Monthly Threat Report de octubre de 2026

Introducción

El Monthly Threat Report de Hornetsecurity by Proofpoint ofrece cada mes información sobre las tendencias de seguridad de M365, las amenazas por correo electrónico y la actualidad del sector de la ciberseguridad. Esta edición repasa los acontecimientos del sector de septiembre de 2026 hasta el 10 de octubre. Como este mes se centra en noticias y análisis, no incluye secciones estadísticas y da más espacio a la investigación y los incidentes.

Resumen ejecutivo

• Microsoft publicó la vulnerabilidad de SharePoint CVE-2026-65660 como un problema de suplantación de gravedad media, con una puntuación CVSS de 6,5; después, el 27 de agosto, reescribió su propio registro CVE para describir la ejecución remota de código y elevó la puntuación a 8,8. Los ataques comenzaron el 24 de septiembre y, el día 25, CISA la añadió al catálogo de vulnerabilidades explotadas conocidas (KEV), con un plazo de tres días para que las agencias federales aplicaran la solución.
• El 22 de septiembre, la unidad de delitos digitales de Microsoft y una coalición de entidades colaboradoras anunciaron que habían desarticulado el servicio de phishing EvilTokens. Por orden judicial del Tribunal de Distrito de EE. UU. para el Distrito Este de Virginia, intervinieron 50 sitios web y más de 150 dominios asociados. Desde febrero, el servicio por suscripción, que combinaba el phishing con códigos de dispositivo y un asistente de inteligencia artificial (IA) para clasificar los buzones robados, había alcanzado más de 12.000 buzones de más de 10.000 organizaciones.
• Previdian informó de intentos de explotar la vulnerabilidad de lectura de archivos de Atlassian CVE-2026-21589 (CVSS v4.0: 9,3) menos de dos horas después de que se publicara una prueba de concepto. No hace falta autenticación para leer archivos y, cuando Jira delega la autenticación en Crowd, entre ellos podrían encontrarse credenciales de Crowd en texto sin cifrar.
• Proofpoint detectó una campaña de password spraying contra 5.714 cuentas de Microsoft 365 en 28 tenants. La campaña comprometió siete cuentas, todas funcionales y sin inicios de sesión previos de una persona. Según Proofpoint, todas conservaban la contraseña original o una fácil de adivinar, y ninguna tenía la autenticación multifactor (MFA) aplicada.

Panorama de amenazas

Siete cuentas y ni una sola persona

El 22 de septiembre, Proofpoint publicó un análisis de una campaña de password spraying que sigue con el nombre UNK_CondorFiltration. Entre el 21 de julio y el 16 de agosto, la campaña atacó tenants de Microsoft 365 en Latinoamérica, casi todos en Chile. En total: 32.825 eventos de autenticación, 5.714 cuentas únicas, 28 tenants, 1.487 direcciones de origen en AWS EC2 y siete cuentas comprometidas.

De nuevo: se comprometieron siete cuentas y ninguna tenía una sesión legítima anterior de una persona en la telemetría de Proofpoint. Eran cuentas funcionales que daban servicio a una cola de incidencias, una caja o un proceso de pago a proveedores. Según Proofpoint, cada una aún usaba la contraseña asignada al crearla o una igual de fácil de adivinar. Ninguna tenía MFA aplicada. Seis cayeron en un intervalo de siete minutos. El mismo ataque de password spraying contra cuentas del personal, cuyos titulares deben cambiar la contraseña, no produjo ningún resultado que Proofpoint pudiera confirmar.

La automatización hizo que el intento apenas tuviera coste. Melvin Langvik creó TeamFiltration como herramienta de pruebas de penetración para Microsoft 365. Comprueba si una dirección existe mediante consultas a la API de Teams, unas 300 veces por segundo, sin activar el bloqueo. El tráfico de los ataques pasa por distintas regiones de AWS mediante FireProx: así, la campaña usó 1.487 direcciones y consiguió ir por delante de las listas de bloqueo de IP. Cuando encuentra una contraseña válida, la herramienta puede extraer correo y archivos por su cuenta, aunque Proofpoint advierte que los registros de inicio de sesión, por sí solos, no demuestran que se hayan extraído datos.

