El 30 de octubre de 2026 el equipo de investigación de seguridad de Microsoft publicó el análisis de dos intrusiones operadas por personas. Ninguna aprovechó una falla de Microsoft Teams: ambas dependieron de convencer a un empleado y de una configuración débil que muchas empresas tienen sin saberlo.
Cómo empezó
- El atacante envió mensajes y llamó por Teams haciéndose pasar por la mesa de ayuda de TI, con cuentas y nombres que parecían de la propia empresa.
- Pidió al usuario abrir Asistencia rápida (Quick Assist) y dictarle el código de conexión. Con eso tomó el control del equipo.
- Desde ese equipo revisó la red y los Servicios de certificados de Active Directory (AD CS) en busca de configuraciones débiles.
Los dos casos
- Caso 1: una plantilla de certificados permitía pedir un certificado a nombre de otra persona. El atacante obtuvo certificados de 3 cuentas privilegiadas; unos 90 minutos después lanzó una segunda ola de mensajes contra 16 usuarios y consiguió 8 certificados más. Segundos después de tener uno de ellos se conectó a un controlador de dominio y extrajo credenciales. Una cuenta privilegiada que estaba excluida de la respuesta automática se usó para copiar archivos de un servidor hacia el exterior. Las defensas bloquearon más de 1,000 intentos posteriores de acceso a archivos.
- Caso 2: el atacante obligó a un controlador de dominio a autenticarse contra su equipo y reenvió esa autenticación al portal web de inscripción de certificados. Así obtuvo un certificado del propio controlador de dominio sin conocer su contraseña. El cliente aisló el equipo afectado y el ataque no avanzó.
Qué significa para su empresa
Muchas empresas instalaron AD CS hace años para wifi, VPN o correo, y nadie ha vuelto a revisar sus plantillas. Un certificado emitido por error vale tanto como la contraseña de un administrador, y revocarlo no cancela de inmediato los accesos que ya se otorgaron con él. Además, todo empezó con una llamada convincente: la capacitación del personal es parte de la defensa del directorio.
Qué hacer
- Establezca una regla clara: TI nunca pide abrir Asistencia rápida en una llamada no solicitada. Toda solicitud de soporte se confirma por un canal interno conocido.
- Limite en Teams qué organizaciones externas pueden escribir o llamar a su personal, y permita solo las herramientas de acceso remoto aprobadas.
- Revise las plantillas de certificados y retire los permisos de inscripción que sobran. Si no usa la inscripción web de AD CS, desactívela; si la usa, exija HTTPS y protección extendida para la autenticación (guía KB5005413 de Microsoft).
- Active la auditoría de la entidad certificadora para saber qué certificados se emiten y a quién.