Los ciberdelincuentes están aprovechando servicios legítimos de Microsoft para distribuir correos fraudulentos capaces de dirigir a los usuarios hacia sitios diseñados para robar contraseñas, información personal y otros datos sensibles. Entre el 1 de agosto y el 18 de septiembre de 2026, Kaspersky bloqueó más de 31 mil mensajes maliciosos que utilizaban este mecanismo, una modalidad de phishing que dificulta identificar los intentos de fraude.
La campaña detectada por la compañía de ciberseguridad utiliza funciones oficiales de autenticación, redireccionamiento y notificaciones de Microsoft para dar credibilidad a mensajes que solicitan actualizar contraseñas, verificar cuentas o revisar documentos electrónicos.
A diferencia de los ataques tradicionales, en los que los delincuentes recurren a dominios falsos para suplantar a una empresa, esta modalidad puede mostrar inicialmente una dirección legítima de Microsoft, aunque posteriormente dirija a la víctima hacia un sitio controlado por los atacantes.
El hallazgo plantea nuevos desafíos para la seguridad del correo electrónico corporativo, debido a que la autenticidad de un dominio ya no resulta suficiente para determinar si una comunicación es confiable.
¿Cómo funciona el fraude que utiliza servicios oficiales de Microsoft?
Kaspersky identificó dos mecanismos utilizados por los ciberdelincuentes para distribuir mensajes fraudulentos mediante infraestructura legítima.
El primero consiste en aprovechar las funciones de redireccionamiento de Microsoft Entra, la plataforma de administración de identidades y accesos utilizada por organizaciones.
De acuerdo con la investigación, los atacantes crean una cuenta de Microsoft y registran una aplicación en este servicio.
Durante la configuración, establecen una dirección de redireccionamiento que conduce a un sitio malicioso bajo su control.
Posteriormente, distribuyen enlaces que inicialmente pasan por la infraestructura oficial de Microsoft.
Cuando el usuario accede al vínculo, puede reconocer un dominio legítimo y asumir que se encuentra ante una comunicación segura.
Sin embargo, el proceso puede terminar en una página diseñada para obtener credenciales de acceso o información confidencial.
Etapas del ataque mediante redireccionamiento
1. Recepción del correo
El usuario recibe una solicitud para actualizar credenciales o revisar documentos.
2. Enlace asociado a Microsoft
El vínculo utiliza infraestructura legítima para generar confianza.
3. Redireccionamiento
El usuario puede terminar en una página administrada por los ciberdelincuentes.
4. Riesgo de robo de información
El sitio intenta obtener datos sensibles o inducir la descarga de software malicioso.
Fuente: Kaspersky. Esquema editorial basado en la campaña identificada.
La investigación no establece que los servicios de Microsoft hayan sido comprometidos mediante una vulneración de sus sistemas.
El mecanismo descrito consiste en el uso indebido de funcionalidades legítimas para conducir a las víctimas hacia destinos fraudulentos.
Más de 31 mil correos fraudulentos bloqueados en siete semanas
Entre el 1 de agosto y el 18 de septiembre de 2026, las soluciones de seguridad de Kaspersky bloquearon más de 31 mil correos electrónicos que contenían enlaces creados mediante este mecanismo.
El periodo comprende aproximadamente siete semanas de actividad detectada.
| Indicador | Resultado |
|---|---|
| Correos fraudulentos bloqueados | Más de 31,000 |
| Inicio del periodo analizado | 1 de agosto de 2026 |
| Fin del periodo analizado | 18 de septiembre de 2026 |
| Duración aproximada | Siete semanas |
| Empresa que identificó la campaña | Kaspersky |
| Servicio utilizado para redireccionamientos | Microsoft Entra |
Fuente: Kaspersky, comunicado del 20 de octubre de 2026.
La cifra corresponde a mensajes bloqueados por las soluciones de Kaspersky y no representa el número total de correos fraudulentos enviados en internet durante ese periodo.
Tampoco equivale a 31 mil personas afectadas, cuentas comprometidas o fraudes consumados.