Los siete accesos se produjeron el 14 y el 15 de agosto, durante el último repunte de la campaña, contra una gran cadena minorista chilena que concentró el 78,3 % de los eventos observados. En el caso que Proofpoint analiza en detalle, quien operaba el ataque pasó a usar infraestructura VPN alemana e intentó acceder a la VPN corporativa de la víctima en menos de un minuto. MFA o Conditional Access bloquearon el intento. Después hubo sesiones en Azure Portal y SharePoint Online, y unos 25 minutos después del primer inicio de sesión se solicitó un token de Microsoft Graph. Al abrir Azure Portal, se pidió a quien atacaba que configurara MFA, la señal más clara de que no había ninguna configurada.

Por qué importa

Siete aciertos de 5.714 es una tasa baja y todos se dieron en cuentas exentas. Las siete pertenecían a una sola organización: el dato refleja las prácticas de aprovisionamiento de un tenant, no un patrón medido en los 28. Aun así, esas prácticas son habituales, por lo que el problema se repite. Los controles que protegen al personal suelen interrumpir los procesos programados; la solución pasa a ser una excepción que sobrevive a quien la pidió, y la cuenta conserva todos los permisos que ha necesitado para trabajar.

Por eso, «sin inicios de sesión interactivos en 90 días» no significa que una cuenta esté inactiva. También describe una cuenta que cumple exactamente su función con una contraseña que no se ha cambiado desde que se aprovisionó, fuera de todas las políticas aplicadas al personal.

La página de inicio de sesión es real; la sesión, no

El 1 de octubre publicamos un análisis de EvilTokens y del phishing con códigos de dispositivo, la técnica que usaba la plataforma cuya desarticulación Microsoft anunció nueve días antes. La edición de agosto explicó el mismo flujo en manos de un único kit de phishing. En septiembre, ya tenía una lista de precios.

El protocolo OAuth incluye un flujo de autorización mediante dispositivo para equipos que no pueden introducir una contraseña de forma práctica, como los dispositivos de una sala de reuniones. La pantalla muestra un código; alguien lo introduce en un navegador desde un teléfono o portátil, y el token llega a la pantalla. El phishing con códigos de dispositivo solo cambia quién recibe ese token. Quien ataca inicia el flujo y un señuelo con apariencia empresarial lleva a la víctima a una página que genera un código activo. La víctima lo introduce en la página de inicio de sesión auténtica de Microsoft, hxxps://microsoft[.]com/devicelogin, y completa MFA si se le solicita. El token llega a la sesión de quien ataca, que entonces lee el correo, crea reglas en la bandeja de entrada y analiza la organización mediante Microsoft Graph.

Por qué importa

Aquí no se suplanta nada. El dominio es de Microsoft, el certificado es válido y la persona titular legítima completa en persona el segundo factor de una sesión que nunca inició. Ya no queda nada que hacer con una década de formación sobre cómo revisar la barra de direcciones.

En agosto, un único kit ofrecía 34 plantillas de señuelos. En septiembre se sumaron una suscripción y un canal de asistencia, y el ataque quedó al alcance de compradores que nunca habrían podido desarrollarlo.

El control es el mismo en ambos casos. Entra ID Conditional Access permite restringir el flujo de códigos de dispositivo. La política adecuada se basa en una lista de permitidos: identifica los dispositivos que necesitan el flujo, aplica una política a esos dispositivos y bloquéalo en el resto de los casos. En la mayoría de las organizaciones, la lista es breve; en algunas, no hay ningún dispositivo que lo necesite.

Incidentes destacados y acontecimientos del sector

Microsoft y sus colaboradores desconectan EvilTokens

El 22 de septiembre, la unidad de delitos digitales de Microsoft (DCU) anunció que había desarticulado el servicio EvilTokens por orden del Tribunal de Distrito de EE. UU. para el Distrito Este de Virginia. Health-ISAC participó como demandante y se intervinieron 50 sitios web y se deshabilitaron más de 150 dominios asociados. El análisis de inteligencia sobre amenazas de Microsoft explica los aspectos técnicos; Bleeping Computer y The Hacker News también informaron de la operación. Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation y TRM Labs colaboraron.

