Ejemplo de phishing de Microsoft 365: la contraseña que vence hoy
Imita un aviso automático de la cuenta de trabajo: la contraseña vence en horas y un botón promete conservarla. El botón abre una copia de la pantalla de inicio de sesión que se queda con el usuario, la contraseña y, a veces, el código de verificación.
Hola lucia.fernandez@tuempresa.example (Señal 2),
La contraseña de tu cuenta vence hoy a las 23:59. Si no la confirmás, vas a perder el acceso al correo, a Teams y a OneDrive (Señal 3).
Podés conservar tu contraseña actual con un clic:
Equipo de Seguridad de Cuentas. Para dejar de recibir estos avisos, actualizá tus preferencias.
Cinco señales que delatan el aviso falso
Un remitente que no es ni tu empresa ni Microsoft
Los avisos de vencimiento los configura tu área de TI y salen de dominios conocidos. «m365-soporte-cuentas» es un dominio armado para sonar oficial.
El saludo es tu dirección de correo
Un sistema que administra tu cuenta sabe cómo te llamás. Un envío masivo solo tiene la dirección y la usa como saludo.
Perderlo todo hoy
Correo, Teams y OneDrive en la misma amenaza, con hora límite. La urgencia es la que hace que no mires el enlace.
«Conservar la misma contraseña»
Ninguna política de seguridad te deja saltear un cambio con un clic. Si tu contraseña vence de verdad, se cambia desde el portal de siempre.
El dominio real está al final
El enlace empieza con «login.microsoftonline.com», pero el dominio que manda es el que queda justo antes de la primera barra: «verificar-cuenta.example». Todo lo anterior es un subdominio que cualquiera puede crear.
Qué hacer si te llega
- No toques el botón. Si querés revisar tu cuenta, escribí vos la dirección del portal que usás siempre.
- Reportalo con el botón de reporte del correo o reenvialo a seguridad como adjunto.
- Si tu empresa manda avisos reales de vencimiento, comparalos con este: remitente, tono y destino del enlace.
- Avisale a tu equipo: estos envíos suelen llegar a muchas personas de la empresa a la vez.
Si ya escribiste la contraseña
- Cambiala desde el portal habitual y avisá a TI para que cierre las sesiones abiertas.
- Si escribiste un código de verificación o aprobaste una notificación, decilo: con eso alguien pudo entrar aunque la cuenta tenga MFA.
- Pedí a TI que revise si aparecieron en tu buzón reglas de reenvío o de borrado que no creaste.
La misma trampa por otros canales
Por Teams
Un usuario externo con nombre de «Soporte IT» escribe por chat y comparte un enlace «para revalidar la cuenta». Teams marca a los remitentes de fuera de la organización como externos: esa etiqueta es la señal.
Por SMS
Un mensaje corto avisa que tu cuenta de trabajo será bloqueada y trae un enlace acortado. En el teléfono es más difícil ver a dónde lleva que en la computadora.
Con un QR
El correo no trae enlace: trae un código QR «para reactivar la autenticación». El filtro de correo no lo lee como un enlace y la cámara del teléfono abre el destino.
Preguntas sobre el phishing de Microsoft 365
Otros engaños para reconocer
¿Cuántos en tu empresa tocarían «Mantener contraseña actual»?
Whalemate simula phishing por correo de forma nativa, incluidos avisos de cuenta como este. Quien escribe la contraseña recibe en el momento un entrenamiento sobre la señal que no vio, y quien reporta el correo también queda medido, porque reportar es el hábito que se busca.