La mayoría de los ataques por correo necesitan que escribas tu contraseña en una página falsa. Este solo necesita que abras un archivo. Una falla que Microsoft corrigió el 10 de noviembre hace que Outlook entregue en silencio tu inicio de sesión de Windows a un servidor que controla el atacante, y Microsoft dice que los atacantes ya la estaban usando antes de que existiera la corrección.
Qué pasó
Cuando un correo o documento hace referencia a una imagen o archivo guardado en otro lugar de internet, Outlook debería detenerse y advertirte antes de ir a buscarlo. Esa advertencia existe por una razón: cuando Windows se conecta a un servidor de archivos, puede demostrar automáticamente quién eres enviando una forma codificada de tu contraseña, llamada hash NTLM.
Microsoft dice que un atacante puede preparar un archivo de mensaje que se salta esa advertencia. La víctima lo recibe, normalmente como adjunto, y lo abre. Outlook se conecta entonces a una ubicación de red elegida por el atacante, y Windows envía el hash NTLMv2 del usuario junto con la conexión. La víctima no ve nada fuera de lo normal.
Según Microsoft, el panel de vista previa no basta para activarla. El usuario tiene que abrir el archivo. Por eso Microsoft la califica solo como "Moderada", y por eso el trabajo de los atacantes es sobre todo convencer: un adjunto que parece una factura, un mensaje de voz o un documento compartido.
Microsoft la corrigió dentro de una actualización de noviembre que atendió más de 1,000 vulnerabilidades, una de las más grandes que ha publicado en un solo mes. Fue la única que Microsoft marcó como ya explotada.
Por qué importa
Un hash NTLM robado no es la contraseña en sí, pero se le parece lo suficiente para ser peligroso de dos maneras. El atacante puede intentar recuperar la contraseña a partir de él sin conexión, probando a enorme velocidad, y las contraseñas cortas o comunes caen rápido. O, en redes que todavía aceptan NTLM, el atacante puede reenviar el inicio de sesión a otro servidor en tiempo real y actuar como el usuario ahí, sin llegar a conocer la contraseña.
De cualquier forma, el resultado es el mismo que el de una página de phishing exitosa: otra persona inicia sesión como tu empleado. La diferencia es que el empleado nunca escribió nada, así que no tiene motivo para reportarlo.
La etiqueta de "Moderada" se queda corta. La calificación de Microsoft describe un solo error de forma aislada. Lo que importa para una empresa es que los atacantes lo encontraron antes que Microsoft y lo han estado usando. Una falla muy parecida de Outlook en 2023, CVE-2023-23397, fue usada por hackers militares rusos contra organizaciones de gobierno y energía en Europa durante casi un año antes de ser descubierta.
¿La verificación en dos pasos todavía te protege?
En parte, y depende de dónde se use el inicio de sesión robado.
Microsoft 365 y otros servicios en la nube: en general, sí. Si el atacante descifra el hash y recupera la contraseña, y esa contraseña también sirve para Microsoft 365, todavía necesita el segundo factor. Con la verificación en dos pasos obligatoria en cada inicio de sesión, la contraseña sola no le sirve de nada. Pero la protección es tan fuerte como la entrada más débil. No ayuda en ninguna vía que todavía acepte solo una contraseña, como una VPN, el escritorio remoto o una aplicación de correo antigua que se conecta sin segundo factor. Y es más débil si el segundo factor es un código por mensaje de texto o una notificación que la gente aprueba sin pensar. Una aplicación de autenticación con coincidencia de números, o una llave de acceso (passkey) o llave de seguridad, es mucho más difícil de burlar.
Tu propia red: muchas veces no. Dentro de la red de una oficina, Windows inicia sesión en carpetas compartidas, impresoras, servidores y muchas aplicaciones internas usando el propio NTLM, y esos inicios de sesión nunca piden un segundo factor. Un atacante que logra reenviar el inicio de sesión robado a uno de esos sistemas, o que descifra la contraseña y llega a un sistema que solo pide contraseña, entra como el usuario sin ninguna verificación en dos pasos. Por eso el hash robado es peligroso incluso en empresas que tienen activada la verificación en dos pasos para el correo.