El servicio empezó a venderse por Telegram en febrero de 2026. Según Microsoft, costaba 1.500 dólares por adelantado y 500 dólares al mes, con complementos de precio aparte, como un redireccionador antibots y herramientas para enviar correo masivo. El kit básico ofrecía 44 temas de señuelo: solicitudes de firma electrónica, servicios en la nube de Microsoft y de terceros, facturas, avisos de buzón de voz y notificaciones de eFax. Los enlaces pasaban por sitios web legítimos que habían sido comprometidos y terminaban en servicios de alojamiento sin servidor que suelen inspirar confianza a los filtros de reputación, sobre todo Vercel (hxxps://*[.]vercel[.]app), Cloudflare Workers (hxxps://*[.]workers[.]dev) y AWS Lambda.

Quienes compraban el servicio pagaban por las herramientas de IA. Antes de una campaña, un asistente adaptaba los correos a una persona concreta. Tras un acceso no autorizado, un chatbot resumía y traducía el correo de la víctima y respondía a las primeras preguntas de quien preparaba el fraude: qué conversaciones trataban sobre dinero, quién podía autorizarlo, qué facturas de proveedores estaban pendientes y a nombre de quién convenía hacerse pasar.

Microsoft calcula que el servicio alcanzó más de 12.000 buzones de más de 10.000 organizaciones. Por separado, SpyCloud recuperó datos obtenidos mediante phishing de 8.708 cuentas en 6.585 dominios corporativos de 79 países. Coinbase rastreó unos 1,1 millones de dólares en pagos a través de cuatro direcciones de Tron: una medida de los ingresos de quienes operaban el servicio, no de las pérdidas de las víctimas. El 11 de septiembre, agentes del Metropolitan Police Service detuvieron en Londres a dos personas sospechosas de operarlo, de 32 y 38 años. Ambas quedaron en libertad bajo fianza policial mientras continúa la investigación.

Por qué importa

Microsoft describe la operación como una interrupción de la infraestructura y reconoce que el modelo de negocio sobrevivirá. Por 1.500 dólares y una cuota mensual, una persona sin conocimientos especiales podía adquirir una técnica que elude la inspección de URL y supera MFA, con el análisis del buzón ya automatizado. En nuestro análisis de agosto sobre las amenazas cibernéticas aceleradas por IA, señalamos que, a corto plazo, la IA abarata los ataques. Por segunda edición consecutiva, esa conclusión aparece en una operación real. Averiguar quién aprueba las facturas solía ser la parte humana, lenta y costosa del fraude por correo electrónico corporativo. En este caso, se hizo de forma automática.

Una vulnerabilidad de SharePoint registrada como suplantación y reclasificada como ejecución de código

CVE-2026-65660 se incluyó en las actualizaciones de Microsoft del 11 de agosto como una vulnerabilidad de suplantación con una puntuación CVSS de 6,5. La notificó Dinh Ho Anh Khoa, de Viettel Cyber Security. El 27 de agosto, Microsoft modificó su propio registro CVE para describir la ejecución remota de código y elevó la puntuación a 8,8. La clasificación de inyección de código (CWE-94) ya figuraba desde el principio, junto a una descripción que hablaba de suplantación. Los productos afectados son SharePoint Enterprise Server 2016, SharePoint Server 2019 y SharePoint Server Subscription Edition.

El problema está en SafeControls, la lista que SharePoint consulta para decidir qué controles del servidor puede cargar. Cuando ToolPane vuelve a generar una directiva Register, no escapa un carácter de comillas dentro del valor de un atributo. Así, un valor preparado puede cerrar el atributo antes de tiempo e insertar directivas propias. Para cuando aparecen esas directivas adicionales, SharePoint ya ha validado los tipos, pero aún no ha creado el control. Por eso se puede registrar cualquier clase de .NET, y XamlServices.Parse() convierte el resultado en deserialización y ejecución de código. La carga útil de Viettel es una webshell que permanece íntegramente en memoria; según la persona investigadora, otras técnicas de deserialización suelen fallar por los permisos del registro y esta no.

