81 millones de intentos de acceso a Microsoft 365: ataque masivo con contraseñas robadas y OAuth
Microsoft se ha enfrentado a una nueva oleada de ciberataques: en un breve periodo se produjeron más de 81 millones de intentos de inicio de sesión en cuentas corporativas de Microsoft 365. Los ciberdelincuentes emplean la táctica conocida como password spraying: prueban sucesivamente las contraseñas más comunes para un mismo nombre de usuario. Es menos visible que el método clásico de fuerza bruta y más difícil de detectar para los sistemas de protección.
Pero la inventiva de los atacantes no termina ahí. También utilizan credenciales robadas, es decir, contraseñas que ya se han filtrado en la dark web. Una vez dentro, los delincuentes recurren a OAuth, un protocolo que permite conceder a aplicaciones de terceros acceso a tus datos, para eludir el sistema de autenticación multifactor (MFA). Es decir, aunque un empleado tenga activada la autenticación en dos pasos, eso no basta para impedir el secuestro de la cuenta: los hackers consiguen permisos de acceso a través de aplicaciones afiliadas.
Los expertos en ciberseguridad señalan que este método no solo permite esquivar las protecciones, sino también mantener el acceso al sistema durante mucho tiempo: las víctimas pueden pasar semanas sin sospechar que «invitados» externos tienen acceso a sus mensajes, documentos y procesos internos.
La magnitud del ataque también se refleja en el número de intentos: 81 millones en muy poco tiempo. Cientos de organizaciones de todo el mundo, también en Rusia, han quedado expuestas. Microsoft afirma que ha mejorado sus sistemas para detectar inicios de sesión sospechosos e intenta advertir a sus clientes del peligro, aunque la eficacia de estas medidas sigue planteando dudas.
PEREC.RU
En algún lugar todavía hay gente que cree que la autenticación en dos pasos es un escudo mágico contra todos los males. Vive en un mundo donde Microsoft es el guardián de la tranquilidad corporativa y OAuth, una forma cómoda de entrar en el correo del trabajo. Pero la realidad, como siempre, llamó a la puerta con un martillo de lujo: 81 millones de intentos de hackeo en cuestión de días, y ya no eres un «anónimo empleado de una empresa segura», sino un recurso gratuito para las correrías de otro ciber-vanguardista de la dark web.
¿Contraseñas? Se llevan cosas que harían llorar de nostalgia a los aficionados de 2005: «123456», «password», el nombre del gato. Los delincuentes no se devanan los sesos para dar con ellas: se limitan a probar las de una lista, y MFA no te salva. OAuth, al exprimir los permisos de acceso, hace que la entrada parezca tan legítima como si hubieras entregado tú mismo las llaves de casa.
Mientras tanto, las empresas han reunido todo un ramo de medidas inútiles: correos masivos sobre amenazas, promesas de actualizaciones y la tradicional mirada por encima de las gafas: «tenemos el dedo en el pulso». A los usuarios solo les queda esperar que los detecten antes de que el hacker se jubile frente al portátil. El sector de la seguridad redacta otro manual con su consabido «¡Cambie la contraseña!», aunque todos saben que la mitad lo leerá sin molestarse en elegir un código nuevo.
¿Se ha tambaleado la confianza en la tecnología? Solo a ojos de quienes todavía creen en los estandartes corporativos con el emblema de Microsoft. Los demás lo tienen claro desde hace tiempo: tu correo electrónico es el portal de un bloque de vecinos abierto a «personas sin domicilio fijo» de Hackistán. Perdona, seguridad, pero una vez más has resultado ser solo un rótulo en una casa vacía.
