El FBI advierte a los usuarios de Microsoft sobre la estafa sin contraseña

La medida de seguridad en la que muchos de nosotros confiamos puede no protegernos de la forma en que pensamos. El FBI advierte sobre una plataforma emergente de phishing como servicio llamada Kali365. Está dirigido a cuentas de Microsoft 365, incluidas Outlook, Groups y OneDrive.

Sólo eso suena mal. La parte más aterradora es cómo funciona. Esta estafa puede ingresar a su cuenta sin robar su contraseña. Incluso con la autenticación multifactor activada, una aprobación incorrecta del código del dispositivo podría dar acceso a un delincuente.

Así es como funciona la estafa, por qué puede pasar por alto MFA y qué puede hacer para proteger su cuenta de Microsoft.

Regístrese para recibir mi informe CyberGuy GRATIS

• Reciba mis mejores consejos técnicos, alertas de seguridad urgentes y ofertas exclusivas directamente en su bandeja de entrada.
• Para conocer formas sencillas y reales de detectar estafas a tiempo y mantenerse protegido, visite CyberGuy.com – con la confianza de millones de personas que ven CyberGuy en la televisión a diario.
• Además, obtendrás acceso instantáneo y gratuito a mi Guía definitiva para sobrevivir a estafas cuando te unas.

NUEVA ADVERTENCIA DEL FBI REVELA ATAQUES DE PHISHING QUE AFECTAN A CHATS PRIVADOS

Cómo Kali365 engaña a los usuarios de Microsoft

Kali365 es una plataforma de phishing como servicio. En otras palabras, los delincuentes pueden suscribirse y utilizar herramientas listas para usar para atacar cuentas de Microsoft 365. El FBI cube que Kali365 fue visto por primera vez en abril de 2026 y se ha extendido principalmente a través de Telegram. La plataforma brinda a los atacantes acceso a mensajes de phishing generados por IA, plantillas de campaña automatizadas, paneles de seguimiento y herramientas que capturan tokens de OAuth. Esa última parte es la clave.

Los tokens de OAuth son claves de acceso digitales. Pueden permitir que una aplicación permanezca conectada a su cuenta de Microsoft sin solicitar su contraseña cada vez. Son útiles cuando los utiliza la aplicación adecuada. Son peligrosos cuando los roba un estafador.

Por qué esta estafa puede vencer a MFA

La mayoría de las estafas de phishing intentan robar su contraseña. Kali365 toma una ruta diferente. El ataque abusa del proceso de inicio de sesión con código de dispositivo de Microsoft. Es posible que hayas visto algo related al iniciar sesión en una aplicación de transmisión en un televisor inteligente. Una pantalla muestra un código corto. Luego ingresa ese código en otro dispositivo para aprobar el inicio de sesión.

Ese proceso es legítimo. La estafa comienza cuando un delincuente inicia el inicio de sesión desde su propio dispositivo y lo engaña para que lo apruebe. Es posible que vea un correo electrónico de phishing que parece provenir de un servicio en la nube confiable o una herramienta para compartir documentos. El mensaje incluye un código y le indica que visite una página de verificación actual de Microsoft.

Esa página actual de Microsoft es lo que hace que esto sea tan engañoso. La dirección internet puede verse bien. Es posible que su administrador de contraseñas no se oponga. La página puede parecer segura. Pero una vez que se ingresa el código, es posible que sin saberlo autorices el dispositivo del atacante. Desde allí, el atacante puede capturar tokens de acceso y actualizar. Eso puede abrir la puerta a Outlook, Groups y OneDrive sin su contraseña u otra solicitud de MFA.

ESTAFA POR CORREO ELECTRÓNICO CON CÓDIGO QR OBJETIVOS OPINIONES DE EMPLEADOS

Los estafadores pueden utilizar una página de inicio de sesión legítima de Microsoft para que el intento de phishing parezca mucho más convincente. (Neil Godwin/Future vía Getty Photographs)

¿Por qué esto debería preocupar también a las pequeñas empresas?

Una estafa como esta puede afectar a cualquier persona con acceso a Microsoft 365. Aun así, las pequeñas empresas deberían prestar mucha atención. Piense en lo que se encuentra dentro de una cuenta laboral típica. Hilos de correo electrónico. Facturas. Archivos compartidos. Charlas de empleados. Contactos de proveedores. Detalles del cliente. Invitaciones del calendario. Una cuenta comprometida puede darle a un delincuente una voz muy creíble.

