Ejemplo de BEC: un incidente ficticio en Microsoft 365
Un BEC AiTM ficticio reconstruido desde sus registros de Microsoft 365: difusión, reutilización de token, reglas, reenvío, consentimiento OAuth y factura falsa.
Artículos etiquetados: #bec
BEC: qué hacer en la primera hora (Microsoft 365)
La primera hora tras un BEC en Microsoft 365: frenar el dinero, conservar los registros, revocar sesiones y eliminar la persistencia, en el orden correcto.
MailItemsAccessed: qué demuestra (y qué no)
Cómo leer MailItemsAccessed en un BEC: Sync o Bind, InternetMessageId, limitación, licencias y cómo separar las lecturas del atacante de las del usuario.
Concesión de consentimiento ilícita: apps OAuth en M365
Cómo detectar un consentimiento OAuth ilícito en el registro de auditoría unificado y en la auditoría de Entra, qué permisos importan y cómo quitar el acceso.
Análisis de inicios de sesión de Entra ID: riesgo y viajes
Cómo analizar los inicios de sesión de Entra ID en un BEC: campos clave, códigos de error, viaje imposible y falsos positivos, difusión, fatiga de MFA.
Detección de phishing AiTM: reutilización de tokens en Entra
Cómo el phishing AiTM roba sesiones de Microsoft 365 pese a la MFA y cómo detectar la reutilización de tokens en los inicios de sesión de Entra ID y en el UAL.
Reglas de bandeja de entrada de un hacker en Microsoft 365
Cómo usan los atacantes las reglas de bandeja de entrada y el reenvío en un BEC, cómo hallarlas en el UAL y con Get-InboxRule, y cómo distinguirlas.
Investigación del registro de auditoría unificado (BEC)
Leer el registro de auditoría unificado en un BEC: el JSON AuditData, las operaciones que filtrar y cómo SessionId y UniqueTokenId enlazan acciones.
Analizar el registro de auditoría unificado en el navegador
Paso a paso: cargue una exportación de auditoría de Purview y los inicios de sesión de Entra en M365 Forensics y lea el veredicto, hallazgos y cronología.
Investigación de BEC en Microsoft 365: guía práctica
Cómo investigar un BEC en Microsoft 365: qué registros exportar, qué buscar en cada uno y cómo vincular cada acción con la sesión del atacante.