Es necesario iniciar sesión, pero basta con una cuenta de pocos privilegios. Khoa también mostró una vía sin autenticación previa que combina la vulnerabilidad con una omisión de autenticación corregida antes por Microsoft. Solo funciona en sitios que permiten el acceso anónimo a páginas.

La explotación comenzó después de la publicación. SecurityWeek informó que Previdian registró los primeros intentos el 24 de septiembre y, al día siguiente, intentos de instalar webshells. El momento coincide con el análisis técnico de Viettel, que The Hacker News cubrió antes de que empezaran los ataques. El 25 de septiembre, Microsoft actualizó su aviso para confirmar la explotación y CISA añadió la vulnerabilidad al catálogo KEV, junto con un fallo de MikroTik RouterOS, CVE-2026-67279. La directiva federal BOD 26-04 fijó el 28 de septiembre como plazo para aplicar la solución. También indica a las agencias que averigüen si hubo una intrusión antes de instalar el parche.

Por qué importa

Esta es la segunda edición consecutiva en la que se explota activamente una vulnerabilidad de SharePoint local. El mes pasado fue CVE-2026-55040; además, quienes atacaban probaron combinarla con CVE-2026-63520.

La reclasificación tiene más alcance que la propia vulnerabilidad. En agosto, una organización que priorizara por gravedad podía dejar un problema de suplantación con puntuación 6,5 al final de la cola, una decisión razonable que el cambio del 27 de agosto dejó obsoleta cuatro semanas antes del primer ataque. El cambio se publicó como una edición de un registro que Microsoft ya había divulgado; un escáner o una incidencia que guardara la puntuación inicial de 6,5 no tenía motivos para volver a consultarlo. La gravedad puede cambiar después de tomar una decisión, así que el proceso de aplicación de parches debe detectar las actualizaciones del registro asociado a cada incidencia.

Como la explotación empezó antes de que la vulnerabilidad entrara en el catálogo KEV, la actualización de agosto cierra el fallo, pero no indica si alguien lo aprovechó antes. CISA pide a las agencias federales que investiguen; el resto también debería seguir ese criterio.

Two Hours From Proof of Concept to Honeypot Traffic

El 5 de octubre, Atlassian divulgó CVE-2026-21589, una vulnerabilidad de lectura de archivos sin autenticación con una puntuación de 9,3 en CVSS v4.0. Afecta a ocho productos autohospedados: las ediciones Data Center de Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo y Crowd, además de Crucible y Fisheye. Una biblioteca común a los ocho productos interpreta un par de dos puntos en la ruta de la solicitud como una barra. Esto basta para salir de los endpoints de recursos de los complementos y acceder a cualquier archivo del directorio web. Los listados de directorios están bloqueados, así que es necesario conocer de antemano el nombre y la ubicación del archivo, una protección menos eficaz de lo que parece.

El 6 de octubre, watchTowr publicó un análisis técnico con código de explotación funcional. Previdian dijo a Bleeping Computer que sus honeypots empezaron a registrar intentos en menos de dos horas, desde 38.60.157[.]86, 146.70.187[.]234 y 159.26.119[.]225, y que después apareció una plantilla de Nuclei. Según SecurityWeek, para el 8 de octubre Previdian había contabilizado 190 intentos desde 32 direcciones de 10 países. Ambos plazos proceden únicamente de Previdian. CISA añadió la vulnerabilidad al catálogo KEV el 15 de octubre.

Por qué importa

En la edición de septiembre anticipamos que el intervalo entre la publicación del código de explotación y los ataques reales seguiría acortándose. En agosto, quienes operaban honeypots detectaron al día siguiente tráfico que usaba la prueba de concepto de SharePoint de Rapid7; en este caso, Previdian informó de intentos en menos de dos horas. Distintas entidades observaron productos distintos, así que las dos cifras indican una tendencia, no una comparación directa.

Dos horas no bastan para convocar un comité de cambios, avisar de una ventana de mantenimiento ni probar una actualización en preproducción. Ante una vulnerabilidad crítica en software expuesto a Internet, la primera respuesta debe ser una medida de mitigación en el perímetro que pueda aplicarse en minutos; el parche puede seguir su propio calendario. Atlassian publicó indicaciones para WAF y proxies junto con las actualizaciones, lo que da a los equipos de defensa esa primera opción.