Un estafador que entre en Outlook puede estudiar cómo escribe. Pueden enviar mensajes desde su cuenta actual. Pueden pedirles a sus compañeros de trabajo que paguen facturas falsas, compartan archivos o restablezcan contraseñas. Eso me da miedo porque es posible que la estafa ya no parezca una estafa. Puede que provenga de alguien que conoces.

Cómo se desarrolla el ataque

El FBI describe el plan en una secuencia clara. Primero, la víctima recibe un correo electrónico de phishing que pretende provenir de un servicio confiable de productividad o de intercambio de archivos. A continuación, el correo electrónico proporciona un código de dispositivo y le indica a la víctima que lo ingrese en una página legítima de verificación de Microsoft.

Luego, la víctima ingresa el código y, sin saberlo, aprueba el dispositivo del atacante. Después de eso, el atacante captura los tokens de actualización y acceso de OAuth. Finalmente, el atacante puede acceder a servicios de Microsoft 365 como Outlook, Groups y OneDrive sin necesidad de la contraseña de la víctima.

Banderas rojas a tener en cuenta

La señal de advertencia más importante es una solicitud inesperada para ingresar un código de dispositivo de Microsoft. Sospeche si un correo electrónico le pide que ingrese un código para un archivo, correo de voz, factura o documento compartido que no solicitó.

Además, esté atento a la urgencia. A los estafadores les encantan los mensajes que te empujan a actuar rápido. Pueden afirmar que un documento caducará, que hay un mensaje de voz esperando o que una cuenta necesita verificación.

Otra pista es el contexto. Si no estaba intentando iniciar sesión en un dispositivo, no ingrese un código de dispositivo. Ese hábito puede detener esta estafa antes de que comience.

Si aparece un código de Microsoft en un correo electrónico, texto o mensaje de Groups inesperado, deténgase y vaya directamente a su cuenta. (Kurt «CyberGuy» Knutsson)

Lo que cube Microsoft sobre la advertencia de phishing de Kali365

En respuesta a CyberGuy, Microsoft dijo que los clientes deben seguir las recomendaciones del FBI, así como las mejores prácticas publicadas por Microsoft para protegerse contra Kali365 y estafas similares.

La compañía también dijo que trabaja para alterar los ecosistemas cibercriminales vinculados al phishing como servicio y la actividad de apropiación de cuentas. Microsoft señaló las recientes acciones de la Unidad de Delitos Digitales que involucran a Pretend ONNX, RaccoonO365 y Tycoon 2FA como ejemplos de esos esfuerzos más amplios.

Cómo proteger su cuenta de Microsoft 365 de Kali365

Algunos hábitos inteligentes pueden ayudarle a detectar solicitudes de códigos de dispositivos falsos, reducir su exposición y seguir las directrices del FBI para limitar este tipo de ataques.

1) Nunca ingreses un código de dispositivo que no hayas solicitado

Introduzca un código de dispositivo de Microsoft únicamente cuando haya iniciado personalmente el inicio de sesión. Si el código llega a través de un correo electrónico, un mensaje de Groups o un enlace de documento aleatorio, deténgase.

2) Vaya directamente a Microsoft

No utilice enlaces dentro de mensajes sorpresa. Abra su navegador y vaya directamente a Microsoft o al portal Microsoft 365 de su empresa.

3) Verifique la actividad de su cuenta

Revise los inicios de sesión recientes, los dispositivos conectados y las sesiones activas. Si ve una ubicación, dispositivo o aplicación que no reconoce, actúe de inmediato.

4) Revocar sesiones sospechosas

Si cree que ingresó un código por error, cierre sesión en todas las sesiones y revoque el acceso a aplicaciones sospechosas. Luego cambie su contraseña y comuníquese con su equipo de TI.

5) Mantenga MFA activado

No desactive la autenticación multifactor debido a esta estafa. MFA todavía bloquea muchos ataques a cuentas. Esta amenaza muestra por qué también hay que tener cuidado con las solicitudes de aprobación y los códigos de dispositivo.

6) Utilice un software program de seguridad potente

El uso de un software program antivirus potente puede ayudar a detectar páginas de phishing, enlaces maliciosos y descargas sospechosas antes de que causen daños. Obtenga mis selecciones para los mejores ganadores de protección antivirus de 2026 para sus dispositivos Home windows, Mac, Android e iOS en Cyberguy.com

7) Utilice un servicio de eliminación de datos

Los estafadores suelen crear mensajes de phishing convincentes con datos personales encontrados en línea. Un servicio de eliminación de datos puede ayudar a reducir la cantidad de información disponible en sitios de búsqueda de personas y bases de datos de intermediarios de datos. Consulte mis mejores opciones para servicios de eliminación de datos y obtenga un escaneo gratuito para descubrir si su información private ya está disponible en la internet visitando Cyberguy.com.

