Olvida el candado verde, el dominio bien escrito y la ortografía perfecta como señales de alerta. Una campaña de phishing detectada entre junio y julio de 2026 llevó a las víctimas hasta una página de inicio de sesión auténtica de Microsoft, alojada en login.microsoftonline.com, y aun así logró comprometer sus cuentas.
El equipo de investigación de correo de Check Point identificó más de 200 correos de phishing dirigidos a usuarios de unas 120 organizaciones en distintos países. El objetivo no era robar una contraseña, sino conseguir que la propia víctima autorizara el acceso a su cuenta.
Un correo que parece salir de tu propia empresa
El anzuelo era una notificación falsa de Microsoft Teams disfrazada de aviso de Microsoft Planner. El remitente aparecía como “There’s New Activity On Team”, el asunto mencionaba tres mensajes enviados por Recursos Humanos y el cuerpo hablaba de una actualización de nómina y beneficios, junto con un contador de cuatro tareas pendientes.
Un detalle delataba el engaño a ojos entrenados: todos los enlaces del correo, incluidos ambos botones de acción, redirigían a la misma dirección, y el remitente visible pertenecía a la organización del propio destinatario, como si el mensaje se hubiera enviado a sí mismo.
Pero ese detalle no importa si el usuario hace clic. El enlace abre una URL de autorización OAuth legítima de Microsoft. Al iniciar sesión, aparece un aviso solicitando aprobar permisos para una aplicación, en nombre propio o de toda la organización.
Por qué ni el candado ni el doble factor te salvan aquí
Si la víctima acepta, Microsoft redirige el navegador a la dirección indicada por la propia solicitud de autorización, que en esta campaña apuntaba a un endpoint de AWS API Gateway controlado por los atacantes. Ahí llega el código de autorización, que después se canjea por acceso real a correo, archivos, Teams, SharePoint, OneDrive y calendario.
En ningún momento se roba una contraseña. Tampoco hay una página falsa que detectar: dominio, certificado y diseño son genuinamente de Microsoft. La autenticación multifactor, pensada para proteger el inicio de sesión, no interviene en absoluto porque el atacante nunca necesita las credenciales; se limita a recoger un permiso que el propio usuario concedió con su sesión ya válida. Esta técnica se conoce como consent phishing o phishing de consentimiento.
Es un enfoque distinto al de plataformas de phishing como servicio, por ejemplo Kali365, que suelen centrarse en robar cookies de sesión o tokens OAuth existentes. Aquí, en cambio, el atacante obtiene algo más duradero: una autorización activa que puede sobrevivir incluso a un cambio de contraseña posterior. Núñez Tech ya había detallado el funcionamiento de Kali365 como referencia del ecosistema de phishing dirigido a cuentas corporativas de Microsoft.
El verdadero problema no es la vigilancia del usuario, es el permiso que puede pedir cualquier aplicación
Las guías de seguridad tradicionales entrenan a los empleados para revisar la URL, buscar el candado y detectar dominios mal escritos. Ninguna de esas señales sirve cuando no hay nada falsificado que detectar. El punto débil se traslada de “¿esto es una web falsa?” a “¿debería esta aplicación tener acceso a mis archivos y mi correo?”, una pregunta que la mayoría de usuarios nunca se ha planteado antes de hacer clic en “Aceptar”.
Check Point confirma que la campaña concreta ya no está activa, pero advierte que la técnica se ha comoditizado durante 2026 hasta convertirse en un servicio de alquiler para otros grupos. Eso implica que variantes similares, con distintos disfraces de correo, seguirán apareciendo mientras el consentimiento de aplicaciones siga siendo tan fácil de solicitar como de conceder.
Lo que deberían revisar hoy mismo los administradores, no los usuarios
Depender de que cada empleado escrutine cada pantalla de consentimiento es una apuesta perdida a largo plazo. La medida con más impacto real está en manos de los administradores de Microsoft Entra: restringir qué aplicaciones pueden solicitar permisos y a qué nivel de acceso, en lugar de dejar esa decisión abierta a cualquier usuario final. Mientras esa configuración por defecto siga siendo permisiva en tantas organizaciones, el consent phishing seguirá siendo, para los atacantes, más rentable que forzar una contraseña.
