Los hackers ocultaron una trampa en Power BI
Los hackers han empezado a utilizar el servicio legítimo Microsoft Power BI para eludir algunos filtros de correo y atraer a los usuarios a una campaña de phishing. Los investigadores de Huntress descubrieron una estrategia en la que paneles públicos de Power BI se disfrazaban de documentos borrosos y se invitaba a las víctimas a pulsar el botón «Download Reference» («Descargar material de referencia»). Después, el usuario llegaba a un sitio externo controlado por los atacantes, donde se iniciaba automáticamente la descarga del programa ScreenConnect.
Power BI es la plataforma de Microsoft para el análisis empresarial y la visualización de datos. Permite crear informes, gráficos y paneles interactivos a partir de información procedente de hojas de cálculo, bases de datos, servicios en la nube y otras fuentes. Los materiales creados se pueden compartir públicamente o solo con los compañeros. Es probable que la legitimidad del dominio de Microsoft ayudara a que los correos maliciosos superasen al menos algunos controles de correo.
La campaña comenzó aproximadamente el 10 de septiembre de 2026. Los atacantes, probablemente mediante una cuenta temporal o comprometida de Microsoft, crearon un panel público que parecía un documento deliberadamente borroso. Esta técnica lleva tiempo utilizándose en el phishing: se promete a la víctima «desbloquear» o «descifrar» un archivo si sigue un enlace. Anteriormente se había abusado de DocuSign, Dropbox y Office 365 con ese fin. Se podía convencer a los usuarios para que instalaran un programa «premium» o «actualizado» para leer documentos, o para que introdujeran sus credenciales de Office o Google.
En el ataque analizado, el botón de Power BI redirigía al usuario a un sitio ajeno a la infraestructura de Microsoft. Allí comenzaba la descarga de ScreenConnect, una herramienta auténtica de acceso remoto y asistencia técnica de ConnectWise. ScreenConnect no es, por sí mismo, un programa malicioso: los especialistas lo utilizan para controlar dispositivos a distancia, diagnosticar problemas, transferir archivos e instalar programas. Sin embargo, una vez conectado a un equipo controlado por los atacantes, puede proporcionar acceso permanente al ordenador.
Huntress no reveló cómo se distribuyeron exactamente los correos. No obstante, el enlace a un servicio auténtico de Microsoft pudo ayudar a que llegaran a la bandeja de entrada y eludieran algunos filtros automáticos. Probablemente por eso eligieron Power BI; además, todavía es poco habitual asociar este servicio con ataques de phishing.
La particularidad de la campaña se descubrió después de instalar ScreenConnect. Los atacantes desplegaron una segunda instancia del programa y crearon una tarea programada que ejecutaba periódicamente un script de PowerShell. En al menos un caso, la primera instancia se eliminó después. Los investigadores suponen que así los atacantes intentaban mantener un canal de acceso de reserva y dificultar la detección. Si los defensores eliminaban una instalación, la otra podía seguir funcionando.
La vigilancia de Huntress detuvo el ataque antes de que los delincuentes pudieran pasar a la siguiente fase. Por eso se desconoce si pretendían robar datos, instalar ransomware o cometer fraude financiero. Lo que sí se ha podido confirmar es que las dos instalaciones de ScreenConnect permitían afianzarse en la red corporativa y utilizar más adelante ese acceso para espiar, robar información, extorsionar o perpetrar otros ataques con fines lucrativos.
La protección empieza por desconfiar de los correos inesperados, especialmente de los que contienen enlaces a documentos «bloqueados» o borrosos. Otra señal de alarma es que se proponga instalar ScreenConnect u otra herramienta de acceso remoto sin una razón laboral clara.
PEREC.RU
En la oficina digital, la confianza se ha convertido en una llave maestra. Si un enlace viene respaldado por una dirección corporativa conocida, tanto la persona como el filtro de correo suelen hacer lo mismo: confundir la apariencia oficial con una prueba de buenas intenciones.
Los atacantes se limitaron a apropiarse de esa costumbre. La marca de una gran plataforma funciona como un repartidor bien vestido: le abren la puerta, aunque nadie recuerde haber pedido el paquete.
Lo inquietante no es tanto el ingenio del señuelo como la lógica cotidiana a la que apela. Un archivo borroso promete una solución urgente, un botón promete una salida fácil y, de pronto, la prudencia parece burocracia innecesaria.
La herramienta de acceso remoto puede servir por sí sola para un trabajo perfectamente legítimo. Pero, una vez instalada desde un sitio sospechoso, su utilidad para los administradores resulta especialmente conveniente para quienes querrían tener su propio despacho silencioso en la empresa.
Dos canales de acceso ya no son un simple descuido: son un intento de dejar una llave de repuesto. Y lo que venga después dependerá de las intenciones de quienes hayan entrado: el espionaje, el robo de datos o la extorsión comparten un primer paso, pero pasan facturas distintas.
Los investigadores frenaron esta historia antes de la siguiente fase, por lo que el plan final sigue siendo desconocido. En el sector de la seguridad, esto es a la vez una buena noticia y un escaparate habitual: una catástrofe evitada vende peor que un escenario gráfico de lo que podría haber ocurrido.
Las plataformas tienen que ofrecer funciones públicas y, al mismo tiempo, explicar que una infraestructura oficial no garantiza la seguridad de cada enlace. Al usuario le toca distinguir una petición legítima de trabajo de un señuelo, aunque el atacante se esfuerce precisamente en borrar esa frontera.
Por eso, el consejo de desconfiar de las descargas inesperadas suena aburrido, pero aquí el aburrimiento es más útil que la curiosidad. El ciberdelincuente cuenta con un solo clic; la protección empieza con una pausa que nadie puede descargar por ti.
