Durante años, la seguridad corporativa se apoyó en una idea sencilla: con el equipo protegido y un segundo factor de autenticación, el acceso estaba asegurado. Una campaña activa de robo de datos y extorsión, documentada el 7 de setiembre de 2026 por el equipo de investigación de Arctic Wolf y difundida por el portal especializado The Hacker News, demuestra que esa idea se quedó corta. Según ese análisis, aquí no se instala malware, no hay movimiento lateral por la red y el segundo factor no se rompe. Se aprueba. El usuario lo aprueba porque cree que está hablando con el soporte técnico de su propia empresa.
Los investigadores señalan además coincidencias de método con un grupo de extorsión documentado antes por Mandiant, la unidad de inteligencia de amenazas de Google, y advierten que detrás de estas etiquetas no hay un actor único, sino afiliados que comparten la misma infraestructura de phishing.
Una llamada telefónica reemplaza al correo malicioso
El punto de entrada no es un archivo adjunto. Es una llamada. El atacante se presenta como personal interno de TI y, con el pretexto de un mantenimiento o del registro de un nuevo método de autenticación, lleva al usuario a una web que parece de su propia organización.
Los dominios están construidos para no levantar sospechas: siguen el patrón nombre de la organización seguido del dominio señuelo, y esos dominios usan palabras asociadas al trámite que dicen ejecutar, como el registro de autenticación multifactor o la configuración de llaves de acceso. Un usuario que acaba de recibir una llamada anunciando exactamente ese trámite tiene pocas razones para dudar. De acuerdo con el reporte, el análisis de esa infraestructura reveló cientos de subdominios que imitan a empresas reales, señal de una operación construida a escala.
La técnica tiene nombre propio: vishing, la variante telefónica del phishing. Funciona porque ataca el único punto que ninguna herramienta filtra automáticamente, la conversación entre dos personas. Es la misma lógica que sostiene a los ataques de phishing dirigidos a empresas peruanas, trasladada del correo al teléfono.
Cómo se roba una sesión que ya fue autenticada correctamente
En el sitio falso se activa un flujo de inicio de sesión intermediado. Ese sitio no guarda simplemente la contraseña: actúa como puente en tiempo real con el servicio legítimo. El usuario escribe sus credenciales, el sistema real le pide la verificación en su teléfono y él la aprueba, porque desde su perspectiva todo transcurre con normalidad.
Lo que el atacante captura no es solo la contraseña. Es el token de sesión, la credencial temporal que el servicio entrega tras validar la identidad y que permite seguir operando sin volver a autenticarse. Con ese token, el intruso entra sin necesitar contraseña ni segundo factor, porque para la plataforma esa sesión ya fue verificada. Es el mismo principio que explica el robo de cookies de sesión, solo que aquí la credencial se obtiene en vivo durante el propio inicio de sesión.
El cambio de fondo es ese: la autenticación multifactor confirma quién inicia la sesión, pero no verifica que esa sesión siga en manos de la misma persona un minuto después. Reforzar la capa de identidad, con controles como la autenticación del dominio corporativo, es hoy tan importante como proteger el equipo.
Los accesos parecen legítimos incluso al revisar los registros
La segunda parte del ataque está diseñada para vencer la detección. Las sesiones robadas se reutilizan desde proxies residenciales, con direcciones IP que resuelven a la misma ubicación y al mismo proveedor que la víctima.
El efecto práctico es incómodo: un administrador ve un ingreso desde la ciudad correcta, con un proveedor doméstico normal y una sesión ya validada. Las señales tempranas son sutiles, como consultas a las páginas de perfil, aplicaciones disponibles y métodos de inicio de sesión del usuario, con las que el atacante reconoce qué tiene delante.
Después viene el reconocimiento sobre los repositorios documentales y el directorio de identidades, con búsquedas masivas y paginadas. Al final, la extracción a gran escala desde SharePoint, OneDrive y Exchange, seguida de la demanda de extorsión.
