y recomendaciones de respuesta.Consultar la investigación de Huntress