8) Capacite a su equipo sobre estafas con códigos de dispositivos

Es posible que los empleados sepan que no deben escribir contraseñas en páginas extrañas. A muchos nunca se les ha advertido sobre los códigos de los dispositivos. Haga que esta estafa específica forme parte de su capacitación en seguridad.

9) Restrinja el flujo de código del dispositivo si su empresa no lo necesita

El FBI cube que restringir el flujo de códigos de dispositivos puede ayudar a prevenir o limitar este estilo de ataque. Los equipos de TI deben crear una política de acceso condicional para bloquear el flujo de códigos de dispositivos para todos los usuarios, con excepciones limitadas para los procesos comerciales requeridos.

10) Primero audite el uso del código del dispositivo

Antes de bloquear el flujo de códigos de dispositivos, el FBI recomienda auditar el uso precise para identificar necesidades comerciales legítimas. Eso puede ayudar a evitar interrupciones para los empleados o sistemas que dependen de este método de inicio de sesión.

11) Bloquear políticas de transferencia de autenticación

El FBI también recomienda bloquear las políticas de transferencia de autenticación. Esto puede ayudar a evitar que los usuarios transfieran la autenticación de computadoras a dispositivos móviles.

12) Proteger las cuentas de acceso de emergencia

Si su organización no puede restringir completamente el flujo de códigos de dispositivos, el FBI recomienda excluir las cuentas de acceso de emergencia para evitar bloqueos. Ese paso debe ser realizado con cuidado por su equipo de seguridad o de TI.

13) Reportar el ataque

Si usted fue atacado o comprometido, repórtelo al Centro de Denuncias de Delitos en Web del FBI en IC3.gov. Incluya correos electrónicos de phishing, encabezados de correo electrónico, horas de inicio de sesión sospechosas, direcciones IP, ubicaciones, dispositivos no autorizados y sesiones activas.

Qué hacer si ya has introducido un código

Muévete rápido.

• Cierre sesión en Microsoft 365 en todos los dispositivos.
• Cambia tu contraseña.
• Verifique su correo electrónico de recuperación y su número de teléfono.
• Revise las reglas de reenvío en Outlook.
• Busque reglas extrañas en la bandeja de entrada que oculten, eliminen o redireccionen correos electrónicos.
• Luego revise los archivos de OneDrive, los mensajes de Groups y la actividad reciente de la cuenta.
• Si se trata de una cuenta de trabajo, infórmeselo a su equipo de TI de inmediato. No esperes a ver qué pasa. Los tokens robados pueden dar a los atacantes acceso continuo hasta que sean revocados.

Las conclusiones clave de Kurt

Este es el tipo de estafa que puede engañar a personas inteligentes porque utiliza una página de inicio de sesión actual de Microsoft para llevar a cabo algo delictivo. Eso es lo que hace que Kali365 sea tan peligroso. Puede convertir un paso de seguridad confiable en una trampa, especialmente cuando el código no proviene de un usuario que inició sesión. La gran conclusión aquí es reducir la velocidad antes de ingresar cualquier código de dispositivo de Microsoft. Si aparece un código a través de un correo electrónico, un mensaje de texto o un mensaje de Groups inesperado, deténgase y vaya directamente a la cuenta. No apruebe un inicio de sesión a menos que se haya iniciado intencionalmente. Unos segundos adicionales de precaución pueden ayudar a mantener a los delincuentes fuera de Outlook, Groups, OneDrive y todo lo que esté conectado a ellos.

¿Alguna vez recibió un código de Microsoft o un mensaje de inicio de sesión que no solicitó y le pareció lo suficientemente convincente como para hacerle una pausa? Háganos saber escribiéndonos a Cyberguy.com

HAGA CLIC AQUÍ PARA DESCARGAR LA APLICACIÓN FOX NEWS

Regístrese para recibir mi informe CyberGuy GRATIS

• Reciba mis mejores consejos técnicos, alertas de seguridad urgentes y ofertas exclusivas directamente en su bandeja de entrada.
• Para conocer formas sencillas y reales de detectar estafas a tiempo y mantenerse protegido, visite CyberGuy.com, en el que confían millones de personas que ven CyberGuy en la televisión a diario.
• Además, obtendrás acceso instantáneo y gratuito a mi Guía definitiva para sobrevivir a estafas cuando te unas.

Copyright 2026 CyberGuy.com. Reservados todos los derechos.