Qué ha pasado
Entre el 14 de julio y el 22 de septiembre de 2026, Huntress siguió una campaña que reutilizaba sesiones de Microsoft 365 robadas en lugar de probar contraseñas. En sus entornos de clientes registró 497 inicios de sesión exitosos en 79 organizaciones y más de 200.000 intentos fallidos. Las fuentes consultadas no identifican al operador ni establecen una atribución firme.
La técnica recibió el nombre de «token spraying» porque aplica a tokens de sesión el patrón del password spraying: muchos tokens robados reutilizados a gran escala. La infraestructura principal salió de varias direcciones del bloque 193.26.115.0/24.
El acceso llegaba después del MFA
En ataques de adversary-in-the-middle, la víctima ve la página real de Microsoft y completa el desafío multifactor a través de un intermediario que conserva el token emitido al terminar el inicio de sesión. Ese token representa una sesión ya autenticada; por eso el atacante puede reutilizarlo sin repetir el MFA.
Huntress también observó phishing de código de dispositivo y engaños durante un inicio de sesión legítimo. En un caso del 21 de julio, la víctima alcanzó el aviso multifactor a las 17:18 UTC, la sesión apareció desde una dirección de la campaña a las 17:30 y, poco después, se usó desde otra. A las 18:08 se activó una nueva aplicación autenticadora en la cuenta.
El intervalo se acortó: Huntress sitúa una diferencia de doce minutos en ese caso de julio y de cuatro minutos en una toma observada el 22 de septiembre.