Ataques de reutilización de tokens comprometen 97 cuentas de Microsoft 365 en 79 organizaciones

Huntress detectó más de 200,000 intentos desde un mismo rango de IP. Los atacantes cambiaron los métodos MFA, registraron 48 equipos falsos en Entra y ocultaron correos de nómina.

Una campaña contra Microsoft 365 robó sesiones con páginas de inicio falsas y luego reutilizó los tokens para entrar a cuentas de correo en 79 organizaciones, según Huntress, informó The Hacker News el 26 de octubre.

Entre el 14 de julio y el 22 de septiembre de 2026, Huntress registró 497 inicios de sesión exitosos y más de 200,000 intentos fallidos desde el rango 193.26.115.0/24. Los atacantes comprometieron 97 cuentas y registraron 48 dispositivos falsos en Entra. «En lugar de adivinar contraseñas, el atacante reutilizó tokens de inicio de sesión robados a las víctimas», escribieron los investigadores.

La técnica, que Huntress llama «token spraying», usa una página intermedia que captura credenciales y códigos MFA y se queda con el token que emite Microsoft. En al menos 19 organizaciones se borraron los métodos MFA de la víctima y se registró uno nuevo en menos de tres horas. El 21 de julio, un autenticador llamado «iPhone 13» se activó 51 minutos después del secuestro de la sesión.

Los atacantes también crearon reglas ocultas en los buzones para borrar o mover correos con palabras sobre nómina, depósitos y bonos. La campaña empezó desde una IP asociada a 1337 Services GmbH, un proveedor alemán vinculado a StarkRDP.

Huntress recomienda revocar sesiones y cambiar la contraseña, auditar los dispositivos en Entra, revisar los métodos MFA y las reglas de correo, y restringir el flujo de código de dispositivo con políticas de Acceso Condicional.

Fuente: The Hacker News: «Microsoft 365 Token-Replay Attacks Compromise 97 Accounts at 79 Organizations», 26 de octubre de 2026.