Falsos avisos de verificación en el navegador instalan un programa que roba contraseñas y documentos de Microsoft 365

Qué ocurrió

Microsoft reportó el 16 de julio de 2026 una campaña activa de un programa malicioso llamado ACR Stealer (también conocido como AcridRain o, en su versión revendida en foros criminales, Amatera Stealer), en circulación desde 2024. Se distribuye mediante ClickFix: una ventana falsa de verificación de seguridad, que imita servicios legítimos, convence a la víctima de copiar y pegar un comando en el cuadro “Ejecutar” de Windows. Ese comando descarga el programa, que roba contraseñas guardadas en el navegador, sesiones activas (los accesos temporales que permiten entrar a una cuenta sin volver a escribir la contraseña) y documentos sincronizados de OneDrive y SharePoint.

Quién está expuesto

Para personas

Cualquier persona que reciba una ventana falsa de verificación, imitando por ejemplo a un servicio conocido, y copie el comando que indica en el cuadro “Ejecutar” de Windows.

Para organizaciones

Empresas que usan Microsoft 365, OneDrive o SharePoint en equipos Windows. El robo de sesiones activas permite al atacante entrar a cuentas corporativas sin necesitar la contraseña de la víctima.

A considerar

El robo no se limita a contraseñas: incluye las sesiones activas, lo que deja sin efecto un simple cambio de contraseña. Si se sospecha una infección, la medida efectiva es revocar las sesiones y los accesos activos, no solo cambiar la contraseña.

Impacto potencial

Con las sesiones y documentos robados, un atacante puede entrar al correo corporativo, a los documentos compartidos y a los sistemas conectados a Microsoft 365 de la víctima, sin que un cambio de contraseña por sí solo bloquee ese acceso.

Leer fuente original →