Imagina que un empleado de tu empresa recibe una llamada de alguien que dice ser del departamento de soporte de Microsoft. La voz suena convincente, incluso urgente: hay que «activar una nueva medida de seguridad» en la cuenta antes de que expire el acceso. Cinco minutos después, sin haber tecleado ninguna contraseña, un atacante tiene el control total de su cuenta de Microsoft 365. No es ciencia ficción: es exactamente la técnica que ha destapado Okta en un informe publicado esta semana, y que ya está afectando a empresas de sectores tan distintos como la alimentación, la sanidad, la automoción o la construcción.
Qué ha descubierto Okta
Investigadores de Okta han identificado a un grupo de ciberdelincuentes, catalogado como O-UNC-066, que combina dos técnicas ya conocidas por separado —el phishing telefónico (vishing) y el registro fraudulento de claves de acceso (passkeys)— para tomar el control de cuentas de Microsoft 365 sin necesidad de robar contraseñas tradicionales.
El grupo registra dominios que incluyen la palabra «passkey» y llama por teléfono a empleados de las organizaciones objetivo, haciéndose pasar por soporte técnico. Convence a la víctima de que debe «registrar una nueva clave de acceso» por motivos de seguridad. A partir de ahí, la dirige a un sitio que imita a la perfección el proceso real de registro de Microsoft.
Lo que hace especial a este ataque es el kit de phishing que utilizan: un panel controlado en tiempo real por el propio atacante, que va adaptando lo que la víctima ve en pantalla según las respuestas que da. Si a la víctima le llega un código por SMS, el operador se lo pide en el momento; si le aparece una notificación push para aprobar el acceso, el guion de la llamada se ajusta para conseguir que la apruebe. Todo ello mientras el atacante introduce en paralelo las credenciales robadas en la página real de inicio de sesión de Microsoft.
El resultado final es que la víctima cree estar protegiendo su cuenta añadiendo una capa extra de seguridad, cuando en realidad está autorizando el acceso del propio atacante y registrando la clave de acceso de este último como método válido en su cuenta.
Por qué esto es especialmente peligroso
Las passkeys (claves de acceso) son, en teoría, uno de los sistemas de autenticación más seguros que existen hoy: sustituyen la contraseña por una credencial criptográfica ligada al dispositivo, resistente al phishing tradicional. Microsoft las está promoviendo activamente, incluso configurando avisos que animan a los usuarios a activarlas al iniciar sesión.
El problema es precisamente ese: los atacantes están aprovechando la buena reputación y la novedad de las passkeys como excusa creíble para engañar a los usuarios. Como explican los propios investigadores de Okta, el ataque funciona en buena parte porque la mayoría de la gente todavía no sabe cómo debería verse un registro legítimo de passkey, así que no detecta que algo no cuadra.
Además, según Palo Alto Networks (Unit 42), este grupo estaría vinculado a un colectivo cibercriminal más amplio conocido como «The Com», la misma red descentralizada de la que forman parte actores tan conocidos como Scattered Spider, ShinyHunters o LAPSUS$, responsables de algunos de los incidentes de mayor repercusión de los últimos años contra grandes empresas. El objetivo final, según Okta, no es solo el acceso puntual: los atacantes mantienen un sitio de filtración de datos activo desde abril, lo que apunta a una motivación de extorsión mediante el robo y posterior publicación de información.
Qué significa esto para tu empresa
Aunque este tipo de campañas suelen dirigirse primero a organizaciones grandes, la técnica no tiene nada de sofisticado en el fondo: es ingeniería social por teléfono combinada con una web falsa. Cualquier pyme que use Microsoft 365 —que en España son prácticamente todas las que tienen correo corporativo, Teams o SharePoint— es un objetivo perfectamente viable, sobre todo si no cuenta con formación específica del personal ni con controles adicionales.
Algunas señales de alarma que conviene que todo el equipo conozca:
- Nadie de Microsoft llama nunca por teléfono para pedir que se registre una passkey, un código o cualquier credencial. Ese contacto siempre debe iniciarlo el usuario, no al revés.
- Si recibes una llamada inesperada «de soporte técnico» pidiendo que actúes con urgencia sobre tu cuenta, cuelga y verifica por otro canal antes de hacer nada.
- Un registro real de passkey se hace desde el propio dispositivo, normalmente con un diálogo del sistema operativo (Windows Hello, huella dactilar, PIN), no completando formularios en una web a través de un enlace que te ha pasado alguien por teléfono.
Qué puedes hacer ahora
No hace falta ser una gran corporación para reducir drásticamente el riesgo de caer en este tipo de ataques. Algunas medidas concretas y asequibles para una pyme:
- Formar al equipo con ejemplos reales como este, especialmente a quienes gestionan cuentas de administrador o tienen acceso a datos sensibles.
- Establecer un protocolo interno claro: ninguna incidencia de seguridad se gestiona por teléfono sin verificar primero con el departamento de IT o el proveedor de soporte habitual.
- Revisar y restringir quién puede registrar nuevos métodos de autenticación en las cuentas de la organización, activando alertas cuando se añaden dispositivos o claves nuevas.
- Auditar periódicamente los métodos de autenticación registrados en Microsoft 365 (Entra ID) para detectar accesos o passkeys que nadie recuerde haber creado.
- Tener una copia de seguridad fiable y externa de la información crítica: si a pesar de todo un atacante llega a entrar, contar con un backup 3-2-1 bien configurado marca la diferencia entre un susto y una pérdida real de datos o dinero por extorsión.
En Smart Informática ayudamos a pymes y autónomos de Madrid a revisar la configuración de seguridad de Microsoft 365, formar a los equipos frente a este tipo de engaños y poner en marcha copias de seguridad y auditorías periódicas que reducen el impacto de un incidente si finalmente ocurre.
Conclusión
Este caso es un buen recordatorio de que ninguna tecnología, por avanzada que sea, elimina el factor humano de la ecuación. Las passkeys siguen siendo mucho más seguras que las contraseñas tradicionales, pero como toda novedad, también son terreno fértil para el engaño mientras los usuarios aprenden a reconocer cómo funciona realmente. La mejor defensa sigue siendo la de siempre: desconfiar de la urgencia, verificar por un canal distinto y no dar por hecho que quien llama es quien dice ser.
Fuente: The Hacker News, basado en la investigación de Okta Threat Intelligence.
Foto de FlyD en Unsplash.