El atractivo de la nube es indiscutible: flexibilidad, escalabilidad y acceso global. Pero esas mismas virtudes están siendo explotadas por los ciberdelincuentes. En los últimos meses, Microsoft ha detectado una campaña avanzada que usa la elasticidad de Azure para lanzar ataques distribuidos, ocultar rastros y escalar rápidamente dentro de entornos corporativos.
Este fenómeno, bautizado por expertos como Cloud Shadows, demuestra que incluso un solo error de configuración o una credencial comprometida puede desencadenar una serie de ataques masiva.
La nube moderna es un ecosistema en constante cambio: múltiples servicios, contenedores, máquinas virtuales efímeras y permisos que se ajustan dinámicamente. Este dinamismo, aunque potencia la agilidad empresarial, también dificulta la supervisión y abre brechas invisibles.
Microsoft Defender detectó una campaña iniciada en junio de 2025, donde los atacantes aprovecharon esas características para infiltrarse en entornos Azure mal configurados o poco protegidos.
El ataque comenzó con la explotación de cuentas estudiantiles y de pago por uso (Pay-As-You-Go), las más vulnerables por carecer de medidas básicas como contraseñas seguras, autenticación multifactor (MFA) o monitoreo activo.
La técnica empleada no depende de malware sofisticado, sino de abusar de las propias herramientas de Azure.
Una vez que los atacantes obtenían acceso a una cuenta comprometida (por ataques de fuerza bruta o técnicas Adversary-in-the-Middle), creaban nuevos grupos de recursos y máquinas virtuales temporales que funcionaban solo durante unas horas.
Estas máquinas efímeras, al operar dentro del ecosistema legítimo de Azure, pasaban desapercibidas para los sistemas de seguridad tradicionales. Desde allí, los atacantes lanzaban ataques de password spraying (intentos masivos de inicio de sesión) contra miles de cuentas en distintos inquilinos de Azure.
“Su infraestructura era tan volátil que desaparecía antes de dejar rastro”, explican investigadores de Microsoft. “A simple vista, parecía tráfico legítimo”.
Conoce más: Seguridad en la Nube: Mejores Prácticas
Una de las claves del éxito de esta campaña fue su arquitectura multitenant y multi-hop:
Así, cada cuenta comprometida se convertía en un punto de lanzamiento, y cada inquilino de Azure, en un nuevo frente de ataque.
Con acceso asegurado, los atacantes usaban los recursos de Azure para enviar campañas masivas de spam, phishing y estafas financieras.
Utilizaban máquinas virtuales dentro de los entornos comprometidos para enviar millones de correos falsos desde direcciones aparentemente legítimas. En esos mensajes, los usuarios eran redirigidos a sitios fraudulentos (por ejemplo, a través de acortadores como rebrand.ly) que simulaban encuestas o descargas de aplicaciones.
Una de las tácticas más peligrosas fue la distribución de apps Android modificadas, como versiones falsas de WhatsApp (FM WhatsApp o Yo WhatsApp). Estas aplicaciones robaban contactos, archivos y mensajes, haciéndose pasar por legítimas al comunicarse con los servidores reales de WhatsApp.
Incluso se detectaron casos de sextorsión y chantaje digital, donde los atacantes usaban la información robada para amenazar a las víctimas.
Campaña de fraude y robo de contraseñas (Fuente: Microsoft)
Los atacantes no se conformaron con acceder temporalmente. Su objetivo era mantener el control incluso si los administradores detectaban actividad anómala.
Para ello emplearon tres técnicas avanzadas:
El resultado era un ecosistema de ataque altamente automatizado, elástico y resiliente, prácticamente invisible dentro de un entorno legítimo.
También podría interesarte: Nube Pública vs. Nube Privada: Principales Diferencias
En solo unos días, una sola máquina atacante logró:
Todo esto aprovechando infraestructura legítima de Microsoft Azure, lo que dificultó la detección por parte de los equipos de seguridad.
Abuso de cuotas, uso de servicios de aprendizaje automático y puertas traseras de OAuth (Fuente: Microsoft)
Este tipo de ataques son una advertencia clara: los cibercriminales están aprendiendo a moverse dentro de la nube con la misma agilidad con la que se despliegan los servicios legítimos.
Para protegerte o proteger el entorno de tu organización, desde TecnetOne te recomendamos:
La nube ofrece velocidad, flexibilidad y escalabilidad. Pero también, como demuestra esta campaña, esas mismas ventajas pueden ser usadas en tu contra.
Los atacantes modernos no dependen de virus o ransomware tradicionales: ahora usan las herramientas de la propia infraestructura para camuflarse, crecer y persistir.
Desde TecnetOne, creemos que la clave está en la visibilidad, la educación y la automatización inteligente de la seguridad. Solo comprendiendo cómo se comportan los atacantes en entornos cloud puedes adelantarte a ellos y proteger realmente tu información.
La nube seguirá siendo el futuro, pero solo será segura si aprendemos a defenderla con la misma agilidad con la que evoluciona.