:quality(90):no_upscale()){kind=logo}
Cuatro campañas demuestran que los canales de comunicación se han convertido en un vector de acceso inicial
ESTADO: Patrón de ingeniería social activo GRAVEDAD: 6/10 DESTINATARIOS: Responsables de seguridad en los ámbitos de la administración pública, la defensa y las infraestructuras críticas
6 de noviembre de 2026
·Blog
·Comunicaciones seguras
:quality(90):no_upscale())
Desde agosto, los atacantes, haciéndose pasar por servicios de asistencia informática y contactos de confianza, han utilizado llamadas telefónicas, chats corporativos, aplicaciones de mensajería para consumidores y una solicitud para vincular dispositivos con el fin de ponerse en contacto directamente con el personal. En cada campaña, el acceso inicial dependía de la persuasión. El requisito común era disponer de un canal que permitiera a una persona ajena a la empresa iniciar una conversación.
¿Qué pasó?
En las cuatro campañas, el atacante se puso en contacto con una persona a través de un canal que la organización utiliza y en el que confía.
En septiembre, Arctic Wolf reveló una campaña que ha registrado con el nombre de PREY-0058, en la que los operadores, haciéndose pasar por personal interno del servicio de asistencia informática, llaman a directores, vicepresidentes y otros ejecutivos, y luego los redirigen a una página de inicio de sesión falsa de Microsoft 365 que captura los tokens de sesión. No se instala ningún malware y los operadores extraen datos de SharePoint, OneDrive y Exchange con fines de extorsión.1
En octubre, Arctic Wolf informó de un patrón recurrente en cientos de casos en los que los atacantes abrían chats externos de Microsoft Teams desde entornos temporales utilizando nombres como «Soporte técnico (interno)», a menudo tras saturar la bandeja de entrada de la víctima para crear una sensación de urgencia. Convencen a la víctima para que conceda acceso remoto a través de herramientas legítimas de gestión remota y, en algunos casos, la intrusión llegó hasta los controladores de dominio y culminó en el robo de datos y el uso de ransomware. La conclusión de Arctic Wolf es que este vector funciona porque se aprovecha de la confianza, no de un fallo de software.2
También en septiembre, el FBI, el NCSC del Reino Unido y el AIVD de los Países Bajos advirtieron que hay actores respaldados por Estados que se hacen pasar por contactos de confianza de una víctima dentro de aplicaciones de mensajería populares, dedican tiempo a ganarse su confianza y, a continuación, envían un archivo malicioso camuflado como algo habitual.3 En agosto, un informe sobre una presentación interna de la UE sobre ciberseguridad describió casos de apropiación de cuentas de altos cargos en WhatsApp y Signal por parte de un gobierno extranjero, con ocho incidentes significativos este año y la cuenta de un presidente de parlamento nacional en ejercicio entre las violaciones confirmadas. Los atacantes convencieron a las víctimas para que les facilitaran un código que vinculaba un segundo dispositivo a la cuenta.4
En los cuatro casos, los atacantes se hicieron pasar por alguien, como un servicio de asistencia informática o un contacto conocido, con un motivo legítimo para realizar la solicitud a través de un canal que admite el contacto con personas externas. La formación que enseña al personal a detectar remitentes desconocidos tiene poco margen de actuación, y el análisis de enlaces y la detección en los terminales tienen poco que inspeccionar cuando el atacante induce a la víctima a que haga el trabajo por sí misma.
Lo que descubrieron y qué significa
Conclusión | Qué significa | Consecuencias operativas | Pregunta abierta |
Desde agosto se han llevado a cabo cuatro campañas distintas para llegar al personal a través de llamadas telefónicas, el chat de la empresa, aplicaciones de mensajería para consumidores y un aviso para vincular dispositivos. | Los atacantes eligen el canal que les permita acceder directamente a una persona, y ese canal varía de una campaña a otra. | Las medidas de seguridad que se centran en un único canal, como el correo electrónico, dejan los demás desprotegidos. | ¿Cuántas organizaciones cuentan con una norma por escrito que establezca quién puede ponerse en contacto con el personal a través de cada canal y cómo puede el personal verificarlo? |
En todos los casos, el atacante se hizo pasar por un técnico de soporte informático o por un contacto de confianza. | El ataque se basa en la credibilidad, por lo que las advertencias sobre remitentes desconocidos y la comprobación de enlaces tienen poca utilidad. | El personal no puede distinguir con certeza una solicitud informática auténtica de una falsa cuando ambas llegan por el mismo canal. | ¿Ofrece la organización a su personal un método independiente y verificado para confirmar que una solicitud procede realmente del departamento de TI o de seguridad? |
Arctic Wolf descubrió que las campañas de Teams se dirigen a organizaciones que tienen habilitado el acceso externo y que los atacantes evitan pegar enlaces para que el análisis de Safe Links no tenga nada que inspeccionar. | El análisis a nivel de plataforma no puede detectar un ataque llevado a cabo por una persona en un chat en directo o en una sesión remota. | La detección debe basarse en la actividad de los terminales y de las identidades tras el contacto, y la prevención debe consistir en restringir quién puede ponerse en contacto con el personal. | ¿Han revisado las organizaciones la configuración del chat externo y de la federación desde que comenzaron estas campañas? |
