BigBear 2.0 roba sesiones de Microsoft 365 incluso con MFA

Para una pyme argentina o latinoamericana, donde una misma cuenta suele concentrar tareas administrativas y acceso a múltiples sistemas, una cookie robada puede convertirse en una puerta lateral hacia facturación, proveedores o datos de clientes. Esto es una evaluación de riesgo, no evidencia de víctimas específicas en la región.

Las cifras también requieren precisión. CloudSEK encontró 461 organizaciones en el conjunto amplio de objetivos, pero aclaró que 258 tuvieron al menos una intrusión completada con evasión de MFA. La distinción evita confundir intentos o dominios identificados con compromisos confirmados.

MFA sigue siendo necesaria, pero ya no alcanza sola

La respuesta no es retirar el segundo factor, sino fortalecerlo. Los métodos resistentes al phishing, como llaves FIDO2 o credenciales vinculadas al dispositivo, dificultan que un proxy reproduzca una autenticación desde otro equipo. Microsoft explica que Token Protection enlaza criptográficamente determinados tokens al dispositivo que los recibió para reducir ataques de repetición.

Esa protección todavía tiene límites de plataforma y aplicación, especialmente en escenarios web. Por eso debe desplegarse como parte de una estrategia por capas y comenzar con grupos piloto. La meta es que la identidad dependa del dispositivo y del contexto, no únicamente de un código temporal.

Qué deberían hacer las empresas

• Priorizar MFA resistente al phishing para administradores, finanzas y cuentas con acceso sensible. Las passkeys, llaves FIDO2 y políticas basadas en dispositivos administrados reducen el valor de credenciales interceptadas.

• Revisar los registros de inicio de sesión y buscar cambios repentinos de dispositivo, sesiones reutilizadas o accesos incompatibles con la actividad habitual. Revocar sesiones y tokens activos ante cualquier indicio, además de cambiar la contraseña.

• Configurar Acceso Condicional para exigir equipos administrados en recursos críticos y evaluar Token Protection donde esté soportado. Microsoft recomienda probar primero las políticas en modo de informe para evitar interrupciones.

• Entrenar al equipo para verificar el dominio antes de iniciar sesión y desconfiar de enlaces que abren autenticaciones inesperadas. El aprendizaje debe incluir simulaciones breves y canales simples para reportar mensajes sospechosos.

• Preparar un procedimiento de respuesta que contemple restablecer contraseñas, forzar reautenticación, revisar reglas de correo y auditar aplicaciones conectadas. Cambiar la clave sin invalidar la sesión puede ser insuficiente en este tipo de incidente.

El aprendizaje central es operativo: una cuenta puede parecer correctamente autenticada y aun así estar en manos de un tercero. Las empresas que combinan factores resistentes al phishing, dispositivos confiables, monitoreo de sesiones y una respuesta ensayada quedan mejor preparadas para cortar la intrusión antes de que se transforme en fraude o fuga de información.

Microsoft corrigió 973 fallas: dos ya eran explotadas

Microsoft publicó su mayor paquete mensual de seguridad, con 973 vulnerabilidades. Dos ya se explotaban: qué deben priorizar las empresas de la región.