Falso soporte técnico en Teams: malware en menos de 15 minutos

Primero, el buzón se llena de cientos de boletines y confirmaciones de suscripción que nadie ha pedido. Pocos minutos después, en Microsoft Teams, llega el mensaje de un «técnico de TI» que se ofrece a resolver el problema. Es el esquema documentado por Arctic Wolf en más de 400 incidentes y recogido el 26 y el 27 de octubre de 2026 por The Hacker News, Help Net Security, Infosecurity Magazine y Dark Reading: en algunos casos pasan menos de 15 minutos entre el primer contacto y la ejecución de código malicioso, y algunas intrusiones terminaron con robo de datos y ransomware.

El texto completo de la investigación lo recoge sobre todo Help Net Security: las cifras y los detalles técnicos que siguen vienen de ahí, mientras que los demás medios confirman el esquema y los tiempos.

Qué ha pasado

El ataque no explota ninguna vulnerabilidad de Teams. Abusa de una función legítima: el acceso externo (federación), activado por defecto, que permite a un usuario de otro tenant de Microsoft 365 buscar, escribir y llamar a los empleados de una organización, siempre que ambos tenants lo permitan. Según los investigadores, es la función más abusada en estos casos, y llevar la conversación a Teams esquiva la desconfianza que los empleados han aprendido a tener hacia el correo.

Los atacantes preparan identidades creíbles:

• entre el 30 y el 40 % de los casos usa tenants gratuitos onmicrosoft.com, creados en minutos y sin verificación, con nombres como «helpdeskteam365» o «itcoreportal»;
• más recientemente han pasado a dominios de pago: alrededor del 50 % en .top, alrededor del 40 % en .com y algo más del 5 % en dominios de varios niveles como .com.pl, .com.vn y .com.br. Sophos ya había descrito el mismo cambio en la campaña del ransomware Chaos;
• los nombres visibles añaden «(Internal)», aunque Teams marca al remitente como externo, o un nombre propio como «IT Service Desk (Matthew)»; en los casos más recientes incluyen el nombre o el dominio de la empresa atacada, y algunos mensajes están en el idioma local. Más de 100 nombres contienen emojis (escudos, llaves inglesas), que para Arctic Wolf podrían indicar identidades generadas con herramientas de IA.

Los medios recuerdan que la técnica no es nueva: Microsoft la describió a mediados de 2024 en ataques vinculados a Black Basta, y desde entonces ha aparecido en las operaciones de Cactus, 3AM y Chaos. Dark Reading plantea un posible vínculo de la campaña actual con Black Basta, sin atribución segura.

La cadena de ataque

1. Email bombing: el buzón de la víctima se inunda de suscripciones y confirmaciones.
2. Contacto en Teams desde un tenant externo, a menudo hacia varios empleados en un intervalo de unos cinco minutos: para los investigadores, probablemente automatizado.
3. Llamada de voz en Teams y petición de instalar una herramienta de acceso remoto. La más usada es Quick Assist, incluida en Windows: a la víctima le basta con leer un código de seis cifras. También aparecen AnyDesk y ScreenConnect, a menudo como segundo acceso que se mantiene después de eliminar el primero.
4. Ningún enlace en el chat, donde sería analizado: los archivos maliciosos los descarga el atacante durante la sesión remota.
5. Ejecución: en un caso, el falso técnico hizo ejecutar un comando de PowerShell que puso en marcha una cadena de scripts ocultos; el último instaló un implante en Python que recopiló los nombres y las descripciones de todas las cuentas de usuario y de equipo de Active Directory y los envió a servidores de los atacantes.

En algunos casos, la alerta por robo de credenciales saltó a la vez que la de la primera conversación en Teams: cuando alguien la revisó, el equipo ya estaba comprometido.

Técnicas de MITRE ATT&CK

Con lo descrito, la cadena encaja en: Email Bombing (T1667), Impersonation (T1656), Spearphishing via Service (T1566.003) y Spearphishing Voice (T1566.004), Remote Access Tools (T1219), PowerShell (T1059.001), Domain Account Discovery (T1087.002) y Exfiltration Over C2 Channel (T1041), hasta Data Encrypted for Impact (T1486) en los casos con ransomware. Las fuentes no publican CVE ni indicadores más allá de los patrones de nombres y dominios.

Impacto para las empresas europeas e italianas

Cualquier organización con Microsoft 365 y la federación de Teams abierta está expuesta, sea cual sea su sector. La rapidez deja poco margen a la detección: la defensa tiene que estar sobre todo en la configuración y en los procedimientos.

Para las entidades sujetas a NIS2 (en Italia, el Decreto Legislativo 138/2024), la formación del personal, el control de accesos y la gestión de incidentes son medidas obligatorias, y un ransomware que interrumpe los servicios puede ser un incidente significativo que se debe notificar al CSIRT Italia. La lista de cuentas de Active Directory, con nombres y descripciones, contiene datos personales: su robo debe evaluarse como violación de datos según el RGPD.

Qué hacer ya

1. Limita el acceso externo de Teams: si no necesitas abrirlo a todos, permite los chats externos solo con los dominios de tus socios (lista de permitidos).
2. Bloquea las cuentas de Teams no administradas y los tenants de prueba en la configuración del acceso externo.
3. Reduce las herramientas de acceso remoto: Quick Assist, AnyDesk, ScreenConnect y similares solo para el personal de TI autorizado, con control de aplicaciones en los demás equipos.
4. Explica con claridad cómo contacta TI: el soporte real no escribe desde tenants externos ni pide instalar software de acceso remoto. Cada petición se verifica por un canal interno conocido.
5. Relaciona las señales: un pico de correos de suscripción seguido de un chat externo en Teams, el inicio de Quick Assist o de nuevo software de acceso remoto, PowerShell con scripts encadenados, intérpretes de Python en carpetas de usuario y consultas masivas a Active Directory.
6. Prepara la respuesta: quien recibe un contacto sospechoso debe saber a quién avisar enseguida, y el equipo debe aislarse antes de investigar.

Cómo ayuda ARXDOME

En los equipos y servidores con el agente de ARXDOME, ARX Sentry recopila el inventario de software, procesos y puertos: un AnyDesk o un ScreenConnect que aparece sin autorización se ve. Las páginas del SOC muestran eventos, accesos y escritorio remoto, con las tácticas de MITRE ATT&CK por equipo. Si un equipo es sospechoso, ARX Shield lo aísla de la red con un clic y lo libera solo cuando es seguro hacerlo.

Última actualización: 27 de octubre de 2026