Por qué es importante
La antigua Asunción | La realidad actual | Respuesta de BlackBerry |
La formación en concienciación sobre seguridad, que enseña al personal a desconfiar de los remitentes desconocidos, protege contra la ingeniería social. | En estas campañas, el mensaje parece proceder del servicio de asistencia informática o de un contacto conocido, por lo que no hay ningún remitente desconocido que despierte sospechas. | BlackBerry® SecuSUITE® La inscripción en BlackBerry® la gestiona la organización, lo que permite que la coordinación de información sensible se lleve a cabo en un canal en el que se conocen y gestionan los contactos, en lugar de estar abierto a personas ajenas a la organización. |
Si una solicitud parece proceder del departamento de TI, el personal puede pedirle a este que la confirme en el mismo canal. | El atacante controla la conversación y, en los casos de Teams, la identidad falsa del departamento de TI aparece en la misma ventana de chat en la que aparecería una auténtica. | BlackBerry® AtHoc® ofrece a los departamentos de TI y seguridad una forma de enviar avisos auténticos al personal a través de un canal independiente, de modo que los empleados puedan comprobar si una solicitud es real. |
Las medidas de protección de la plataforma, como el análisis de enlaces y las advertencias sobre usuarios externos, detectan los ataques de ingeniería social que se llevan a cabo dentro de la plataforma. | Los atacantes utilizan nombres de usuario que eluden las advertencias dirigidas a los usuarios externos y trasladan la actividad a una sesión remota activa, de modo que la plataforma no detecta nada malicioso que deba bloquear. | Dónde está BlackBerry®UEM gestiona el terminal, puede restringir el software de acceso remoto no autorizado, lo que limita la etapa en la que estos ataques toman el control. |
Medidas recomendadas
INMEDIATO | Revisa la configuración de acceso externo y federación de Microsoft Teams y, siempre que sea posible, limita el chat externo a dominios específicos y autorizados. |
INMEDIATO | Publica una breve norma dirigida al personal sobre cómo el departamento de TI y de seguridad se pondrá en contacto con ellos y cómo no lo hará. Indica que el departamento de TI no solicita acceso remoto a través de un chat o una llamada no solicitados, y ofrece al personal una forma de verificar las solicitudes legítimas. |
A CORTO PLAZO | Restringe y supervisa las herramientas de gestión remota en los terminales, ya que las campañas de Teams dependen de que el personal utilice herramientas como Quick Assist, AnyDesk y ScreenConnect. |
A CORTO PLAZO | Ofrece a los ejecutivos y administradores un canal verificado para las notificaciones relacionadas con las tecnologías de la información y la seguridad, independiente del correo electrónico y el chat. |
EN CURSO | Realiza un seguimiento de las campañas de ingeniería social tanto por canal como por técnica, de modo que se subsane cualquier vulnerabilidad en un canal antes de que los atacantes lleguen a él. |
Puesto en BlackBerry
Las campañas llevadas a cabo a través de una línea telefónica, un chat corporativo, aplicaciones de mensajería para consumidores y una solicitud de vinculación de dispositivos tenían una característica en común: una persona ajena a la empresa entabló una conversación con un miembro del personal y se aprovechó de ella. Los controles técnicos de una plataforma tienen poco que inspeccionar cuando el ataque consiste en una conversación. El control más importante es quién está autorizado a iniciar esa conversación. Las organizaciones pueden reducir la brecha de la que dependen estas campañas gestionando la coordinación de información sensible en los canales donde se administran las inscripciones y los contactos, y proporcionando al personal una vía independiente para verificar las solicitudes legítimas relacionadas con la TI y la seguridad.
Referencias:
1. Las llamadas falsas de soporte técnico se dirigen a ejecutivos en ataques de robo de datos y extorsión en Microsoft 365. (Arctic Wolf, investigación sobre la amenaza PREY-0058, según informa The Hacker News, 7 de septiembre de 2026).
2. Los atacantes utilizan estafas de soporte técnico de Microsoft Teams para distribuir malware y ransomware. (Arctic Wolf Labs, investigación sobre actores maliciosos que abusan del chat externo de Microsoft Teams para obtener acceso inicial, según informa The Hacker News, 26 de octubre de 2026).
3. Ataques cibernéticos iraníes contra disidentes, activistas y periodistas. (Centro Nacional de Ciberseguridad del Reino Unido, Oficina Federal de Investigación de Estados Unidos y Servicio General de Inteligencia y Seguridad de los Países Bajos, Aviso conjunto sobre ciberseguridad, 15 de septiembre de 2026).
4. Un documento revela que hackers respaldados por Estados atacaron a funcionarios de la UE a través de WhatsApp. (Politico, conclusiones de una presentación interna de la UE sobre ciberseguridad, según informan TheNextWeb, en agosto de 2026, y Dark Reading, que recoge las advertencias de agencias nacionales sobre campañas en Signal y WhatsApp, el 25 de agosto de 2026).
:quality(90):no_upscale())