Los ataques de phishing continúan evolucionando, y tras los navegadores con IA, un reciente informe de Microsoft pone de manifiesto un método que difumina la línea entre los mensajes internos y externos.
Se han detectado campañas de fraude, difíciles de identificar para las empresas, que se llevan a cabo a través de configuraciones de correo electrónico complejas y mecanismos anti-suplantación de identidad mal implementados.
Cuando correos electrónicos externos se hacen pasar por internos
Ce message tente de récupérer un mot de passe – Source : Microsoft Threat Intelligence
El escenario descrito en el informe de Microsoft Threat Intelligence se basa en un caso común en las grandes organizaciones: un enrutamiento de correo electrónico que no apunta directamente a Microsoft 365.
Específicamente, cuando el registro MX de un dominio redirige inicialmente los mensajes a un servidor Exchange local, una puerta de enlace de seguridad o un servicio de terceros, se crea una zona intermedia. Si las protecciones SPF, DKIM y DMARC no se aplican estrictamente en cada etapa, esta arquitectura se vuelve explotable.
Los atacantes aprovechan esta vulnerabilidad para enviar mensajes de phishing suplantando el dominio de la empresa objetivo. Como resultado, el correo electrónico parece provenir de un colega, del departamento de recursos humanos o de un servicio externo, sin que se haya comprometido ninguna cuenta.
Microsoft ha observado un aumento significativo de esta táctica desde mayo de 2025, y la mayoría se basa en plataformas de «phishing-as-a-service» como Tycoon 2FA, capaces de eludir la autenticación multifactorial mediante técnicas de interceptación en tiempo real.
Robo de credenciales y fraudes como consecuencia…
Un exemple d’e-mail frauduleux – Source : Microsoft Threat Intelligence
En los ejemplos proporcionados por Microsoft, se observa que los temas utilizados son deliberadamente banales, como una notificación de correo de voz, un documento compartido, una alerta de restablecimiento de contraseña o un mensaje de recursos humanos.
A través de estos, el objetivo es recuperar credenciales y abrir la puerta a otras acciones maliciosas, que van desde el robo de datos hasta el compromiso del correo profesional.
Sin embargo, lo más grave es que Microsoft también destaca intentos de fraude financiero aún más elaborados. Algunos correos electrónicos imitan un intercambio entre un ejecutivo y el departamento de contabilidad, acompañados de facturas falsas, formularios fiscales o mensajes destinados a dar credibilidad a una solicitud de pago.
En octubre de 2025, el editor afirma haber bloqueado más de 13 millones de mensajes maliciosos relacionados con estos envíos.
Ajustes a revisar, no una nueva vulnerabilidad
El grupo insiste en que no se trata de una vulnerabilidad nueva, sino de un problema de configuración.
Por lo tanto, se invita a las empresas a endurecer sus políticas DMARC, a limitar estrictamente los servidores autorizados a través de SPF y a generalizar DKIM.
Además, Microsoft insiste en que la configuración de los conectores y las reglas de transporte entre los servicios de terceros y Microsoft 365 también merece una atención especial.
