La campaña, detectada por Okta, utiliza llamadas telefónicas y sitios falsos de Microsoft Entra ID para obtener credenciales y registrar passkeys que permiten acceso persistente a cuentas corporativas.
Como parte de la evolución de las estrategias para cometer delitos, los ciberdelincuentes mantienen activa desde abril de 2026, una campaña de vishing hacia Microsoft 365 dirigida a organizaciones de diversos sectores con el objetivo de obtener credenciales y extorsionar a las empresas.
De acuerdo con la firma de ciberseguridad Okta, para llevar a cabo este fraude, conocido como vishing, los atacantes realizan llamadas telefónicas para convencer a las víctimas de que necesitan configurar una nueva passkey para su cuenta de Microsoft. Durante este proceso, las personas son dirigidas a sitios falsos que imitan con gran precisión la página oficial de Microsoft Entra ID (antes Azure Active Directory).
La operación es atribuida al grupo de hackers identificado como O-UNC-066, también conocido como Pink, que ha dirigido sus ataques contra empresas de los sectores automotriz, aeroespacial, construcción, alimentos y bebidas, salud y tecnología.
¿Cómo funciona el vishing Microsoft 365?
En esta campaña el atacante acompaña al usuario durante todo el proceso de autenticación. Mientras la persona introduce su información, un operador del otro lado adapta la página en tiempo real para solicitar distintos métodos de verificación, como códigos enviados por SMS, aplicaciones de autenticación o notificaciones push.
Una vez que el atacante registra su propia passkey en la cuenta de la víctima, obtiene un método de acceso permanente, incluso sin necesidad de volver a solicitar la contraseña.
Empresas deben reforzar la protección de sus cuentas
Okta advierte que esta campaña vishing contra Microsoft 365 aprovecha que muchas personas aún no están familiarizadas con el funcionamiento de las passkeys. Los atacantes explotan ese desconocimiento para hacer pasar el proceso fraudulento como una actualización legítima.
La recomendación para las empresas es reforzar la capacitación de sus colaboradores, desconfiar de llamadas inesperadas en las que se solicite configurar métodos de autenticación y verificar siempre que cualquier cambio en la cuenta se realice a través de los canales oficiales de Microsoft.
“Cada vez que un usuario registra una clave de acceso con Microsoft, el propietario de la cuenta comprometida recibe un correo electrónico legítimo de Microsoft que le notifica que se ha registrado una nueva clave de acceso en su cuenta. Durante un ataque, la clave de acceso puede ser registrada directamente por el atacante en Microsoft, quien puede asignarle un nombre que el usuario objetivo considere inofensivo”, explica Okta.