La compañía no detalló cuántos mensajes estuvieron dirigidos a México, qué países concentraron los intentos ni el monto de las posibles pérdidas económicas.
Los delincuentes también manipulan notificaciones auténticas de Microsoft
La segunda técnica identificada por Kaspersky consiste en aprovechar las notificaciones automáticas de verificación y recuperación de cuentas.
Los atacantes crean cuentas de usuario falsas y registran el correo electrónico de una posible víctima como dirección de recuperación o respaldo.
Cuando Microsoft genera automáticamente un código de verificación, el mensaje enviado puede incorporar contenido previamente manipulado por los delincuentes.
De esta manera, una persona puede recibir una notificación auténtica de Microsoft que contiene instrucciones o mensajes fraudulentos.
La particularidad del ataque es que el correo no necesariamente proviene de una dirección falsificada.
El mensaje puede generarse desde la infraestructura oficial del proveedor, mientras que parte de su contenido fue introducido por un tercero.
Esto complica la identificación de intentos de fraude basados únicamente en revisar quién envió el mensaje.
¿Por qué una notificación oficial puede resultar peligrosa?
Una notificación legítima confirma que un sistema generó y envió un mensaje, pero no garantiza que la actividad que originó ese envío haya sido solicitada por el destinatario.
En esta modalidad, los delincuentes buscan aprovechar la confianza que generan los avisos de seguridad y los códigos de verificación.
Por ello, recibir una solicitud inesperada de autenticación o recuperación debe considerarse una señal que requiere comprobación.
Kaspersky recomienda no compartir códigos de acceso ni seguir instrucciones contenidas en notificaciones que el usuario no haya solicitado.
Phishing con documentos electrónicos: contratos y firmas como señuelo
La campaña también utiliza mensajes relacionados con la revisión y firma de documentos.
Según Kaspersky, algunos correos aparentan ser comunicaciones oficiales de Microsoft, mientras que otros invitan a acceder a documentos electrónicos que supuestamente requieren atención.
Entre los señuelos identificados se encuentran:
- Actualización de credenciales, mediante solicitudes para cambiar o confirmar contraseñas.
- Validación de cuentas, con mensajes que aparentan formar parte de un proceso de autenticación.
- Revisión de documentos, a través de enlaces que prometen mostrar archivos electrónicos.
- Firma de documentos, mediante invitaciones inesperadas para completar una autorización.
- Códigos de verificación, enviados mediante notificaciones auténticas que contienen contenido manipulado.
El objetivo de estas comunicaciones es inducir al destinatario a interactuar con enlaces o instrucciones que pueden comprometer sus datos.
Una vez que la persona accede al destino malicioso, puede encontrarse con formularios para introducir contraseñas o con sitios que buscan instalar programas dañinos.
La investigación no identifica una plataforma específica de firma electrónica como responsable del ataque.
¿Qué riesgos enfrentan las empresas ante esta modalidad de phishing?
El uso de servicios legítimos para distribuir enlaces fraudulentos representa un desafío para los controles tradicionales del correo corporativo.
En campañas convencionales, una dirección desconocida o un dominio que imita a una empresa reconocida puede facilitar la identificación de un mensaje sospechoso.
Sin embargo, cuando el vínculo inicial pertenece a un proveedor tecnológico legítimo, esa señal pierde parte de su utilidad.
Leandro Cuozzo, analista sénior de Seguridad del Equipo Global de Investigación y Análisis de Kaspersky para América Latina, explicó que los delincuentes están utilizando infraestructura oficial para aumentar la credibilidad de sus comunicaciones.
“Las señales tradicionales del phishing pueden no ser suficientes en estos casos”.
El especialista advirtió que esta característica dificulta la identificación del fraude y hace necesario reforzar las herramientas de protección.
Para las empresas, los principales riesgos potenciales incluyen el robo de credenciales, la exposición de información confidencial y la instalación de software malicioso en dispositivos de trabajo.
