- Campaña de robo de credenciales que se hace pasar por notificaciones de tareas de Microsoft Teams
- Aprovechamiento del servicio de envío de correo electrónico de SendGrid y de los recursos de las plantillas de formación en seguridad de CanIPhish
- Más de 9 000 casos observados entre enero y febrero de 2026
- Organizaciones con sede en EE. UU. de diversos sectores, especialmente en los ámbitos de las finanzas, los servicios profesionales, la industria manufacturera y la sanidad
- Robo de credenciales mediante notificaciones falsas de tareas
Threat intelligence
Campaña de suplantación de identidad para obtener credenciales con temática de Microsoft Teams que se aprovecha de recursos de formación legítimos
Puntos clave
Resumen de la campaña
El equipo de investigación de amenazas de Mimecast ha identificado una campaña de phishing de credenciales que utiliza con fines maliciosos materiales legítimos de formación en concienciación sobre seguridad. Los autores de amenazas han modificado plantillas de simulación de phishing disponibles públicamente en CanIPhish, una plataforma legítima de formación en seguridad, para crear señuelos convincentes con temática de Microsoft Teams dirigidos a usuarios empresariales.
Cadena de ataque
La campaña emplea un enfoque en varias fases diseñado para aprovecharse de la confianza de los usuarios en herramientas de comunicación empresarial que les resultan familiares:
1. Entrega inicial: los correos electrónicos se distribuyen a través de la infraestructura de SendGrid utilizando cuentas pirateadas
2. Engaño de ingeniería social: Los destinatarios reciben lo que parece ser una notificación de Microsoft Teams sobre una tarea asignada para revisar un informe de antigüedad de "" relacionado con las cuentas por pagar o la documentación financiera.
3. Uso indebido de plantillas: Los autores de las amenazas obtuvieron plantillas HTML de los ejemplos de simulación de phishing de CanIPhish, a los que se puede acceder públicamente. Estas plantillas, diseñadas originalmente para la formación en materia de seguridad, se modificaron con el fin de:
- Sustituya las URL de simulación por el dominio malicioso destinado a la recopilación de credenciales
- Personalice los nombres de las empresas y los datos de los destinatarios para las organizaciones a las que se dirija
Las plantillas modificadas conservan las referencias al depósito de AWS S3 de CanIPhish para los recursos gráficos (https://caniphish.s3.ap-southeast-2.amazonaws.com/), lo que refuerza aún más la apariencia de legitimidad.
" 4. Captura de credenciales: Los usuarios que hagan clic en los botones « "» (Abrir en Teams), «" » (Abrir en Teams) o « "» (Abrir en el navegador) son redirigidos a la página que se muestra a continuación, donde deben hacer clic en otro enlace para abrir el archivo.
