Robar contraseñas es uno de los objetivos principales para los piratas informáticos, quienes utilizan diversas estrategias para ello. Recientemente, investigadores de seguridad de Huntress han reportado una campaña maliciosa en la que los atacantes están llevando a cabo ataques masivos con millones de intentos de inicio de sesión en cuentas de Microsoft 365, logrando comprometer varias decenas de ellas.
La campaña automatizada explota la interfaz de línea de comandos de Azure de Microsoft y los flujos OAuth, permitiendo a los atacantes comprometer cuentas incluso si las organizaciones utilizan métodos de autenticación en dos pasos. El ataque se dirige tanto a contraseñas como a tokens de inicio de sesión.
Según los investigadores, la campaña alcanzó su pico entre el 12 y el 26 de junio, durante el cual se registraron más de 81 millones de intentos de inicio de sesión contra clientes de Huntress, resultando en la compromisión de al menos 78 cuentas de Microsoft en 64 organizaciones distintas. Inicialmente, las vulneraciones diarias fueron bajas, con entre dos y cuatro cuentas comprometidas por día, pero el 22 de junio se reportaron 30 identidades afectadas, lo que marcó un aumento significativo en la actividad del ataque.
Huntress también ha señalado un incremento en el volumen de ataques de fuerza bruta contra credenciales de su base de clientes, que se ha multiplicado por 155 en los últimos seis meses. La elección de Azure como objetivo no es casual, ya que es una de las plataformas en la nube más utilizadas, donde muchas empresas almacenan información crítica. Un acceso exitoso podría permitir al atacante controlar servicios como Microsoft 365, OneDrive, Outlook o Teams.
Estos ataques subrayan la importancia de activar la autenticación multifactor y de configurarla correctamente para minimizar riesgos. El mecanismo que elude la autenticación multifactor se conoce como OAuth ROPC, que abusa del flujo OAuth 2.0 ROPC (Resource Owner Password Credentials), ya obsoleto, permitiendo enviar usuario y contraseña directamente al endpoint de tokens de Azure AD sin requerir un desafío MFA. Según Huntress, muchas organizaciones no contaban con políticas de acceso condicional que cubrieran este flujo ni la aplicación de la CLI de Azure, lo que permitió a los atacantes obtener tokens de acceso válidos incluso con MFA habilitado en otros contextos.
