La campaña de TeamFiltration compromete siete cuentas de Microsoft 365 que utilizaban contraseñas predeterminadas.

Investigadores de ciberseguridad han revelado detalles de una campaña activa de TeamFiltration, con nombre en clave UNK_CondorFiltration, que ha afectado a más de 5700 cuentas en 28 clientes de Microsoft 365.

Según Proofpoint, la actividad se ha centrado principalmente en instituciones financieras y minoristas chilenas. Se originó a partir de 1487 direcciones IP únicas de AWS EC2.

"La campaña comprometió 7 cuentas, todas ellas cuentas funcionales o de servicio no administradas, en lugar de cuentas de empleados individuales, lo que pone de manifiesto una brecha crítica de seguridad relacionada con identidades olvidadas y no humanas que utilizan contraseñas predeterminadas o sin rotar y carecen de autenticación multifactor (MFA)", declaró la empresa de seguridad empresarial en un comunicado.

Se dice que la campaña de fuerza bruta contra Microsoft 365 se desarrolló en tres fases distintas desde finales de julio hasta agosto de 2026. Un minorista chileno, cuyo nombre no se ha revelado, fue el principal objetivo, concentrándose el 78,3 % de todos los ataques de autenticación observados.

Del 21 al 24 de julio, se atacaron aproximadamente entre 100 y 120 cuentas únicas por día, dirigidas a dos importantes instituciones bancarias chilenas.

Del 26 al 28 de julio, se atacaron un máximo de unas 1520 cuentas el 27 de julio, antes de una caída drástica, y se dirigieron a otra importante institución financiera chilena.

Del 13 al 16 de agosto, se atacaron un máximo de unas 1560 cuentas el 15 de agosto, dirigidas a un importante minorista chileno, lo que resultó en la vulneración de siete cuentas.

La evidencia indica que el atacante probablemente utilizó contraseñas predeterminadas en las cuentas, incluidas credenciales proporcionadas por los equipos de TI que nunca se habían cambiado. La actividad se centró principalmente en cuentas de servicio inactivas, en lugar de cuentas personales de empleados, ya que los usuarios tienen la obligación de cambiar sus contraseñas periódicamente.