Estos escenarios pueden comprometer el acceso a aplicaciones y datos empresariales, aunque el comunicado no documenta incidentes específicos ni pérdidas financieras derivadas de la campaña.
¿Cómo identificar un correo fraudulento que parece provenir de Microsoft?
Kaspersky recomienda que los usuarios no determinen la seguridad de un mensaje únicamente por la reputación de la empresa que aparece como remitente.
La compañía plantea revisar el contexto de la solicitud y verificar de manera independiente cualquier acción relacionada con contraseñas, documentos o autenticaciones.
Cinco medidas para prevenir el fraude
- Verificar el destino final de los enlaces. Un vínculo puede comenzar en un dominio legítimo y posteriormente redirigir a una página maliciosa. Antes de introducir información, es necesario comprobar la dirección final del sitio.
- Evitar enlaces de actualización de contraseñas no solicitados. Si un mensaje pide cambiar credenciales o validar una cuenta, se recomienda ingresar directamente a la aplicación o página oficial.
- Confirmar las solicitudes de firma electrónica. Ante una invitación inesperada para revisar contratos, facturas o documentos, conviene contactar al supuesto remitente mediante otro canal.
- No compartir códigos de verificación. Recibir un código de acceso o recuperación sin haber iniciado el procedimiento puede indicar que alguien está intentando utilizar los mecanismos de autenticación.
- Reforzar la seguridad del correo corporativo. Las organizaciones deben contar con controles capaces de detectar enlaces peligrosos, archivos maliciosos y técnicas de phishing que aprovechan infraestructura legítima.
La compañía también recomienda utilizar soluciones de seguridad con capacidades antiphishing para detectar amenazas que no siempre presentan las señales habituales de suplantación.
Microsoft Entra y la importancia de revisar los accesos empresariales
El uso de Microsoft Entra en esta campaña resulta relevante porque se trata de una plataforma utilizada para administrar identidades y accesos.
Los sistemas de autenticación forman parte de la infraestructura con la que las organizaciones controlan el ingreso a aplicaciones y servicios.
En el ataque descrito, los delincuentes aprovechan la posibilidad de configurar direcciones de redireccionamiento al registrar aplicaciones.
Esta funcionalidad permite que un enlace asociado inicialmente con un servicio legítimo termine conduciendo hacia un destino no confiable.
Para las áreas de tecnología y ciberseguridad, el hallazgo refuerza la necesidad de revisar no solo el dominio inicial de los vínculos, sino también los destinos a los que pueden dirigir.
Asimismo, las notificaciones de autenticación deben evaluarse considerando si el usuario inició efectivamente el procedimiento que las generó.
La investigación de Kaspersky no establece que todos los enlaces de Microsoft Entra representen un riesgo ni que los correos legítimos del proveedor deban considerarse fraudulentos.
El problema identificado es el aprovechamiento malicioso de determinadas funciones por parte de terceros.
Ciberseguridad empresarial: los dominios legítimos ya no garantizan la seguridad de un correo
La campaña identificada por Kaspersky muestra una evolución de las técnicas de fraude electrónico.
Los atacantes no se limitan a imitar la identidad de una empresa tecnológica, sino que pueden utilizar sus servicios para distribuir mensajes o enlaces que aparentan tener mayor legitimidad.
El bloqueo de más de 31 mil correos en aproximadamente siete semanas refleja la actividad detectada por la compañía durante el periodo analizado.
Sin embargo, la investigación no permite determinar cuántos usuarios fueron afectados ni qué proporción de los intentos logró comprometer información.
Para las organizaciones, el principal desafío consiste en mantener controles capaces de identificar comportamientos sospechosos incluso cuando los mensajes incorporan elementos auténticos de proveedores reconocidos.
La seguridad del correo corporativo ya no puede depender exclusivamente de verificar que un dominio pertenezca a una empresa conocida. La validación de solicitudes, la revisión de los destinos finales y la protección de credenciales adquieren mayor importancia ante campañas que utilizan infraestructura legítima como parte del engaño.
