Este mes un hacker aseguró haber robado unos 3.6 millones de registros de empleados conectados a cuentas de Microsoft Azure en algunas de las empresas más grandes del mundo: McDonald’s, Vodafone, Tata, InterContinental Hotels y otras. Es un titular que asusta, y esconde un detalle que importa mucho más que el número: el atacante nunca entró a Microsoft. Usó accesos robados.
Según los investigadores que revisaron los datos, los registros se sacaron de inquilinos (tenants) de Azure y Microsoft Entra usando usuarios y contraseñas válidos, obtenidos con "password spray" y "fatiga de MFA", dos ataques que funcionan igual de bien contra una oficina de doce personas en Austin que contra una marca global. La nube nunca fue el punto débil. Lo fueron las cuentas. Esa es toda la lección, y es una que cualquier negocio pequeño puede atender esta misma semana.
Qué pasó en realidad
Un actor de amenazas que se hace llamar "TheHatman" publicó bases de datos que asegura haber tomado de los tenants de nube de grandes empresas. Los registros robados incluirían nombres, números de empleado, correos, puestos, teléfonos, direcciones postales y datos de cuentas de servicio: justo el tipo de información de directorio que después alimenta phishing y suplantaciones muy convincentes. Un par de las empresas nombradas lo negaron, calificando los datos de viejos y no sensibles, y el método exacto no está del todo confirmado. Pero las firmas de inteligencia que los examinaron coinciden en que los datos parecen reales.
Lo que nadie discute es la puerta de entrada. Esto no fue una falla de Azure. Fueron cuentas comunes en las que inició sesión alguien que no debía tenerlas: la forma más común en que de verdad ocurren las brechas, y la que la mayoría de los dueños supone que "la nube" ya resuelve por ellos.
La nube estuvo bien. Los accesos no.
Vale la pena decirlo claro, porque cambia lo que deberías preocuparte: la plataforma de Microsoft hizo su trabajo. Azure no fue hackeado. Los atacantes iniciaron sesión con credenciales que pertenecían a empleados reales, y para el sistema una contraseña correcta de una cuenta válida se ve exactamente igual que la persona real llegando a trabajar.
Esta es la realidad de cada herramienta de nube sobre la que corre tu negocio: Microsoft 365, tu contabilidad, tu correo, tu almacenamiento de archivos. El proveedor asegura el edificio. Tú eres responsable de quién tiene las llaves. Cuando alguien dice "nos pasamos a la nube, así que la seguridad ya está cubierta", esta brecha es la corrección: la nube movió la cerradura, no decidió quién recibe una llave.
Password spray y fatiga de MFA, en palabras sencillas
Los dos ataques nombrados en esta brecha son tan simples que cualquier dueño puede entender exactamente de qué defenderse.
- Password spray. En vez de adivinar una cuenta mil veces (lo que la bloquea), el atacante prueba una contraseña muy común —piensa en "Verano2026!"— en cientos o miles de cuentas de empleados a la vez. En cualquier empresa de cierto tamaño, alguien la está usando. No rompen una contraseña fuerte; apuestan a que haya una débil entre muchas.
- Fatiga de MFA (también llamada bombardeo de MFA). MFA es la autenticación de múltiples factores: el segundo paso, normalmente un aviso en tu teléfono, que debería impedir que una contraseña robada baste por sí sola. En un ataque de fatiga de MFA, el criminal ya tiene la contraseña y simplemente dispara ese aviso de "¿Aprobar inicio de sesión?" una y otra vez, a las 2 de la mañana, en una tarde ocupada, decenas de veces, hasta que un empleado cansado o harto toca Aprobar solo para que pare. Ese toque entrega la cuenta.
Ninguno de los dos es sofisticado. Ambos se detienen con un puñado de ajustes concretos, y ambos le pasan por encima a un negocio que activó MFA hace años y supuso que el trabajo estaba terminado.
Por qué esto importa para un negocio de tu tamaño
Es tentador leer "McDonald’s y Vodafone" y decidir que esto es un problema de empresas grandes. Es exactamente al revés. Las marcas globales tienen equipos de seguridad vigilando los inicios de sesión las 24 horas. Una firma de 20 personas en Austin normalmente no, lo que hace que la misma contraseña débil o la misma aprobación a las 2 de la mañana tengan mucho más éxito y mucho menos probabilidad de ser notadas.
Y el premio no siempre es dinero directo. Los datos de directorio —nombres, puestos, correos y teléfonos de tu personal— son la materia prima del siguiente ataque: un correo convincente a tu contadora que parece venir de ti, una llamada a un empleado nuevo que sabe el nombre de su jefe. Un solo acceso comprometido dentro de un negocio pequeño suele abrir la puerta a todos en quienes el negocio confía.
Qué detiene esto de verdad
La buena noticia es que las defensas aquí están bien entendidas, y ninguna requiere presupuesto de empresa grande. Requieren que alguien las configure bien y siga vigilando.
- MFA resistente a phishing y coincidencia de números. Cambia el simple "toca para aprobar" por coincidencia de números (la app te obliga a teclear un código que aparece en pantalla) o por una llave de seguridad física. No puedes aprobar por fatiga un código que tienes que leer y escribir a propósito.
- Reglas de acceso condicional. Bloquea o cuestiona los inicios de sesión que no encajan: un acceso desde otro país, un dispositivo no administrado, un salto de "viaje imposible". La mayoría de los negocios pequeños nunca inician sesión fuera de Texas; el sistema puede hacerlo cumplir.
- Elimina las contraseñas débiles y reutilizadas. Prohíbe las comunes, exige longitud sobre complejidad y dale al equipo un gestor de contraseñas para que "una contraseña débil en toda la empresa" deje de ser posible.
- Vigila los inicios de sesión. El password spray y los avisos repetidos de MFA dejan un rastro obvio, pero solo si alguien, o algo, está de verdad viendo las alertas. Esta es la pieza que un negocio pequeño casi nunca tiene, y la que convierte un intento detectado en una brecha evitada.
Cada una de estas vive dentro de las herramientas de Microsoft 365 y Entra que la mayoría de los negocios de Austin ya paga. Normalmente solo están apagadas, o dejadas en el valor débil por defecto. Encenderlas bien es la diferencia entre que este titular sea problema de otro o sea el tuyo.
Puntos clave
- La "brecha" de Azure no fue un hackeo de nube: fueron accesos de empleados robados y reutilizados. El proveedor asegura la plataforma; tú eres responsable de las cuentas.
- El password spray y la fatiga de MFA vencen a cualquier negocio que activó MFA una vez y nunca la endureció. La coincidencia de números y el acceso condicional cierran ambos.
- Un negocio pequeño de Austin es un blanco más suave que una marca global, no más seguro, porque normalmente nadie vigila los inicios de sesión. Ese monitoreo es la solución.
¿No sabes si podrían iniciar sesión en tus cuentas de Microsoft 365 de la misma forma? Jorge y el equipo endurecen la identidad, el MFA y el monitoreo de inicios de sesión para negocios de Austin, para que una contraseña robada no sea una empresa robada. Explora nuestros servicios de Ciberseguridad y MDR o agenda una consulta gratis.
