Huntress ha publicado una investigación que cambia el marco con el que se entiende cómo entra el business email compromise en una organización. En un informe publicado el 22 de octubre de 2026, el proveedor de seguridad gestionada describe una campaña contra Microsoft 365 que se desarrolló del 14 de julio al 22 de septiembre de 2026, en la que los atacantes no necesitaron adivinar ni una sola contraseña. En su lugar, capturaron sesiones de inicio de sesión mediante relés de adversario en el medio y reutilizaron los tokens robados a escala, una técnica que Huntress llama token spraying.
En sus entornos de clientes, Huntress respondió a incidentes en 79 organizaciones, observando al menos 497 eventos de inicio de sesión exitosos en Microsoft 365 frente a más de 200.000 intentos fallidos, todos rastreados hasta el rango de IP 193.26.115[.]0/24, atribuido al proveedor de alojamiento alemán 1337 Services GmbH, también conocido como AS210558. Microsoft Entra ID Protection generó de forma independiente detecciones de IP de actor de amenazas verificadas contra varias direcciones de ese rango.
Cómo funciona el token spraying
En un ataque de adversario en el medio, la víctima inicia sesión a través de un relé que se sitúa entre ella y la página real de Microsoft. El relé muestra la página genuina y el aviso de MFA a la víctima, y luego conserva el token que Microsoft emite al completar el inicio de sesión. Como ese token se genera después del MFA, quien lo posee no necesita pasar el MFA otra vez. El atacante reutilizó muchos tokens robados en intentos automatizados de inicio de sesión contra servicios de Microsoft 365, el mismo patrón de volumen que el password spraying pero con tokens robados en lugar de contraseñas adivinadas.
Huntress indica que los tokens provenían de varias fuentes: relés AiTM detrás de páginas falsas de inicio de sesión, phishing por código de dispositivo e ingeniería social durante un proceso de inicio de sesión que por lo demás era legítimo.
Persistencia y manipulación del buzón
Una vez dentro, los atacantes trabajaron para permanecer dentro. Registraron al menos 48 dispositivos Entra falsos en los directorios de las víctimas, porque un dispositivo registrado ofrece una forma más duradera de solicitar tokens que la sesión robada por sí sola. También borraron y reemplazaron los métodos de MFA de las víctimas. En un caso descrito por los investigadores, un atacante activó una nueva app de autenticación en aproximadamente una hora desde el secuestro de la sesión.
Los detalles sobre el correo merecen la mayor atención. Los atacantes crearon reglas ocultas de bandeja con nombres como “sss”, “ss” o “iT” para eliminar los mensajes entrantes que mencionaban nóminas, depósitos o bonos, o para moverlos a carpetas oscuras como RSS Feeds o Conversation History. El objetivo era ocultar las respuestas y avisos que expondrían un business email compromise en curso. En un buzón comprometido, el atacante marcó todos los mensajes entrantes como leídos y los eliminó, y luego usó la cuenta para enviar spam saliente a cientos de destinatarios externos antes de que Microsoft Entra ID Protection valorara la cuenta como de alto riesgo. En otro incidente, el atacante usó una cuenta secuestrada para enviar un correo relacionado con una nómina a un contacto externo.
Por qué el DMARC sigue importando cuando el ataque empieza dentro
La lectura instintiva de esta campaña es que la autenticación del correo no importó, porque el atacante usó cuentas reales sobre infraestructura real. Lo contrario es cierto. Los ataques que empiezan con un token robado terminan con un buzón robado, y un buzón robado envía correo que pasa SPF, DKIM y DMARC del dominio al que pertenece. La autenticación no puede decirte que el humano detrás del envío fue reemplazado.
Eso tiene dos consecuencias. Para los defensores, la autenticación de entrada es el suelo: un mensaje que pasa DMARC no es automáticamente seguro, y controles como Conditional Access, la revocación de sesiones y la auditoría de reglas de bandeja deben cubrir lo que ocurre después de la entrega. Huntress recomienda revocar las sesiones y restablecer la contraseña de cualquier presunta víctima de reutilización de tokens, luego eliminar los dispositivos y métodos de MFA registrados por el atacante, que un simple cambio de contraseña deja intactos, y revisar las reglas de bandeja y las nuevas aplicaciones empresariales.
Para los remitentes, el lado saliente es la parte peligrosa. Un buzón secuestrado que envía spam a cientos de destinatarios externos daña la reputación del dominio desde el que envía. La marca cuyo dominio fue reclutado para el fraude absorbe los rebotes, las quejas y las consecuencias de las blocklists, aunque nadie de su equipo escribiera esos mensajes.
La lección de entregabilidad
Para los equipos de marketing y de TI, la campaña recuerda que la entregabilidad y la seguridad convergen en el mismo activo: el dominio. Si tu dominio envía correo desde cuentas que pueden ser tomadas en silencio, tu reputación de remitente es tan fuerte como tu token de sesión más débil. Monitorizar los informes agregados de DMARC sigue siendo esencial, no porque detenga el robo de tokens, sino porque muestra todas las fuentes que envían como tu dominio, incluidas las cuentas comprometidas y cualquier servicio no autorizado que se coló en tu DNS.
Excello Mail mapea cada fuente legítima de envío de tus dominios y te lleva a la aplicación plena de DMARC sin romper el correo real, y su monitorización expone los envíos que no pertenecen, vengan de un dominio suplantado o de un buzón que ya no te responde. Regístrate gratis en Excello Mail y mantén tu dominio, tus destinatarios y tu reputación fuera del ataque de otro.