El sector energético vuelve a situarse en el centro de una campaña de ciberataques cada vez más sofisticada. Microsoft ha detectado un incremento notable de ataques adversary‑in‑the‑middle (AitM), una técnica que combina phishing avanzado, secuestro de sesiones y manipulación de identidades para infiltrarse en organizaciones críticas que afectan a su ciberseguridad.
La amenaza no es teórica: los delincuentes están utilizando plataformas legítimas como SharePoint y OneDrive para distribuir enlaces maliciosos disfrazados de documentos corporativos.
La advertencia es clara: los cibercriminales están elevando su nivel de sofisticación y aprovechando la confianza que las empresas depositan en sus herramientas de colaboración. Para un sector tan sensible como el energético, donde la continuidad operativa es esencial, el impacto potencial es enorme.
Una campaña AitM diseñada para parecer legítima
Según Microsoft, los atacantes están enviando correos desde cuentas previamente comprometidas, lo que les permite superar la primera barrera de desconfianza. El mensaje suele incluir asuntos como “NEW PROPOSAL – NDA”, diseñados para generar urgencia y credibilidad. Al hacer clic, la víctima es redirigida a una página de inicio de sesión falsa que captura sus credenciales y, en muchos casos, sus cookies de sesión.
Una vez dentro, los atacantes modifican reglas de la bandeja de entrada para ocultar su actividad. Esto les permite operar durante días sin levantar sospechas, enviando nuevos correos desde la identidad comprometida y ampliando el alcance del ataque tanto dentro como fuera de la organización.
Por qué el sector energético es un objetivo prioritario
La campaña no es aleatoria. El sector energético es especialmente atractivo para los atacantes por varios motivos:
- Su alta dependencia de plataformas colaborativas, que amplían la superficie de ataque.
- Su papel como infraestructura crítica, con impacto directo en la estabilidad de un país.
- El interés de actores estatales y grupos criminales en obtener acceso privilegiado.
- El enorme potencial de daño económico y operativo ante una interrupción.
Esta combinación convierte a las empresas energéticas en objetivos de alto valor, donde un solo compromiso puede desencadenar consecuencias en cadena.
Qué hace especialmente peligrosos a los ataques AitM
Los ataques AitM no son simples campañas de phishing. Su peligrosidad reside en su capacidad para evadir controles avanzados y mantener acceso persistente. Entre los factores más críticos destacan:
- El robo de cookies de sesión, que permite saltarse la autenticación multifactor (MFA).
- La persistencia oculta, gracias a reglas de correo manipuladas que silencian alertas.
- La suplantación interna, que aumenta drásticamente la tasa de éxito del phishing.
- Su escalabilidad, ya que un solo compromiso puede generar cientos de ataques adicionales.
Microsoft recalca que restablecer contraseñas no es suficiente: si las cookies no se revocan, el atacante puede seguir accediendo sin obstáculos.
Recomendaciones de Microsoft para mitigar la amenaza
Para frenar esta campaña, Microsoft ha publicado una serie de medidas prioritarias que todas las organizaciones deberían aplicar:
- Revocar todas las cookies de sesión activas para cortar el acceso inmediato del atacante.
- Revisar y restaurar los métodos de MFA, asegurando que no se hayan añadido dispositivos fraudulentos.
- Eliminar reglas de bandeja de entrada alteradas, que suelen marcar correos como leídos o moverlos a carpetas ocultas.
- Aplicar políticas de acceso condicional basadas en señales como ubicación, riesgo del usuario o estado del dispositivo.
- Mantener la MFA como capa esencial, pese a los intentos de evasión de los atacantes.
Estas medidas no solo frenan la campaña actual, sino que fortalecen la postura de seguridad a largo plazo.
Cómo debe prepararse el sector energético
Más allá de las recomendaciones técnicas, el sector energético necesita adoptar un enfoque integral de ciberseguridad. Las acciones más efectivas incluyen:
- Formación continua en phishing avanzado, para que los empleados detecten señales sutiles incluso en correos aparentemente legítimos.
- Monitorización basada en IA, capaz de identificar comportamientos anómalos en accesos, envíos de correo o actividad en SharePoint.
- Segmentación de redes, que limita el movimiento lateral y reduce el impacto de un compromiso inicial.
- Auditorías periódicas de identidades y permisos, eliminando accesos innecesarios o cuentas inactivas.
- Planes de respuesta a incidentes bien definidos, esenciales para minimizar tiempos de inactividad en un sector donde cada minuto cuenta.
Estas prácticas permiten a las organizaciones no solo reaccionar ante un ataque, sino anticiparse a él. La campaña AitM detectada por Microsoft demuestra que los atacantes están perfeccionando sus técnicas y aprovechando plataformas de confianza para infiltrarse en organizaciones críticas. El sector energético, por su importancia estratégica, debe reforzar sus defensas y adoptar un enfoque proactivo.
La combinación de MFA, políticas de acceso condicional, monitorización avanzada y una cultura de ciberseguridad sólida es esencial para mitigar estos ataques. La amenaza seguirá evolucionando, pero las organizaciones preparadas podrán detectarla antes, responder mejor y minimizar su impacto.