¿Phishing impulsado por IA, relabeling de la NSA y nuevo ransomware? ¿Se están acelerando las amenazas cibernéticas?

Una nueva plataforma de phishing-as-a-service llamada Forg365 se está comercializando para robar cuentas de Microsoft 365 combinando técnicas adversary-in-the-middle (AiTM) y de “device code”, además de usar generación de señuelos asistida por IA para mejorar las tasas de conversión. El informe enmarca a Forg365 como una capacidad “lista para usar” que reduce la barrera de habilidades para el robo de credenciales y el secuestro de sesiones, apuntando a una de las pilas de identidad empresarial más desplegadas. En paralelo, investigadores de ciberseguridad detectaron una nueva familia de ransomware, GodDamn, que emplea un controlador de kernel PoisonX para deshabilitar las defensas del endpoint como parte de su flujo de evasión. Por separado, se reporta que la NSA reactivó el nombre “Tailored Access Operations” (TAO) para su unidad de hacking de élite, cambiando el rótulo desde la Office of Computer Network Operations (CNO) de vuelta a TAO. En conjunto, este conjunto de noticias apunta a un entorno de amenazas cibernéticas donde las herramientas ofensivas se vuelven más automatizadas y escalables, mientras los grandes servicios de inteligencia continúan refinando el branding operativo y el “tradecraft”. El enfoque de Forg365 en Microsoft 365 sugiere que los “tesoros” más valiosos para muchas organizaciones—identidad, correo y colaboración—están siendo atacados mediante embudos de ingeniería social cada vez más eficientes. El enfoque de GodDamn con controlador de kernel indica que los atacantes están invirtiendo en un control más profundo a nivel de host, en lugar de depender solo de malware que requiere clic del usuario, lo que eleva la probabilidad de fallos de contención más rápidos. El cambio de nombre de la NSA a TAO no es, por sí mismo, un cambio de política, pero sí señala continuidad de operaciones de acceso de alto nivel que pueden moldear prioridades defensivas en gobiernos y operadores de infraestructura crítica. Las implicaciones de mercado y económicas probablemente se concentren en el gasto de ciberseguridad, la seguridad de identidades en la nube y la protección de endpoints. Las empresas podrían aumentar presupuestos para endurecimiento de Microsoft 365, acceso condicional, autenticación resistente al phishing y mejoras de EDR/AV, lo que puede beneficiar a proveedores vinculados a la gobernanza de identidades y a la defensa de endpoints. Aunque los artículos no aportan movimientos de precio directos, el perfil de riesgo puede traducirse en mayor demanda de servicios de respuesta a incidentes y de managed detection and response (MDR), e incluso en primas de seguros más elevadas por riesgo cibernético. En el frente de la IA, la afirmación de OpenAI de una mejora del 54% en eficiencia de tokens para la codificación “agentic” y el impulso de Meta en mercados de codificación con IA intensifican la presión competitiva por desplegar automatización más rápida—beneficiando tanto a desarrolladores legítimos como, potencialmente, a adversarios que puedan “weaponizar” capacidades similares. Lo siguiente a vigilar es si los defensores observan un aumento medible en el secuestro de cuentas de Microsoft 365 usando flujos AiTM/device-code, y si las muestras de GodDamn se expanden más allá de víctimas iniciales con deshabilitación repetible basada en drivers. Indicadores clave incluyen picos en aprobaciones anómalas de device-code, patrones inusuales de consentimiento OAuth y telemetría de endpoints consistente con el comportamiento del driver PoisonX. Para ejecutivos, los disparadores deberían incluir cualquier detección de actividad de amenazas vinculada a TAO en fuentes de inteligencia, además de hallazgos de auditorías internas que evidencien brechas en cobertura de MFA, “token binding” y protecciones anti-manipulación del endpoint. En los próximos días a semanas, la trayectoria de escalada dependerá de si crece la adopción de Forg365 como PaaS y de si los operadores de ransomware encadenan el acceso inicial con movimientos laterales rápidos y cifrado—incrementando la probabilidad de disrupción operativa más amplia.

Implicaciones Geopolíticas

• 01

  Identity-centric targeting (Microsoft 365) increases cross-border cyber risk for governments and multinational firms, raising the likelihood of diplomatic friction after incidents.

• 02

  Kernel-driver ransomware suggests a shift toward more persistent, system-level compromise that can disrupt critical services and complicate attribution and response.

• 03

  Intelligence-service operational continuity (NSA TAO) can influence defensive postures and procurement priorities across allied states.

• 04

  Privacy enforcement (Italy’s fine) highlights regulatory pressure on AI deployments, which can affect how quickly AI tools are adopted and monitored.

Señales Clave

• —Telemetry spikes in device-code approvals and anomalous OAuth consent patterns tied to Microsoft 365 sessions
• —Endpoint detections consistent with PoisonX driver behavior and subsequent security-tool disablement
• —Threat-intel reporting of Forg365 infrastructure expansion and reuse of lure templates
• —Regulatory follow-on actions in Europe regarding age checks and AI governance for conversational systems