Los atacantes se aprovechan de la interrupción del servicio de Microsoft 365 con señuelos falsos en forma de «mensajes retenidos»

A las pocas horas de producirse la interrupción del servicio de Microsoft 365 el 12 de noviembre de 2026, empezamos a detectar correos electrónicos de phishing que utilizaban dicha interrupción como señuelo. Los mensajes se hacen pasar por avisos de servicio de Microsoft, con nombres para mostrar como «Service Health», «Mail-Restore-Auth» y «Health Status», y asuntos que comienzan por «Outage -», «Restore –» y «Strengthen-Security». Cada uno de ellos incita al destinatario a hacer clic en un botón, y los enlaces pasan por el sistema de seguimiento de clics de SendGrid para ocultar el destino real.

Aspecto de los correos electrónicos

Hemos observado dos plantillas, cada una de ellas ilustrada aquí con un correo electrónico representativo. Ambas utilizan el logotipo de Microsoft y adoptan un tono de aviso de servicio, y ambas apelan a la urgencia.

Tema 1, mensajes retenidos: «mensajes retenidos tras la interrupción del servicio». El correo electrónico que se muestra en la figura 1.0 afirma que el flujo de correo a través de Exchange Online se interrumpió el 12 de noviembre de 2026, cita un ID de incidente (EX1550543) e indica que hay cuatro mensajes retenidos que se eliminarán en un plazo de 24 horas a menos que se liberen. El botón dice «Restaurar mensajes».

Tema 2, problema de seguridad: «Se ha detectado un problema de seguridad». Tal y como se muestra en la figura 2.0, este correo lleva un encabezado DOMAIN Support-Desk, indica que se ha detectado un problema de seguridad en su cuenta y ofrece un botón Tomar medidas.

Características de los correos electrónicos de phishing