Predictions for the Coming Months

• Las cuentas de servicio y funcionales sin una persona responsable serán la vía inicial de acceso en una proporción cada vez mayor de incidentes de M365. Las excepciones que mantienen la automatización están incorporadas en las políticas y nadie se hace cargo de esas cuentas. Previsiblemente, más informes posteriores a incidentes señalarán que la identidad comprometida no tenía una persona responsable registrada.
• El phishing con códigos de dispositivo y el phishing mediante consentimiento sobrevivirán a la desarticulación de EvilTokens. La técnica no depende de una plataforma concreta y la propia Microsoft espera que el modelo sobreviva a la infraestructura intervenida. En los próximos dos trimestres podrían aparecer servicios sucesores con la clasificación del correo como función estándar.
• El intervalo entre la publicación de código de explotación y el escaneo oportunista seguirá reduciéndose hasta el límite que permita la automatización. Este mes, el plazo fue de dos horas para una vulnerabilidad sin autenticación ni cargas útiles complejas. El límite práctico dependerá de la rapidez con que pueda redirigirse la infraestructura de escaneo.
• La suplantación de empresas de transporte y comercios aumentará en noviembre y diciembre, como ocurre cada cuarto trimestre, con señuelos generados para cada destinatario desde kits en lugar de plantillas reutilizadas. Así desaparece la repetición que hacía que las campañas estacionales fueran fáciles de filtrar y que el personal aprendiera a reconocerlas.

Monthly Recommendations

• Haz inventario de todas las identidades no humanas del tenant y asigna una persona responsable a cada una. Cambia las credenciales de las cuentas funcionales y de servicio, exige MFA o migra esas cuentas a identidades de carga de trabajo con autenticación basada en certificados, y examina con atención cualquier historial de inicio de sesión vacío. 365 Permission Manager muestra a qué recursos pueden acceder esas cuentas en Teams, SharePoint y OneDrive.
• Restringe el flujo OAuth de códigos de dispositivo en Entra ID Conditional Access a los dispositivos que lo necesiten y bloquéalo en el resto de los casos. Crea la lista de permitidos a partir del inventario de hardware. Después, genera alertas si a un inicio de sesión correcto le sigue un método de autenticación nuevo, una regla nueva en la bandeja de entrada o el registro de un dispositivo desconocido. Correlaciona las tres señales en una sola alerta, porque cada una por separado parece ruido.
• Actualiza SharePoint local al nivel de agosto, verifica cada host y, después, busca indicios de lo ocurrido antes de aplicar el parche. Revisa si los sitios expuestos a Internet permiten el acceso anónimo a páginas y busca ensamblados registrados inesperados y rastros de webshells. Vuelve a evaluar cualquier incidencia pendiente cuya gravedad asignada por el proveedor haya cambiado.
• Forma al personal sobre los señuelos con códigos de dispositivo, en los que la barra de direcciones es correcta. La indicación debe ser concreta: aprueba una solicitud de inicio de sesión desde un dispositivo solo si la has iniciado tú, unos segundos antes, en un dispositivo que tienes delante. Security Awareness Training es el servicio que permite crear ese hábito.

---

Acerca de Hornetsecurity

Hornetsecurity es un proveedor líder mundial de soluciones de seguridad, cumplimiento normativo, backup y concienciación sobre seguridad de última generación, basadas en la nube y que ayuda a empresas y organizaciones de todos los tamaños en todo el mundo. Su producto estrella, 365 Total Protection, es la solución de seguridad en la nube para Microsoft 365 más completa del mercado. Impulsada por la innovación y la excelencia en ciberseguridad, Hornetsecurity está construyendo un futuro digital más seguro y una cultura de seguridad sostenible gracias a su galardonado portfolio. Hornetsecurity opera en más de 120 países a través de su red de distribución internacional de más de 12.000 partners y MSPs. Sus servicios premium son utilizados por más de 125.000 clientes. Para más información, visite hornetsecurity.com