Microsoft ha seguido dos intrusiones desde falsos contactos de soporte informático en Teams hasta el abuso de Active Directory Certificate Services, la infraestructura que emite certificados de autenticación en algunas organizaciones Windows. La consecuencia práctica es que recuperar el primer equipo puede dejar otras formas de acceso pendientes de investigar.
El estudio de los casos se publicó el 30 de octubre de 2026, antes de la información original de CNET del 4 de noviembre. Esas fechas corresponden a la divulgación y la cobertura, no al inicio de las intrusiones. Microsoft atribuye la entrada a ingeniería social, no a una vulnerabilidad de Teams.
Un certificado puede sobrevivir al acceso inicial
En ambos casos, se convenció a usuarios para conceder acceso remoto, principalmente mediante Quick Assist. Los atacantes llegaron después a la infraestructura de certificados. Un caso aprovechó una plantilla de certificados demasiado permisiva, una vía conocida como ESC1; el otro utilizó una retransmisión de autenticación conocida como ESC8.
Microsoft señala que una identidad privilegiada excluida de la contención automática siguió siendo utilizable en el primer caso y facilitó después el robo de datos. En el segundo, el cliente aisló el equipo tras recibir alertas y no se observó una progresión posterior. Son resultados distintos, no una prueba de que un producto defensivo detenga siempre la cadena.
El informe advierte de que restablecer una contraseña no revoca un certificado emitido. Los equipos de respuesta también deben evaluar por separado los tickets de autenticación Kerberos existentes. La pregunta para la recuperación es, por tanto, qué identidades y credenciales siguen siendo utilizables, además de comprobar si terminó la sesión remota original.
Proteger el servicio de inscripción es una tarea aparte
La guía de Microsoft contra retransmisiones en AD CS recomienda Extended Protection for Authentication y HTTPS en los servicios de inscripción correspondientes, además de restringir NTLM cuando sea viable. Son controles del servicio de certificados; actualizar un cliente de colaboración no realiza esa configuración.
Los administradores deberían utilizar la guía para revisar sus propios puntos de inscripción y dependencias de autenticación. Cada ajuste debe encajar con el servicio desplegado y validarse antes de extender los cambios. El estudio justifica inspeccionar la exposición, no demuestra que toda organización con Teams tenga la misma configuración de certificados.
Verificar al soporte antes de aprobar el control
La guía de seguridad de Teams de Microsoft indica que se deben verificar los remitentes desconocidos y ofrece a los administradores controles sobre las comunicaciones externas. Un nombre visible familiar no basta para demostrar que se trata de un técnico interno.
Ante una solicitud inesperada, hay que confirmarla mediante un canal interno de soporte establecido antes de conceder control remoto. Si ya se aprobó el acceso, conviene comunicarlo cuanto antes para que la respuesta pueda relacionar la conversación, la actividad del equipo y los registros de identidad. Esa comunicación permite investigar el recorrido completo en lugar de tratar el chat como un mensaje sospechoso aislado.
Fuentes
Artículos Relacionados
Discord prepara un cliente en Rust para sustituir Electron
Una declaración del 4 de noviembre confirma la reescritura. La prueba útil será su comportamiento en llamadas, pantalla compartida y sesiones largas, más allá del lenguaje empleado.
Reddit prueba anuncios relacionados con el contexto de una búsqueda
Una prueba limitada con anunciantes incorpora espacios pagados en los resultados. La relevancia explica por qué aparece un anuncio, pero no acredita una recomendación de la comunidad.
Starlink Mobile elige Qualcomm para desplegar su red 5G terrestre desde 2027
El acuerdo aporta tecnología de radio y banda base para una futura red estadounidense. Define el suministro, pero deja pendientes las condiciones para clientes y la cobertura local.
La Privacy Promise de Ford aclara los controles de datos del coche
La nueva web de Ford explica las opciones del vehículo conectado. Para sus clientes en EE. UU., conviene distinguir entre vender datos de conducción, recopilarlos y gestionarlos.