El phishing en SharePoint se apoya en una situación habitual para organizaciones y usuarios: te llegan documentos financieros, contratos o pedidos de firma a través de plataformas digitales conocidas. En un escenario en el que el intercambio de archivos y la aprobación de transacciones pasó a formar parte de la operatoria diaria, los ciberdelincuentes encuentran una oportunidad clara para ocultar ataques detrás de notificaciones que parecen legítimas. 

En ese marco, investigadores de seguridad de correo electrónico de Check Point detectaron una campaña que aprovechó esa lógica y usó servicios confiables como señuelo para distribuir enlaces maliciosos.

¿Cómo funciona el phishing en SharePoint que imita servicios de firma electrónica?

El esquema que identificó Check Point se basa en la suplantación de servicios de intercambio de archivos y firma electrónica que se usan de manera habitual en banca, bienes raíces, seguros y operaciones comerciales. Los atacantes envían correos electrónicos con temática financiera que simulan notificaciones legítimas, como pedidos de revisión o de firma de documentos.

Durante esta campaña, circularon más de 40.000 correos electrónicos de phishing dirigidos a alrededor de 6.100 empresas en un período de dos semanas. Los mensajes incluyen enlaces que aparentan llevar a documentos alojados en plataformas confiables. Para reforzar esa percepción, los atacantes canalizan los enlaces a través de dominios conocidos, lo que reduce la sospecha inicial de quienes los reciben.

Los correos replican elementos visuales oficiales, como logotipos de Microsoft y productos de Office, además de encabezados, pies de página y botones de “revisar documento” similares a los originales. También falsifican los nombres que figuran como remitentes, con formatos que imitan notificaciones reales, lo que refuerza la apariencia de legitimidad del mensaje.

¿Por qué el phishing en SharePoint logra evadir filtros y generar confianza?

Una de las claves del phishing en SharePoint que detectó Check Point radica en el uso indebido de la función de reescritura de enlaces seguros de Mimecast. Los atacantes aprovechan esta herramienta como una cortina de humo para que las URL parezcan seguras y autenticadas. Al tratarse de un dominio de confianza, los enlaces tienen más posibilidades de superar los filtros automáticos de seguridad.

En esta campaña, todos los enlaces maliciosos se redirigen a través de una infraestructura legítima, lo que imita flujos de redireccionamiento habituales dentro de las empresas. Esta técnica reduce las alertas automáticas y también la desconfianza de los usuarios, que muchas veces asocian esos dominios con mecanismos de protección.

El resultado es un correo que, a simple vista, mantiene coherencia visual y técnica con comunicaciones reales. La combinación de dominios confiables, un diseño cuidado y un lenguaje alineado con notificaciones auténticas aumenta la efectividad del ataque y dificulta su detección temprana.

¿Qué diferencias presenta la variante de phishing en SharePoint al estilo DocuSign?

Además de la campaña principal vinculada a SharePoint y a servicios de firma electrónica, los investigadores detectaron una operación asociada que imita notificaciones de DocuSign. Aunque el objetivo es el mismo, el mecanismo de redireccionamiento presenta diferencias relevantes.

En la campaña principal, la redirección secundaria funciona como una redirección abierta. La URL final de phishing queda visible dentro de la cadena de consulta, incluso cuando aparece protegida por servicios de confianza. La variante que simula a DocuSign, por su parte, utiliza una secuencia distinta: el enlace pasa primero por una URL de Bitdefender GravityZone y luego por el servicio de seguimiento de clics de Intercom.

En este caso, la página de destino real queda completamente oculta detrás de una redirección tokenizada. Esta técnica impide que veas la URL final y vuelve a esta variante más difícil de detectar. Según el análisis de Check Point, este método eleva el nivel de sigilo del ataque y complica la identificación manual del destino malicioso.

¿A qué sectores apunta el phishing en SharePoint y qué medidas recomienda Check Point?

El phishing en SharePoint apuntó sobre todo a organizaciones ubicadas en Estados Unidos, Europa, Canadá, Asia-Pacífico y Oriente Medio. Los datos de telemetría de correo electrónico Harmony de Check Point muestran una mayor concentración en Estados Unidos, seguido por Europa y Canadá, con casos también en Asia, Australia y Oriente Medio.

Por sector, los ataques impactaron con más fuerza en empresas de consultoría, tecnología y construcción e inmobiliario. También se registraron víctimas en salud, finanzas, manufactura, medios de comunicación y marketing, transporte y logística, energía, educación, comercio minorista, hotelería, viajes y administración pública.

Se trata de rubros que intercambian contratos, facturas y documentación financiera de manera habitual, lo que hace más creíbles los señuelos basados en el envío de archivos y en pedidos de firma electrónica.

Sectores y regiones a las que apunta el phishing

Frente a este escenario, Check Point recomienda adoptar medidas preventivas tanto a nivel organizacional como individual. Entre ellas, prestar atención a los enlaces que llegan en correos electrónicos inesperados, revisar si existen discrepancias entre el nombre visible del remitente y la dirección real, y detectar inconsistencias en el formato o en la calidad visual del mensaje.

También sugiere que inspecciones los enlaces antes de hacer clic, que ingreses a los servicios directamente desde el navegador en lugar de usar vínculos incluidos en correos y que participes de capacitaciones periódicas sobre nuevas técnicas de phishing. A esto se suma la importancia de contar con soluciones de seguridad que incluyan detección de amenazas en correo electrónico, motores antiphishing, filtrado de URL y herramientas de reporte para los usuarios.