El CSIRT Turing mantiene bajo seguimiento una campaña activa de phishing orientada al robo de credenciales corporativas, observada durante septiembre de 2026 en organizaciones y contactos empresariales en Ecuador, con especial relevancia dentro del ecosistema de proveedores, integradores, partners y empresas del sector tecnológico.

Desde la emisión del comunicado inicial del 18 de septiembre, se identificaron nuevos correos con características consistentes con el patrón previamente observado, procedentes de cuentas pertenecientes a organizaciones con las que existen relaciones comerciales, operativas o de soporte. La recurrencia de nuevos eventos y la aparición de indicadores adicionales de compromiso refuerzan la valoración de que la campaña continúa activa y presenta un patrón de propagación mediante cuentas corporativas previamente comprometidas.

Descripción de la actividad

El patrón observado es consistente con técnicas de Business Email Compromise (BEC), Vendor Email Compromise (VEC), Spearphishing Link y Spearphishing Attachment. Los atacantes aprovechan cuentas corporativas legítimas y relaciones empresariales existentes para distribuir mensajes relacionados con contratos, propuestas, documentación, servicios u otras comunicaciones habituales entre organizaciones.

• URLs que redirigen a sitios destinados al robo de credenciales.
• Archivos PDF, algunos protegidos mediante contraseña.
• Uso de cuentas y dominios legítimos pertenecientes a organizaciones conocidas.
• Contenido contextualizado con relaciones comerciales reales.
• Intentos de reutilizar las cuentas comprometidas para continuar la propagación hacia nuevos contactos.

La cadena de ataque observada es compatible con el siguiente escenario: compromiso de una cuenta, identificación de contactos, envío de correos creíbles, interacción con enlaces o documentos, captura de credenciales o sesiones, compromiso de nuevas cuentas y nueva propagación.

En escenarios más avanzados pueden emplearse técnicas Adversary-in-the-Middle (AiTM) destinadas a capturar tokens o cookies de sesión, permitiendo potencialmente reutilizar sesiones autenticadas incluso cuando existe MFA.

Un aspecto relevante es que estos mensajes pueden superar controles como SPF, DKIM y DMARC, debido a que pueden ser enviados desde infraestructura legítima utilizando cuentas reales comprometidas. Por tanto, una autenticación satisfactoria del dominio no garantiza que el contenido del mensaje sea seguro.

Impacto y Riesgo

• Robo de credenciales y compromiso de cuentas Microsoft 365 / Entra ID.
• Captura o reutilización de sesiones autenticadas.
• Acceso no autorizado a correo y documentación corporativa.
• Creación de Inbox Rules, forwarding o delegaciones maliciosas.
• Suplantación frente a clientes, proveedores y otros contactos.
• Distribución de nuevas campañas desde cuentas comprometidas.
• Fraude relacionado con facturas, pagos o modificación de información bancaria.
• Exfiltración de información y afectación reputacional.

Recomendaciones

Para equipos IT / Seguridad / SOC

• Incorporar los hashes identificados a EDR/XDR/antivirus para detección, hunting y bloqueo.
• Incorporar las direcciones IP y demás IOCs a SIEM, firewalls/NGFW, IDS/IPS, Secure Web Gateway, proxy, DNS Security y WAF, validando el contexto antes de establecer bloqueos permanentes.
• Ejecutar búsquedas retrospectivas por remitente, asunto, URL, dominio, hash, Message-ID, Network Message ID e IP.
• Revisar Sign-in Logs, sesiones activas, métodos MFA, aplicaciones OAuth y Conditional Access ante cualquier interacción sospechosa.
• Verificar en Exchange Online Inbox Rules, forwarding, delegaciones, Send As / Send on Behalf y mensajes enviados.
• Revocar sesiones y refresh tokens, restablecer credenciales y revisar métodos MFA si existe sospecha de compromiso.
• Mantener controles de MFA resistente a phishing, Secure Email Gateway, EDR/XDR, monitoreo de identidad, Security Awareness y Threat Hunting.
• Evitar allowlists o excepciones permanentes basadas únicamente en que el remitente sea un proveedor conocido.

Para usuarios

• Desconfíe de enlaces o documentos inesperados, incluso cuando procedan de contactos conocidos.
• Valide mediante un canal alternativo cualquier solicitud relacionada con contratos, pagos, facturas o documentación sensible.
• No introduzca credenciales corporativas ni códigos MFA desde enlaces recibidos por correo.
• Revise cuidadosamente el dominio real antes de autenticarse.
• Extreme la precaución con archivos protegidos mediante contraseña cuando la clave se incluye en el propio mensaje.
• Reporte inmediatamente cualquier mensaje sospechoso mediante los mecanismos corporativos establecidos.

IOC relevantes