El phishing AitM de Microsoft 365 está robando en silencio correos de nómina y finanzas—¿están las empresas listas para la próxima ola?

Los investigadores de ciberseguridad señalan que una campaña de phishing generalizada impulsada por correo está usando técnicas de adversary-in-the-middle (AitM) para secuestrar cuentas de Microsoft 365. La operación busca identificar a personal clave involucrado en flujos de nómina y finanzas, y después recopilar el contenido de correos relacionados que puede utilizarse para fraudes posteriores o suplantación de identidad. La información la describe como activa y escalable, lo que sugiere que los atacantes pueden comprometer cuentas repetidamente y ampliar su acceso a las comunicaciones corporativas. Por separado, autoridades indias advirtieron a personal corporativo y profesionales financieros sobre fraudes tipo “boss scam” que atacan cuentas de WhatsApp mediante “detalles de cuenta” falsos y documentos engañosos vinculados a MCA y RBI. El hilo conductor es la ingeniería social combinada con el secuestro de cuentas, con los atacantes buscando los mismos activos de alto valor: contactos de finanzas, instrucciones de pago y cadenas internas de aprobación. A nivel geopolítico, estos incidentes importan porque muestran cómo el crimen cibernético puede imitar técnicas de nivel estatal mientras explota la misma infraestructura de identidad y confianza en la que se apoyan gobiernos y grandes empresas. El compromiso de cuentas en Microsoft 365 es especialmente relevante porque puede eludir muchas defensas perimetrales y convertir el correo empresarial rutinario en un canal de inteligencia y fraude. La advertencia sobre el “boss scam” resalta cómo los atacantes se adaptan a los ecosistemas locales de cumplimiento al convertir en armas referencias a presentaciones regulatorias indias y narrativas sobre autoridad de pago. Esto desplaza el equilibrio de poder hacia los atacantes, que pueden aprender rápidamente la estructura organizativa y presionar a los equipos de finanzas con mensajes convincentes y cargados de contexto. Las víctimas—bancos, proveedores de nómina y empleadores multinacionales—asumen el costo operativo mediante respuesta a incidentes, pérdidas potenciales por fraude y daño reputacional, mientras que los defensores compiten contra el tiempo para detectar robo de credenciales y secuestro de sesiones. Las implicaciones de mercado y económicas probablemente se concentren en el gasto de ciberseguridad, herramientas de gestión de identidades y accesos (IAM) y servicios de respuesta a incidentes. Las empresas que usan Microsoft 365 podrían ver mayor demanda de endurecimiento de acceso condicional, autenticación resistente al phishing y controles de seguridad del correo, lo que puede impulsar presupuestos de corto plazo para proveedores del “stack” de seguridad. Si la recolección de correos de nómina y finanzas habilita redirección de pagos o fraude de facturas, la exposición financiera inmediata puede ser significativa incluso sin un gran titular de brecha, porque los atacantes apuntan a flujos transaccionales de alta frecuencia. Para India, el foco del “boss scam” en WhatsApp sugiere presión adicional sobre la postura de seguridad móvil y los procesos de atención al cliente, lo que podría elevar costos de mitigación de fraude vinculada a telecomunicaciones y de analítica antifraude. Aunque no se menciona explícitamente un movimiento directo en commodities o FX, el diferencial de riesgo del seguro cibernético y la volatilidad en acciones relacionadas con seguridad pueden aumentar si los incidentes se agrupan en plataformas comunes como Microsoft 365. Lo que conviene vigilar a continuación es si los defensores observan un aumento medible de intentos de secuestro de sesiones estilo AitM contra inquilinos de Microsoft 365, y si los actores pasan de la toma de cuentas a un fraude de pagos a escala. Indicadores clave incluyen picos en inicios de sesión sospechosos, concesiones anómalas de consentimiento OAuth, creación inusual de reglas en buzones y cambios rápidos en reenvíos o configuraciones de delegación. Para India, hay que monitorear un incremento de reportes de “boss scam” que citen documentos de MCA/RBI y PDFs falsos de detalles de cuenta, especialmente cuando provengan de números de WhatsApp comprometidos. Los puntos de activación deberían incluir cualquier evidencia de manipulación exitosa de flujos de nómina, como aprobaciones fraudulentas de pagos, cambios en datos de beneficiarios o suplantaciones repetidas de la dirección de finanzas. En los próximos días a semanas, el riesgo de escalada crece si las organizaciones retrasan la imposición de MFA, no validan cambios de pago por canales alternativos o no despliegan autenticación resistente al phishing en sistemas de finanzas y RR. HH.

Implicaciones Geopolíticas

• 01

  Cybercriminal tradecraft is increasingly platform-centric (Microsoft 365, WhatsApp), enabling rapid scaling of identity-based fraud that can disrupt national and corporate economic functions.

• 02

  Regulatory-themed social engineering (MCA/RBI references) suggests attackers tailor lures to local compliance narratives, raising the bar for corporate training and verification workflows.

• 03

  Account takeover targeting finance and payroll can create cascading operational and reputational impacts that resemble strategic disruption even without kinetic conflict.

Señales Clave

• —Increase in AitM-style phishing detections and suspicious OAuth consent events against Microsoft 365 tenants.
• —Growth in reports of WhatsApp “boss scam” using MCA/RBI document lures and fake account detail PDFs.
• —Evidence of mailbox rule creation, forwarding changes, or delegation after account compromise.
• —Finance workflow anomalies: beneficiary detail changes, unusual approval chains, or repeated impersonation attempts.