Phishing con passkeys en Microsoft 365: blinda tu correo

El 11 de septiembre de 2026, BleepingComputer reportó una campaña de phishing disfrazada de aviso de Microsoft: ‘registra tu passkey’. Dos días después, The Hacker News confirmó el objetivo: secuestrar cuentas de Microsoft 365 y descargar lo que haya en SharePoint y OneDrive.

Una passkey es una llave de acceso que vive en tu teléfono o tu computadora y sustituye a la contraseña. Es buena tecnología. El problema es que el correo falso te lleva a aprobar un inicio de sesión que no es tuyo, y ahí ni la MFA ni la passkey te salvan. Si tu empresa usa Microsoft 365, esto va contigo.

Cómo luce el engaño

Un correo que parece de Microsoft Te pide registrar tu passkey antes de que expire tu acceso. El botón abre un inicio de sesión que termina en manos del atacante.

Llega un correo con el logo de Microsoft y un tono de prisa: ‘tu organización ahora exige passkeys, regístrala hoy’. El de contabilidad hace clic, ve una pantalla de inicio de sesión igual a la de siempre y aprueba.

Lo que aprobó fue el acceso de otra persona. Desde ese momento el atacante entra como él, sin necesitar contraseña, y se lleva contratos, nóminas y lo que encuentre en el OneDrive.

En nuestra experiencia, el gancho funciona porque suena a política de la empresa. Nadie quiere ser el que se quedó sin acceso el lunes.

Qué revisar hoy en tu Microsoft 365

Una hora con rol de administrador Inicios de sesión, apps con permiso y reglas de reenvío: los tres escondites de un intruso.

Antes de comprar nada, hay tres lugares donde se esconde un intruso. Cualquiera con rol de administrador los revisa en una hora.

Dónde	Qué buscar	Señal de alarma
Registros de inicio de sesión	País, hora y dispositivo de cada acceso	Entradas desde países donde no tienes gente, o a las 3 de la mañana
Aplicaciones con consentimiento	Apps a las que un usuario les dio permiso para leer correo o archivos	Nombres genéricos que nadie recuerda haber autorizado
Reglas de reenvío	Reglas de Outlook que copian o mueven correos	Reenvíos a cuentas externas o reglas que borran mensajes con ‘factura’

El consentimiento OAuth merece una frase: es el permiso que le das a una app para actuar con tu cuenta sin pedirte contraseña. Un atacante que consigue ese permiso sobrevive aunque cambies la clave.

MFA que sí aguanta el phishing

MFA es el segundo factor: además de la contraseña, algo que tienes. No todos los segundos factores son iguales.

Método	¿Resiste esta campaña?	Por qué
Código por SMS	No	Se intercepta o simplemente se le pide al usuario
Notificación en la app	A medias	El usuario cansado aprueba sin leer
Passkey o llave FIDO2 ligada al dominio real	Sí	Solo funciona en el sitio legítimo de Microsoft

La ironía es que una passkey bien configurada es justo lo que detiene esto: no sirve en un sitio falso. Lo que la vuelve inútil es aprobar el registro de una passkey ajena. Por eso el alta se hace en la oficina o con el técnico, nunca desde un enlace del correo.

Contraseña frente a pantalla de un ataque — La contraseña ya no es la puerta. La aprobación descuidada, sí. Fotos: Santeri Viinamäki · CC BY-SA 4.0 · Wikimedia Commons / Pexels

Acceso condicional y tenant endurecido

Reglas que deciden quién entra y desde dónde El acceso condicional bloquea inicios de sesión desde países, equipos o apps que no reconoces.

Tu tenant es tu espacio de Microsoft 365, la cuenta de empresa donde viven usuarios y buzones. El acceso condicional es un conjunto de reglas que dicen desde dónde, con qué equipo y con qué método se puede entrar.

Con eso puedes exigir MFA resistente a phishing a los administradores, bloquear países donde no operas y pedir que el registro de métodos de seguridad solo se haga desde la red de la oficina.

Ojo con las licencias: varias de estas funciones dependen del plan que tengas. Esta guía de auditoría de licencias de Microsoft 365 ayuda a ver qué tienes contratado y qué pagas sin usar. En ProcessBi hacemos esa auditoría como parte del licenciamiento.

Es otro vector, distinto al de los falsos técnicos

Hace poco escribimos sobre falsos técnicos que piden acceso remoto por Teams. Aquel engaño necesita hablar contigo. Este no: basta un correo y un clic.

Y si el atacante entra, lo primero que busca son los respaldos. Vale la pena repasar cómo hacer respaldos que sí restauren.

Equipo de ProcessBi revisando un tenant de Microsoft 365 — Cuéntanos cómo usan Microsoft 365 y te decimos qué cerrar primero Foto: Pexels

¿Y en tu empresa?

Si nadie ha revisado los inicios de sesión y las apps con permiso desde que abrieron la cuenta, ese es el punto de partida.

En ProcessBi el licenciamiento, el endurecimiento del tenant y la respuesta a incidentes van dentro de la póliza, con SLA por escrito y factura CFDI deducible.

Pide tu diagnóstico sin costo — respondemos el mismo día hábil.

Phishing con passkeys roba cuentas de Microsoft 365: cómo blindar el correo de tu empresa en 2026