Cambiar la contraseña lo termina. El hash se deriva de la contraseña. En cuanto el usuario pone una contraseña nueva, el hash capturado, y cualquier cosa descifrada a partir de él, deja de funcionar.
Cómo saber si lo usaron en tu contra
No hay una sola prueba, y Microsoft no ha publicado señales a buscar en este caso. Estos son los lugares que conviene revisar, o pedirle a tu proveedor de TI que revise.
Busca la filtración en sí. El ataque solo funciona si la computadora se conecta hacia afuera, al servidor del atacante. Los registros del firewall que muestran computadoras conectándose a direcciones de internet desconocidas por el puerto 445 (SMB, el uso compartido de archivos de Windows) son una señal fuerte de que se envió un hash. Si el puerto 445 de salida ya estaba bloqueado, esa vía estaba cerrada.
Busca el archivo. Revisa los buzones en busca de archivos de mensaje y documentos de Office adjuntos, enviados por remitentes que nadie reconoce, sobre todo los que alguien abrió. Microsoft dice que la falla se explotó antes del 10 de noviembre, así que revisa varias semanas hacia atrás.
Busca el uso del inicio de sesión robado. En Microsoft 365, revisa los registros de inicio de sesión de cada usuario en busca de accesos desde países o dispositivos inesperados, intentos que pasaron la contraseña pero fallaron en el segundo paso, y nuevos métodos de verificación o reglas de reenvío de correo que el usuario no creó. En un dominio de Windows, los controladores de dominio registran los inicios de sesión NTLM; la señal de alarma es una cuenta que inicia sesión desde una máquina o a una hora que no tiene sentido.
Si algo no cuadra, primero restablece y después investiga. Cambia la contraseña del usuario, cierra todas sus sesiones en Microsoft 365 y elimina cualquier método de verificación o regla de correo que no haya creado. Luego averigua qué tocó la cuenta.
Qué hacer en la práctica
Instala la actualización de Office de noviembre en todas las computadoras con Windows. Para Office LTSC 2024 la versión corregida es la compilación 16.0.17932.21140, y para Office LTSC 2021 es la 16.0.14334.21048. Microsoft 365 Apps se actualiza solo, pero a su propio ritmo, así que abre cualquier aplicación de Office, ve a Archivo → Cuenta → Opciones de actualización → Actualizar ahora y confirma la versión después. Office 2016 y 2019 dejaron de recibir correcciones de seguridad en octubre de 2025 y deberían reemplazarse.
Bloquea en tu firewall el tráfico saliente para compartir archivos. Windows envía estos inicios de sesión por el protocolo SMB, en el puerto TCP 445. Casi ninguna empresa necesita llegar a servidores de archivos en internet abierto, así que bloquear el puerto 445 de salida impide que esta falla, y la próxima parecida, envíe tus hashes hacia afuera.
Haz que el hash robado valga menos. Las contraseñas largas y únicas hacen que un hash capturado sea mucho más difícil de descifrar. En un dominio de Windows, agrega a los administradores y otras cuentas sensibles al grupo Protected Users, que les impide usar NTLM por completo, y pregunta a tu proveedor de TI si se puede restringir NTLM en tu red.
Habla con tu equipo sobre los adjuntos que no esperaban. El ataque depende de que alguien abra un archivo. Un mensaje breve al equipo, pidiendo confirmar con el remitente antes de abrir adjuntos inesperados, incluidos correos adjuntos y archivos de Office, le pone las cosas más difíciles al atacante.
En resumen
Es un ataque silencioso: abres un adjunto y tu inicio de sesión de Windows sale del edificio sin ninguna advertencia. Microsoft ya lo corrigió, los atacantes ya lo están usando y la corrección es una actualización normal de Office. Aplícala esta semana, cierra el puerto 445 de salida si está abierto, y el mismo truco no volverá a funcionar contra ti.
Fuentes
- CVE-2026-124194: Microsoft Outlook Spoofing Vulnerability — Microsoft Security Response Center
- Known Exploited Vulnerabilities Catalog — CISA
- Exploited Outlook Zero-Day Among 1,094 Flaws Patched by Microsoft — SecurityWeek
- Grupo de seguridad Protected Users — Microsoft Learn
- Registros de inicio de sesión en Microsoft Entra ID — Microsoft Learn