El objetivo son los directivos, no el personal operativo
La campaña apunta a directores, vicepresidentes y personal de alta dirección. La lógica es evidente: concentran acceso a información contractual, financiera y legal, y suelen tener permisos amplios sobre repositorios acumulados durante años. También son los usuarios con menos tiempo para verificaciones y a los que con más frecuencia se les resuelve un problema técnico "por excepción". Esa combinación de acceso privilegiado y trato preferente es lo que el atacante busca.
Según el relevamiento de los investigadores, los sectores más golpeados hasta ahora son construcción e ingeniería, salud, inmobiliario, finanzas y servicios profesionales, con víctimas concentradas en Estados Unidos.
Por qué el antivirus no interviene en ningún momento
Conviene decirlo con claridad, porque cambia la forma de plantear la defensa: en este ataque no hay malware que detectar. No se ejecuta código malicioso ni se compromete el equipo. Todo ocurre dentro de sesiones autenticadas de servicios en la nube.
Eso no vuelve prescindible la protección de endpoints, que sigue siendo la base frente a otras familias de amenazas, pero sí demuestra que ya no alcanza por sí sola. La superficie de ataque se desplazó hacia la identidad y hacia los datos alojados en la nube, y ahí la defensa se construye con controles distintos: acceso condicional, autenticación resistente a phishing, límites reales al alcance documental de cada usuario y una copia independiente de la información, como el respaldo de los buzones y repositorios de Microsoft 365, que permite recuperar y auditar lo que fue tocado.
Lo que esto implica para las organizaciones en el Perú
Buena parte de las entidades públicas y empresas medianas del país migró su correo y sus repositorios documentales a plataformas de colaboración en la nube. Esa migración resolvió problemas de disponibilidad y costo, pero no siempre vino con una revisión de la configuración de seguridad: es frecuente encontrar entornos sin acceso condicional, sin segmentación de permisos y con la autenticación multifactor activada como si fuera la última barrera necesaria.
El componente regulatorio agrava el cuadro. Cuando lo extraído son expedientes, historiales o padrones con datos personales de ciudadanos, el incidente deja de ser solo un problema técnico. La Ley 29733, de Protección de Datos Personales, obliga a adoptar medidas de seguridad sobre los bancos de datos, y su marco sancionador contempla infracciones muy graves de 50 a 100 UIT cuando se tratan datos sensibles sin las condiciones exigidas. Fiscaliza la Autoridad Nacional de Protección de Datos Personales.
La mesa de ayuda es un control de seguridad, no solo un servicio
La conclusión operativa es que el procedimiento de verificación de identidad del soporte técnico dejó de ser un asunto administrativo. Si un atacante puede hacerse pasar por soporte, o convencer al soporte de restablecer un método de autenticación, ninguna inversión en tecnología compensa esa brecha.
Las medidas son acotadas y realistas: aplicar políticas de acceso condicional, desplegar autenticación resistente a phishing en lugar de aprobaciones simples, reducir el alcance de la información accesible por defecto, exigir un protocolo de verificación para toda solicitud telefónica sobre credenciales y capacitar tanto a los usuarios como al personal de soporte. Ordenar esa operación bajo procesos documentados es justamente lo que resuelve un modelo de gestión de TI con trazabilidad de cada solicitud.
Conclusión
Este ataque no derrota a la tecnología, la rodea. No rompe el segundo factor: consigue que alguien lo apruebe. No entra por una vulnerabilidad del producto: entra por una llamada telefónica que nadie verificó. Y como todo ocurre dentro de sesiones legítimas y desde direcciones que parecen normales, puede avanzar durante días sin activar una sola alerta.
Por eso la pregunta útil no es qué herramienta falta comprar, sino qué pasa hoy en su organización cuando alguien llama diciendo que es de soporte y pide aprobar una verificación. Revisar los descuidos más frecuentes en organizaciones similares ayuda a ubicar ese punto ciego antes de que lo encuentre otro.
