Vishing: el falso soporte que pide tu SMS
🛡️
Análisis de ITCM Solutions con contexto de Sophos (Sophos X-Ops). El análisis y las recomendaciones son de ITCM Solutions.
Suena el teléfono: «Hola, te llamo de soporte informático, vamos a restablecer tu cuenta. Te acaba de llegar un código por SMS, ¿me lo lees?». Con esa simple llamada, un atacante se quedó con la cuenta de Microsoft 365 de un empleado. Sin virus, sin enlaces raros. Solo ingeniería social por teléfono, lo que se conoce como vishing.
Qué está pasando
El equipo de respuesta a incidentes de Sophos ha documentado el caso paso a paso:
- Varios empleados recibieron llamadas sospechosas de un supuesto servicio técnico. La empresa envió un aviso interno, pero uno de ellos ya había caído.
- El atacante lanzó el restablecimiento de contraseña de la víctima y le pidió por teléfono el código de verificación por SMS. Con él, cambió la contraseña.
- En minutos registró un equipo nuevo a nombre del usuario y, desde ahí, entró en el correo, SharePoint, Teams y otras aplicaciones conectadas sin volver a pasar el doble factor.
- Accedió a más de 100 correos, descargó unos 100.000 ficheros de SharePoint buscando palabras como «contraseña», «contratos» o «VPN», y exportó un listado de unos 2.500 usuarios de otra aplicación de la empresa.
- Y un detalle inquietante: borró el correo de aviso sobre las llamadas falsas para que su víctima no lo viera.
Por qué te afecta (pyme / asociación)
- El SMS como doble factor no basta si alguien consigue que se lo leas en voz alta.
- En una pyme todo el mundo se conoce, y una llamada de «los de informática» no levanta sospechas. En una asociación, con voluntarios y rotación, todavía menos.
- Una sola cuenta abre muchas puertas: correo, documentos compartidos y cualquier aplicación que use el mismo inicio de sesión de Microsoft 365.
Qué hacer
- Regla de oro para todo el equipo: nadie de soporte te pedirá nunca un código por teléfono. Si te lo piden, cuelga y llama tú al número de siempre.
- Sustituye el SMS por métodos resistentes al phishing (passkeys, llaves FIDO2 o Windows Hello for Business), empezando por las cuentas de administración.
- Protege también la recuperación de cuenta, no solo el inicio de sesión: revisa cómo se restablecen las contraseñas en tu Microsoft 365.
- Vigila el registro de equipos nuevos justo después de un cambio de contraseña: es una señal clara de robo de cuenta.
- Si hay sospecha, cierra todas las sesiones del usuario, no solo cambies la contraseña. Los atacantes también entran por las apps de terceros de Microsoft 365.
¿Quieres saber si tu Microsoft 365 aguantaría una llamada así? En ITCM Solutions revisamos tu configuración de accesos y formamos a tu equipo. Hablemos.