Esta nueva estafa phishing suplanta a Microsoft y puede hacerse con tu correo y tus archivos
Kaspersky alerta de una peligrosa estafa que permite entrar en Outlook, OneDrive y Teams sin robar tu contraseña
Por desgracia no hay semana en la que no tengamos que informaros un nuevo intento de vaciarnos la cartera. Y esta vez ha sido el equipo de Kaspersky ha detectado una nueva campaña de phishing que aprovecha un mecanismo legítimo de Microsoft para obtener los tokens de sesión de las víctimas y entrar en servicios como Outlook, OneDrive o Teams.
La campaña estuvo activa entre principios de abril y mediados de mayo de 2026. Para ganarse la confianza de sus objetivos, los atacantes se hacían pasar por un despacho de abogados y enviaban supuestos documentos legales.
El gran peligro es que el proceso estaba cuidadosamente preparado para parecer auténtico, hasta el punto de utilizar la página oficial de autenticación de Microsoft durante una de sus fases.
Un documento legal como punto de partida
El ataque comienza con la llegada de un correo electrónico que aparentemente procede de un bufete de abogados. En su interior se incluye un archivo PDF protegido mediante contraseña, un detalle con el que los ciberdelincuentes intentan aumentar la sensación de confidencialidad y dificultar que las herramientas de seguridad puedan analizar automáticamente su contenido.
Después de abrir el archivo e introducir la contraseña facilitada en el propio mensaje, aparece un enlace para consultar unos supuestos documentos legales. Al pulsarlo, la víctima llega inicialmente a una dirección legítima de Microsoft, pero los parámetros de la URL han sido manipulados para acabar redirigiéndola a una página fraudulenta que imita un portal de documentación jurídica.
La web falsa obliga a superar varios CAPTCHA antes de mostrar su contenido. ¿El motivo de este CAPTCHA? Por un lado, consiguen una mayor legitimidad ante el usuario, y por otro lado, también sirve para frenar los análisis automatizados de las soluciones de seguridad. Exacto, aprovechan un sistema de seguridad para saltarse otro.
Una vez completadas las comprobaciones, aparece un código temporal que debe copiarse para poder acceder a la documentación. Al pulsar sobre él, este código se guarda automáticamente en el portapapeles y se abre la página oficial de inicio de sesión de Microsoft.
Es precisamente este punto el que puede generar más confianza, ya que la dirección pertenece realmente a la compañía y no a un dominio falso creado para robar credenciales. Pero la campaña explota el sistema OAuth 2.0 Device Authorization Grant de Microsoft, conocido también como Device Code Flow.
Este mecanismo fue diseñado para iniciar sesión en equipos que tienen problemas para introducir texto, como determinados televisores inteligentes o dispositivos conectados. La autenticación se completa desde otro equipo, normalmente un ordenador o un móvil, introduciendo un código temporal. Y en el caso de esta estafa, son los ciberdelincuentes quienes solicitan previamente el código de autorización y engañan a la víctima para que lo introduzca y apruebe el acceso.
Aunque la autenticación se realiza desde una página legítima de Microsoft e incluso puede requerir una comprobación multifactor, la sesión que acaba autorizándose corresponde a la iniciada por los atacantes.
Por tanto, no es necesario que la víctima escriba su contraseña en una página de phishing ni que descargue un programa malicioso. Cuando el proceso concluye, los ciberdelincuentes consiguen los tokens de sesión necesarios para acceder a la cuenta.
Y claro, con ello ya pueden consultar el buzón de Outlook, enviar mensajes en nombre de la persona afectada, descargar archivos guardados en OneDrive o acceder a conversaciones de Microsoft Teams. En un entorno empresarial, el ataque puede ser devastador.
Así que, toca ser más precavidos que nunca, porque los ciberdelincuentes han mejorado de forma notable sus técnicas para tratar de engañarnos. ¿La mejor y única solución? La precaución.
Y para ello, desconfía de cualquier documento que provenga de una empresa con las que no has tenido relación o esté protegido por contraseña. Y desconfía aún más cuando una página solicita copiar un código y pegarlo posteriormente en un portal de autenticación de Microsoft. Además, apuesta por un buen antivirus, antes el de Microsoft era más que suficiente, pero en los tiempos que corren, en absoluto.