Masiva campaña de phishing suplanta a SharePoint y DocuSign para robar credenciales corporativas

Una operación de phishing generalizada y altamente engañosa está atacando a organizaciones en todo el mundo, haciéndose pasar por notificaciones legítimas de Microsoft SharePoint y DocuSign para robar las credenciales de inicio de sesión de los empleados. Analistas de seguridad que rastrean la campaña informan que los actores de la amenaza han enviado más de 40.000 correos electrónicos de phishing en oleadas recientes, aprovechando señuelos de ingeniería social sofisticados que explotan la confianza en estas plataformas empresariales omnipresentes.

La mecánica de la campaña es notablemente efectiva. Los atacantes elaboran correos electrónicos que imitan alertas automáticas estándar de SharePoint sobre un "documento compartido" o de DocuSign sobre un "documento que espera su firma". Los mensajes crean una sensación de urgencia, incitando al destinatario a hacer clic en un enlace para ver o firmar el supuesto documento. El cuerpo del correo electrónico y el nombre del remitente están cuidadosamente diseñados para parecer auténticos, suplantando a menudo contactos conocidos o nombres de servicio genéricos como "Equipo de SharePoint" o "Notificaciones de DocuSign".

El matiz técnico crítico que eleva la amenaza es el uso de enlaces maliciosos alojados en dominios comprometidos. En lugar de utilizar URL obvias y sospechosas, los atacantes aprovechan subdominios o rutas en dominios que han sido previamente secuestrados o registrados para parecer legítimos. Estos dominios pueden utilizar ligeras faltas de ortografía (typosquatting) o incorporar nombres de marcas de confianza en su estructura (por ejemplo, sharepoint-seguridad[.]com o docusign-verificacion[.]net). Esta técnica permite que los enlaces de phishing eludan los filtros básicos de seguridad del correo electrónico que bloquean dominios maliciosos conocidos, pero pueden incluir en la lista blanca o examinar menos los dominios con palabras clave familiares.

Al hacer clic en el enlace, la víctima es redirigida a una página de inicio de sesión fraudulenta que es una réplica casi perfecta del portal oficial de inicio de sesión de Microsoft 365 o DocuSign. La URL en la barra de direcciones normalmente mostrará el dominio engañoso. Cualquier credencial introducida en esta página es recopilada en tiempo real por los atacantes y transmitida a sus servidores de comando y control.

El impacto de un robo de credenciales de este tipo es grave y multifacético. Las credenciales corporativas comprometidas proporcionan a los atacantes un punto de apoyo directo dentro de la red de la organización. Este acceso puede utilizarse para:

• Exfiltración de datos: Buscar y robar propiedad intelectual, registros financieros o datos personales sensibles de empleados y clientes.
• Fraude financiero: Iniciar transferencias bancarias no autorizadas, cambiar los datos de pago de proveedores o cometer otras formas de fraude financiero bajo la apariencia de un empleado legítimo.
• Movimiento lateral: Utilizar la cuenta robada para enviar correos electrónicos de phishing más convincentes a otros empleados (una técnica conocida como phishing interno o lateral) y moverse lateralmente por la red para acceder a sistemas más críticos.
• Persistencia: Establecer puertas traseras o crear nuevas cuentas administrativas para mantener el acceso a largo plazo incluso si se restablece la contraseña comprometida inicial.

Esta campaña se encuadra claramente en la categoría de alto riesgo del Compromiso de Correo Electrónico Empresarial (BEC) y el phishing de credenciales. Su éxito depende de la tormenta perfecta de marcas de confianza, pretextos plausibles y ofuscación técnica.

Recomendaciones para la defensa:
Las organizaciones deben adoptar una estrategia de defensa en profundidad para contrarrestar esta amenaza:

1. Seguridad avanzada del correo electrónico: Implementar soluciones que utilicen IA y aprendizaje automático para analizar el contenido del correo electrónico, la reputación del remitente y el comportamiento de los enlaces más allá de las simples listas de bloqueo de dominios. El sandboxing de URL puede detectar redirecciones maliciosas.
2. Autenticación Multifactor (MFA): La aplicación de MFA, particularmente mediante métodos resistentes al phishing como las claves de seguridad FIDO2 o la autenticación basada en certificados, es el control más eficaz para neutralizar las credenciales robadas.
3. Concienciación y simulaciones para usuarios: Realizar formación continua en concienciación sobre seguridad que incluya ejemplos de phishing sofisticado, como la suplantación de marcas. Los ejercicios regulares de phishing simulado ayudan a mantener a los empleados vigilantes.
4. Monitorización de dominios: Supervisar de forma proactiva el registro de dominios que utilicen typosquatting o incorporen las marcas comerciales y nombres de marca de su organización.
5. Principios de Confianza Cero: Implementar segmentación de red y controles de acceso estrictos para limitar el daño si se comprometen las credenciales, siguiendo un modelo de "nunca confíes, siempre verifica".

La evolución de esta campaña subraya una tendencia persistente: los ciberdelincuentes están invirtiendo recursos significativos para hacer que sus operaciones de phishing sean más dirigidas, creíbles y técnicamente evasivas. Para la comunidad de la ciberseguridad, sirve como un recordatorio contundente de que el factor humano, combinado con el engaño técnico en evolución, sigue siendo uno de los vectores de ataque más difíciles de defender.