- Proofpoint detecta UNK_CondorFiltration: 32.825 intentos contra 5.714 cuentas de Microsoft 365 y 28 organizaciones.
- Siete cuentas de servicio sin MFA y con contraseñas sin cambiar fueron comprometidas; seis cayeron en siete minutos.
- TeamFiltration automatizó enumeración, password spraying y persistencia vía OneDrive, con IPs de AWS para ocultarse.
- La revisión de identidades no humanas en Entra ID y Microsoft 365 es clave para evitar accesos silenciosos.
Una campaña de password spraying ha puesto el foco en un punto que muchas organizaciones dejan de lado: las cuentas de servicio dentro de Microsoft 365. Proofpoint ha seguido esta actividad bajo el nombre UNK_CondorFiltration y ha comprobado que los atacantes no necesitaron vulnerar cuentas personales de empleados para conseguir acceso. Su objetivo fueron identidades técnicas que seguían activas, aunque nadie las estuviera vigilando de forma directa.
El caso resulta llamativo por su volumen, pero también por lo que revela sobre la gestión diaria. La falta de MFA, las contraseñas nunca renovadas y la ausencia de un responsable claro convirtieron varias cuentas en una puerta de entrada silenciosa. Aunque la actividad se concentró en Chile, el patrón es perfectamente trasladable a empresas y administraciones de España y Europa que utilicen Entra ID y Microsoft 365.
Una ofensiva automatizada con miles de intentos
Los investigadores registraron 32.825 eventos de autenticación dirigidos contra 5.714 cuentas diferentes. Para repartir los intentos y dificultar su detección, los atacantes usaron 1.487 direcciones IP alojadas en AWS EC2. La campaña afectó a 28 organizaciones, con especial incidencia en entidades financieras y minoristas de Chile.
Un dato ayuda a entender la concentración del ataque: una sola compañía minorista chilena acumuló el 78,3% de toda la actividad observada. Aun así, las cuentas habituales de empleados no cayeron. Los accesos confirmados correspondieron a siete identidades funcionales o de servicio, utilizadas para tareas como gestión de tickets, aprobación de pagos a proveedores, operaciones de puntos de venta y solicitudes internas.
Cuentas olvidadas que siguen abiertas
Proofpoint no encontró inicios de sesión legítimos previos en esas identidades. Todo apunta a que fueron creadas para una función concreta durante un proceso de aprovisionamiento y después quedaron relegadas, pero sin desactivarse. Ese abandono técnico es lo que las convirtió en un objetivo rentable.
La velocidad del compromiso también llama la atención: seis de esas siete cuentas cayeron en apenas siete minutos. Los analistas creen que probablemente compartían una contraseña común generada en el mismo proceso de alta y que nadie llegó a cambiar. Es un patrón frecuente en cuentas técnicas: nacen con una credencial temporal que, con el paso del tiempo, acaba funcionando como permanente.
TeamFiltration, una herramienta reutilizada
Detrás de la operación está TeamFiltration, un framework pensado en origen para pruebas de penetración sobre Microsoft 365 y Entra ID. La herramienta encadena fases de enumeración de cuentas, password spraying, recopilación de información y persistencia mediante OneDrive. No es un malware nuevo, sino un instrumento legítimo que puede reaprovecharse con fines maliciosos.
Antes de probar contraseñas, TeamFiltration puede consultar la API de Microsoft Teams para comprobar si una cuenta existe. Después distribuye los intentos entre distintas direcciones IP de AWS, lo que complica las defensas basadas solo en el origen de la conexión. Ya se había relacionado con UNK_SneakyStrike, una actividad que en diciembre de 2024 atacó más de 80.000 cuentas de Entra ID.
En esta ocasión, la campaña se dividió en tres oleadas entre el 21 de julio y el 16 de agosto. El pico llegó el 15 de agosto, con alrededor de 1.560 cuentas atacadas. Los siete compromisos confirmados se produjeron durante la última fase.
Qué puede ocurrir después de conseguir credenciales
Con unas credenciales válidas, los atacantes pueden llegar a recursos asociados a Microsoft 365. TeamFiltration permite acceder a conversaciones de Teams, correo electrónico, OneDrive, SharePoint y recursos disponibles mediante Microsoft Graph. También puede usar OneDrive como mecanismo de persistencia, navegar por archivos, descargarlos e incluso sustituirlos por copias maliciosas.
En este caso, las cuentas comprometidas establecieron conexiones con Microsoft Teams, Microsoft Office y OneDrive desde infraestructura alojada en AWS. La telemetría de autenticación no demuestra por sí sola que se robaran datos, pero Proofpoint señala que la actividad encaja con las capacidades de exfiltración automatizada de TeamFiltration. Una de las cuentas comprometidas empezó tareas de reconocimiento menos de 90 segundos después del acceso.
También hay ejemplos de hasta dónde pueden llegar los controles adicionales. Tras entrar en una identidad, el atacante cambió su conexión a un nodo VPN alemán con la dirección 149.88.104.19 e intentó autenticarse en el portal VPN corporativo. El intento fracasó por MFA o políticas de Acceso Condicional. Más tarde, la misma identidad accedió a Azure Portal, OfficeHome, SharePoint Online y SharePoint Online Web Client Extensibility. Azure Portal generó una interrupción para solicitar el registro de MFA, una señal de que esa protección no estaba configurada de antemano.
Por qué las identidades no humanas son un riesgo
El incidente muestra un desequilibrio conocido. Mientras los empleados suelen tener políticas de cambio de contraseña y MFA obligatoria, las cuentas de servicio pueden conservar durante años la credencial inicial. Si además tienen nombres predecibles, ningún propietario claramente asignado y quedan excluidas de la autenticación multifactor, se convierten en una vía de entrada difícil de detectar.
Proofpoint recuerda que, una vez obtenidas credenciales válidas, TeamFiltration puede abrir acceso a distintos recursos de Microsoft 365. Unas pocas cuentas olvidadas bastan para poner en riesgo a toda una organización. Estas identidades rara vez aparecen en los paneles habituales de revisión de accesos porque no pertenecen a ningún empleado concreto.
Revisiones recomendadas en entornos Microsoft 365
Si una empresa gestiona cuentas de servicio en Microsoft 365 o Entra ID, conviene revisar cuáles siguen activas sin un dueño identificado. También hay que comprobar cuándo se cambió su contraseña por última vez y si tienen MFA habilitado. Auditar ese inventario y forzar la rotación de credenciales en las identidades no humanas es la medida más directa para evitar que una cuenta abandonada se convierta en la entrada de la próxima campaña.
Para organizaciones en España y Europa, el aviso encaja con cualquier entorno que arrastre cuentas heredadas de proyectos antiguos, integraciones o automatizaciones. No hace falta esperar a un incidente grave para revisar permisos, responsables y métodos de autenticación. La seguridad de Microsoft 365 no depende solo de proteger a las personas: las identidades técnicas también necesitan vigilancia y mantenimiento.
Lo ocurrido deja una idea difícil de discutir: el password spraying sigue funcionando cuando se combina con una gestión descuidada. La campaña no necesitó cuentas de empleados ni un fallo desconocido, sino credenciales antiguas, MFA ausente y cuentas que nadie reclamaba. Revisar el inventario de identidades no humanas, asignar responsables y rotar claves son pasos sencillos que reducen un riesgo real para cualquier organización que dependa de Microsoft 365.
