Estafas en Microsoft Teams suplantan a soporte de TI para desplegar ransomware

Investigadores de ciberseguridad han identificado una oleada persistente de ataques de ingeniería social dirigidos a organizaciones a través de Microsoft Teams. Los actores de amenazas crean identidades falsas de soporte de TI para engañar a los empleados y conseguir que otorguen acceso remoto, lo que finalmente deriva en la instalación de malware y el despliegue de ransomware. Este patrón, destacado en un informe de Arctic Wolf Labs compartido con The Hacker News el 26 de octubre de 2026, explota la confianza en los canales de comunicación internos en lugar de vulnerabilidades técnicas del software.

Qué ocurrió

El vector de ataque comienza con la creación o adquisición de nuevos inquilinos (tenants) de Microsoft 365. Los atacantes utilizan estos inquilinos para generar cuentas de Teams con nombres visibles que imitan al personal interno de TI, como "Help Desk", "IT Support" o nombres específicos como "IT Service Desk – Liam". Estas cuentas suelen usar el dominio predeterminado *.onmicrosoft[.]com, con nombres de inquilino elegidos para sonar legítimos, como helpdeskteam365 o itcoreportal. En los últimos meses, se ha observado un cambio hacia el uso de dominios de nivel superior (TLD) de pago, donde aproximadamente el 50 por ciento de las identidades falsas utilizan el TLD .top y el 40 por ciento utiliza .com.

Antes de iniciar el contacto en Teams, los atacantes suelen inundar la bandeja de entrada de correo electrónico de la víctima con cientos de suscripciones a boletines informativos o correos de confirmación. Este "bombardeo de correo" crea una sensación de urgencia y confusión. Poco después, la víctima recibe un mensaje de Teams desde la cuenta falsa de soporte de TI ofreciendo ayuda para resolver el problema del correo. Este momento está diseñado para bajar la guardia de la víctima y hacer que la oferta no solicitada de soporte parezca útil en lugar de sospechosa.

Una vez iniciada la conversación, el atacante utiliza técnicas de ingeniería social, incluidas llamadas de voz (vishing), para persuadir al usuario de instalar herramientas legítimas de monitoreo y gestión remota (RMM) como Quick Assist, AnyDesk o TeamViewer. Tras obtener acceso directo al teclado, el atacante realiza reconocimiento, se mueve lateralmente hacia los controladores de dominio y despliega cargas adicionales. En algunos casos, instruyen a los usuarios para ejecutar comandos de PowerShell que descargan instaladores maliciosos desde Azure Blob Storage, lo que lleva a la ejecución de puertas traseras como GoGRPC y eventualmente al ransomware Chaos.

Detalles clave

• Los atacantes usan nuevos inquilinos de Microsoft 365 con nombres temáticos de TI para establecer credibilidad en chats externos de Teams.
• Casi el 30–40% de los casos investigados implican el uso de dominios de respaldo *.onmicrosoft[.]com para ocultar el origen de los mensajes.
• El bombardeo de correo se utiliza como táctica previa para crear urgencia antes de que llegue el mensaje falso de soporte de TI en Teams.
• Los nombres visibles falsos a menudo incluyen el dominio de la organización objetivo o títulos comunes de TI como "HelpDesk Supervisor" o "Enterprise IT & Security (Internal)."
• Los atacantes evitan enviar enlaces directos en Teams para eludir el escaneo de seguridad, guiando en su lugar a los usuarios para descargar cargas durante sesiones remotas.
• La etapa final del ataque a menudo implica el despliegue del ransomware Chaos después de la exfiltración de datos y el movimiento lateral.

Contexto

La ingeniería social se basa en manipular la psicología humana en lugar de explotar fallos técnicos en el software. En este escenario, los atacantes aprovechan la confianza inherente que los empleados depositan en los departamentos internos de TI. Al imitar el lenguaje, el tono y la urgencia de las solicitudes de soporte genuinas, eluden la formación estándar en conciencia de seguridad que se centra en correos electrónicos sospechosos o enlaces desconocidos. El uso de herramientas RMM legítimas complica aún más la detección, ya que estas aplicaciones suelen estar aprobadas para su uso dentro de las organizaciones para tareas de mantenimiento reales.

Microsoft Teams permite el chat externo por defecto en muchas configuraciones, habilitando la comunicación entre usuarios de diferentes organizaciones. Si bien esto facilita la colaboración, también abre una puerta para los actores de amenazas que pueden crear fácilmente cuentas gratuitas o de bajo costo de Microsoft 365. La combinación de acceso externo, suplantación convincente y el uso de herramientas de confianza crea un entorno de alto riesgo donde las defensas perimetrales tradicionales pueden fallar en detectar la compromisión inicial.

Por qué importa

Para los equipos que gestionan su propio software e infraestructura, esta tendencia destaca una brecha crítica en la postura de seguridad: la monitorización de identidad y comportamiento. Los filtros de correo electrónico tradicionales pueden captar el bombardeo de correo inicial, pero no pueden prevenir la interacción subsiguiente en Teams. Si el chat externo está habilitado, cualquier empleado puede ser objetivo de un suplante convincente. El impacto es grave, ya que obtener acceso remoto permite a los atacantes moverse lateralmente a través de la red, comprometiendo potencialmente los controladores de dominio y almacenes de datos sensibles.

El uso de herramientas legítimas como el software RMM hace que estos ataques sean difíciles de detectar con protección de endpoints estándar. Dado que las herramientas en sí mismas no son maliciosas, los sistemas de seguridad pueden no marcar su instalación o uso. Esto significa que la telemetría de los proveedores de identidad y los registros de actividad de endpoint se vuelven esenciales para detectar comportamientos anómalos, como sesiones de acceso remoto inusuales o comandos de PowerShell ejecutados por personal no técnico. Las organizaciones deben reconocer que la confianza es ahora una superficie de ataque que requiere gestión activa.

Qué puedes hacer

• Restringe el acceso al chat externo en Microsoft Teams solo a socios y proveedores necesarios, deshabilitándolo para usuarios generales cuando sea posible.
• Implementa políticas estrictas para la instalación y uso de herramientas de acceso remoto, requiriendo aprobación de la seguridad de TI antes de su uso.
• Capacita a los empleados para verificar la identidad de cualquiera que afirme ser soporte de TI, especialmente si inician el contacto vía chat o teléfono.
• Monitoriza picos inusuales en el tráfico de correo electrónico (bombardeo de correo) y correlaciónalos con mensajes posteriores en Teams de usuarios externos desconocidos.
• Habilita la autenticación multifactor y políticas de acceso condicional para limitar la capacidad de las cuentas comprometidas para realizar acciones sensibles.
• Revisa y audita los registros de ejecución de PowerShell y uso de herramientas RMM, buscando patrones que se desvíen de las actividades administrativas normales.