Microsoft ha sufrido una importante brecha de seguridad, que tiene también graves connotaciones políticas. Durante semanas o meses, hackers rusos gubernamentales han estado interceptando los correos profesionales de altos ejecutivos de la compañía.

Un hackeo de Microsoft siempre es grave, pero esta vez hay que incidir en la forma en que se ha producido, ya que los hackers rusos no han usado ninguna técnica sofisticada (aunque sí muy inteligente) para acceder a los correos.

El grupo hacker ha sido bautizado con los nombres de Nobelium o Midnight Blizzard, y se sabe que trabajan para el gobierno ruso, que los protege. Han llevado a cabo con éxito varios ataques a agencias gubernamentales estadounidenses, y programas como SolarWings.

Así fue hackeada Microsoft por los hackers rusos

La compañía de Satya Nadella ha explicado en su blog cómo los hackers accedieron al correo de sus directivos. Y no se ha dejado los detalles más bochornosos...

Midnight Blizzard utilizó ataques de fuerza bruta contra contraseñas que lograron comprometer una cuenta secundaria de prueba, que no tenía activada la autenticación multifactor (MFA). El ataque se produjo con pocos intentos, y oculto tras un proxy que usa diferentes direcciones IP, para evitar ser detectado.

En palabras sencillas, los hackers probaron contraseñas muy conocidas sobre cuentas de segundo rango de la compañía, hasta que una de ellas funcionó. Esa cuenta, además, no tenía doble autentificación, es decir, no requería enviar un código al móvil para poder entrar, ni un acceso con biometría. Así que los hackers rusos se hicieron con su control.

Hackers consiguen espiar usando el sensor de luz del móvil

Con esta cuenta, atacaron aplicaciones OAuth y crearon otras similares, infectadas, para tener acceso a cuentas de mayor nivel. OAuth es un estándar abierto que se usa para identificarse sin necesidad de usar contraseñas. Por ejemplo, cuando accedes a un servicio o web usando tu cuenta de Gmail o Facebook, y dicho servicio te identifica sin saber tus contraseñas.

Con estas aplicaciones OAuth maliciosas, crearon nuevas cuentas para acceder a Office 365 Exchange Online, y ya dentro, tuvieron acceso al contenido de las cuentas de correo de los altos ejecutivos.

Microsoft no ha comunicado quienes han sido las personas espiadas. Lo único que ha revelado es que se trata de "un porcentaje muy pequeño de cuentas de correo electrónico corporativas de Microsoft, incluidos miembros de nuestro equipo directivo y empleados de nuestras funciones de ciberseguridad, jurídicas y de otro tipo".

Cómo ver todas tus contraseñas guardadas en Google Chrome y protegerlas de los hackers

Puesto que el ataque se inició en noviembre y se detectó el 12 de enero, el espionaje ha durado al menos dos meses. HP también ha revelado que sus cuentas de email sufrieron otro ataque por los mismos hackers.

Son ya varios los hackeos de carácter gubernamental que Microsoft ha sufrido en los últimos años, tanto por hackers rusos como chinos. El de esta semana es preocupante, por la forma en que se ha producido. La moraleja es sencilla: activa la doble autentificación en todas tus cuentas importantes. El código al móvil es molesto, pero sumamente eficaz.