Entre febrero y junio de 2026, varios ciberdelincuentes estuvieron usando Microsoft Teams como puerta de entrada a empresas. Lo hacían a través de chats y llamadas con usuarios externos. El truco, según Arctic Wolf Labs, consistía en hacerse pasar por personal interno de soporte técnico y convencer a empleados para que les dieran acceso a sus equipos.
Arctic Wolf Labs revisó más de 400 incidentes con este mismo patrón y deja algo claro: aquí no hay un fallo de seguridad en Microsoft Teams. Lo que hay es ingeniería social, bien planteada y mejor ejecutada. En varios de esos casos, la intrusión terminó con el despliegue de Chaos, una operación de ransomware como servicio relacionada, de acuerdo con distintos informes, con antiguos miembros de BlackSuit y Royal.
El anzuelo, además, suele arrancar fuera de Microsoft Teams. Primero llega un bombardeo de correos: suscripciones, boletines, confirmaciones, una avalancha de mensajes que desordena la bandeja de entrada y mete prisa.
Después aparece en Microsoft Teams un supuesto técnico de soporte que ofrece ayuda para “arreglar” el problema. Y funciona porque el mensaje entra por una herramienta corporativa conocida, de las que la gente ve todos los días.
Ahí está una de las piezas centrales de este abuso. Microsoft Teams permite por defecto chatear y reunirse con usuarios de dominios externos, y Arctic Wolf Labs avisa de que muchas organizaciones en realidad apenas necesitan tener abierto ese acceso a cualquier organización externa.
Los atacantes suelen montar tenants desechables de Microsoft 365 y usar nombres visibles como “Help Desk”, “HelpDesk Manager”, “(Internal)” o incluso el nombre de la empresa a la que quieren entrar. Arctic Wolf Labs explica que, en campañas anteriores, abundaban los dominios onmicrosoft.com que vienen por defecto. Ahora está creciendo el uso de dominios de pago con temática de TI, muchos acabados en .top y otros en .com.
Cuando la víctima responde, el paso que suele venir a continuación es pedirle que abra Quick Assist, la herramienta de asistencia remota integrada en Windows. Para ceder el control basta con compartir un código de seis dígitos.
También han aparecido AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport, LogMeIn y Level. A veces los usan más tarde para conservar persistencia dentro del entorno.
Los investigadores de Arctic Wolf Labs dicen que los delincuentes prefieren tirar de llamadas de voz en Microsoft Teams para ir guiando a la víctima paso a paso, en vez de mandar enlaces por chat. La explicación más probable, siempre según la firma, es bastante simple: así reducen la posibilidad de que los detecten sistemas de análisis como Safe Links y ZAP.
En algunos casos, cuenta Arctic Wolf Labs, la ejecución de código malicioso llegó en menos de 15 minutos. Una vez dentro, se ha visto a los intrusos ejecutar PowerShell para descargar un archivo MSI desde Azure Blob Storage, lanzar scripts que activan un implante en Python, hacer consultas LDAP contra Active Directory y exfiltrar datos a servidores de mando y control.
Zscaler también ha documentado la instalación de la puerta trasera GoGRPC a través de Quick Assist. Después venía el robo de archivos de las carpetas Documentos y Escritorio hacia AWS S3 usando S3Siphon.
Sophos sigue una campaña relacionada bajo el nombre STAC4749 que, según la propia compañía, habría afectado a decenas de organizaciones en Norteamérica, sobre todo en Estados Unidos y Canadá, entre febrero y junio de 2026. Al menos tres intrusiones acabaron con ransomware Chaos y algunas pasaron del primer contacto al cifrado en menos de 17 horas, de acuerdo con Sophos.
La recomendación de Arctic Wolf Labs va por tres frentes muy concretos: limitar el acceso externo en Microsoft Teams a dominios de confianza, vigilar de cerca y con criterios estrictos las herramientas de administración remota, y formar a los empleados para que verifiquen cualquier solicitud de soporte, incluso cuando parezca llegar desde una plataforma corporativa.
