Una campaña contra Microsoft 365 detectó más de 5.700 cuentas objetivo en América Latina y logró comprometer siete. Según Proofpoint, todas eran cuentas de servicio sin autenticación multifactor, con contraseñas posiblemente predecibles o sin renovar.
Una investigación de Proofpoint puso el foco en un riesgo que puede pasar inadvertido para las empresas, especialmente en el marco del Mes Nacional de la Ciberseguridad que conmemoramos en octubre: las cuentas corporativas olvidadas que mantienen permisos de acceso y utilizan contraseñas débiles.
El análisis identificó 5.714 cuentas objetivo en 28 entornos corporativos de América Latina y registró 32.825 eventos de autenticación desde 1.487 direcciones IP asociadas a servidores de Amazon Web Services (AWS). La actividad se concentró intensamente en organizaciones chilenas y los atacantes consiguieron comprometer siete cuentas.
El hallazgo más relevante es que todas las cuentas vulneradas eran funcionales o de servicio, utilizadas por sistemas o procesos de una organización y no necesariamente por una persona. De acuerdo con Proofpoint, estas identidades no tenían un historial previo de inicios de sesión legítimos en la telemetría revisada, carecían de autenticación multifactor (MFA) y probablemente conservaban contraseñas predeterminadas o fáciles de adivinar que nunca fueron renovadas. Seis de las siete cuentas fueron comprometidas en un lapso de siete minutos.
“Este caso demuestra que una organización no necesita tener una vulnerabilidad desconocida para quedar expuesta. Una cuenta de servicio olvidada, con permisos vigentes y una contraseña débil, puede convertirse en una puerta de entrada a información y aplicaciones corporativas”, señala Benjamín Mera, director de CronUp Ciberseguridad.
La campaña utilizó TeamFiltration, una herramienta desarrollada para pruebas de penetración que también puede ser utilizada con fines maliciosos. Los atacantes recurrieron a una técnica conocida como password spraying, que consiste en probar contraseñas comunes contra numerosas cuentas para intentar obtener acceso.
Tras los accesos, Proofpoint observó actividad en aplicaciones como Microsoft Teams, OneDrive, SharePoint Online y Azure Portal. Aunque la firma precisó que los registros de autenticación, por sí solos, no permiten confirmar que se haya concretado una extracción de información.
Para Mera, el caso refuerza la necesidad de que las empresas revisen no sólo las cuentas de sus trabajadores, sino también las que utilizan sus sistemas y aplicaciones. Por esto, entre las medidas prioritarias que aconseja, están el mantener un inventario actualizado de estas identidades, asignarles un responsable, limitar sus permisos y aplicar autenticación multifactor cuando corresponda.
“Las cuentas que ya no se utilizan, pero conservan acceso a sistemas corporativos, también representan un riesgo. Por eso, es fundamental revisar periódicamente qué identidades siguen activas, qué permisos tienen y si existe actividad inusual”, concluye el especialista.
