Hackers vinculados a Rusia comprometieron routers para robar tokens de Microsoft Office

Un grupo atribuido a la inteligencia militar rusa explotó vulnerabilidades conocidas en routers antiguos para redirigir DNS y capturar tokens de autenticación de Microsoft Office a gran escala, sin necesidad de instalar malware. La campaña afectó a más de 18.000 redes y puso bajo vigilancia a organismos gubernamentales y otros servicios expuestos.

Expertos en ciberseguridad alertaron sobre una operación de espionaje atribuida a actores vinculados a Rusia que aprovechó fallos conocidos en routers de generaciones anteriores para recopilar tokens de autenticación de usuarios de Microsoft Office. Según la investigación, la campaña permitió extraer de forma sigilosa estos tokens en más de 18.000 redes sin desplegar código malicioso en los equipos comprometidos.

Microsoft indicó en una publicación que identificó más de 200 organizaciones y 5.000 dispositivos de consumo afectados por esta infraestructura encubierta, asociada al actor Forest Blizzard. Este grupo, también conocido como APT28 o Fancy Bear, ha sido relacionado con unidades de inteligencia militar dentro de la Dirección Principal de Inteligencia del Estado Mayor ruso, el GRU.

Black Lotus Labs, la división de seguridad del proveedor de backbone de Internet Lumen, detectó que en el punto máximo de actividad, en diciembre de 2025, la red de vigilancia de Forest Blizzard abarcaba más de 18.000 routers. En su mayoría eran dispositivos sin soporte, en fin de vida o con actualizaciones de seguridad muy atrasadas. El reporte de Lumen señala que los atacantes apuntaron principalmente a organismos gubernamentales, incluyendo ministerios de relaciones exteriores, fuerzas de seguridad y proveedores de correo electrónico de terceros.

De acuerdo con Ryan English, ingeniero de Black Lotus Security, los atacantes no necesitaron instalar malware en los routers comprometidos. En cambio, explotaron vulnerabilidades conocidas para modificar la configuración DNS de los dispositivos y redirigirlos hacia servidores controlados por ellos. A partir de ahí, podían propagar esa configuración maliciosa a todos los usuarios de la red local e interceptar los tokens OAuth transmitidos por esas víctimas.

Este enfoque resulta especialmente peligroso porque los tokens suelen enviarse después de que el usuario ya inició sesión y completó la autenticación multifactor. En la práctica, eso permite a los atacantes acceder a las cuentas sin necesidad de robar credenciales y códigos temporales de forma individual.

Microsoft describió la actividad como una técnica de DNS hijacking destinada a habilitar ataques adversary-in-the-middle (AiTM) posteriores al compromiso, contra conexiones TLS en dominios de Outlook en la web. La compañía también remarcó que, aunque el uso de dispositivos SOHO como superficie de ataque no es nuevo, esta es la primera vez que observa a Forest Blizzard aplicar secuestro DNS a escala para sostener ataques AiTM tras explotar dispositivos de borde.

Los investigadores de Black Lotus también advirtieron que el grupo ha demostrado capacidad de adaptación. En agosto de 2025, tras un informe similar del NCSC del Reino Unido, Forest Blizzard cambió rápidamente una estrategia basada en malware para pasar a alteraciones masivas de DNS en routers vulnerables. Ese patrón sugiere una operación flexible, diseñada para mantener la vigilancia incluso cuando la exposición pública obliga a modificar tácticas.

El caso vuelve a poner el foco sobre la seguridad de routers domésticos y de pequeñas oficinas, especialmente aquellos que ya no reciben soporte o permanecen sin parchear. La propia FCC de Estados Unidos anunció recientemente una política más restrictiva para la certificación de routers de consumo fabricados fuera del país, al considerar que los dispositivos mal asegurados representan un riesgo serio para la infraestructura crítica. Aunque la medida no afecta a routers ya comprados, refuerza el debate sobre la dependencia de equipos SOHO en entornos donde la seguridad perimetral sigue siendo un punto débil.

Fuente:
https://krebsonsecurity.com/2026/04/russia-hacked-routers-to-steal-microsoft-office-tokens/

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.