“Hola, soy tu nuevo CEO”: cómo los hackers clonan ejecutivos a través de Microsoft Bookings

Microsoft Bookings, una de las funciones populares en Microsoft 365, puede representar una amenaza de seguridad para las empresas, ya que permite a los usuarios crear cuentas en Entra sin necesidad de derechos administrativos. Según datos de la empresa Cyberis, esto abre oportunidades para que los atacantes creen cuentas falsas disfrazadas como empleados legítimos y las utilicen para ataques de phishing internos o manipulaciones con socios externos.

Si un atacante obtiene acceso a la cuenta de un empleado en Microsoft 365, puede utilizar la función de creación de páginas de reservas compartidas para hacerse pasar por personas influyentes dentro de la empresa, como el director general o el gerente financiero. De este modo, el atacante puede engañar a los empleados y organizar transferencias de dinero.

Una de las características de Bookings es la capacidad de crear direcciones de correo electrónico "especiales" dentro del dominio, como «admin@» o «hostmaster@». Esto permite a los atacantes realizar ataques sociales avanzados, por ejemplo, para tomar el control de la infraestructura. Esta técnica complica significativamente la detección y puede eludir los sistemas de protección contra la suplantación de identidad integrados en Microsoft.

Además, al crear una página de reservas, un atacante puede crear una cuenta que coincida con el correo electrónico de un antiguo empleado. Esto proporciona la posibilidad de interceptar mensajes entrantes a esa dirección e incluso restablecer contraseñas para servicios externos.

Cabe destacar que dichos buzones de correo no requieren licencias de Microsoft 365 y pueden estar activos sin costos para la empresa. Estas cuentas ocultas solo pueden ser detectadas mediante PowerShell y permanecen invisibles en el centro de administración de Exchange.

Para minimizar los riesgos, los especialistas en seguridad recomiendan deshabilitar la posibilidad de crear páginas de reservas compartidas para usuarios comunes, así como realizar una auditoría de los buzones ocultos existentes. Es importante revisar regularmente los derechos de acceso y monitorear la actividad en la creación de nuevas cuentas en Entra.

Estas acciones ayudarán a reducir la vulnerabilidad de las empresas ante este tipo de ataques y a reforzar la protección de la información confidencial, especialmente contra ataques de phishing y fraudes.