Se ha detectado una campaña de phishing que suplanta a Microsoft utilizando el dominio rnicrosoft.com, donde la secuencia de caracteres “r” + “n” se hace pasar visualmente por una “m”. El objetivo de la estafa es capturar credenciales de Microsoft 365 y Outlook mediante páginas fraudulentas casi idénticas a los portales oficiales.

Investigadores han observado correos dirigidos a usuarios de Microsoft 365 que emplean asuntos alarmantes —como “Problema de seguridad en su cuenta Microsoft” o “Restablezca su contraseña urgentemente”— y reproducen logos y formatos corporativos aparentes para ganar confianza. Al pulsar los enlaces, las víctimas son enviadas a rnicrosoft[.]com, donde se les solicita usuario y contraseña en una página que simula la pantalla de inicio de sesión de Microsoft.

El ataque aprovecha la técnica conocida como homoglyph (o homograph) spoofing, que sustituye caracteres por otros visualmente similares. En muchas tipografías, la pareja “rn” puede confundirse con la letra “m”, facilitando la suplantación del dominio legítimo.

Impacto

Si un usuario introduce sus credenciales en la web falsa, el atacante puede:

• Acceder al correo y a servicios vinculados (OneDrive, Teams, etc.).
• Reutilizar las credenciales en otros servicios si la contraseña se comparte.
• Ejecutar fraudes de tipo Business Email Compromise (BEC) o movimientos laterales en redes corporativas.

La campaña apunta tanto a usuarios particulares como a empleados de organizaciones en España y Latinoamérica.

Recomendaciones

• Verifique siempre la URL completa antes de introducir credenciales: los dominios oficiales terminan en .microsoft.com, .live.com, .office.com o .login.microsoftonline.com.
• No se fíe únicamente del aspecto visual; copie el enlace y examine la dirección en texto plano para detectar trucos como “rn” en lugar de “m”.
• Active autenticación multifactor (MFA) en todas las cuentas Microsoft.
• En entornos empresariales, implemente políticas anti-phishing y de protección contra suplantación en Microsoft Defender for Office 365, y bloquee dominios similares.
• Si ha facilitado su contraseña, cámbiela de inmediato, cierre sesiones abiertas y notifique el incidente a Microsoft en phish@office365.microsoft.com.

https://unaaldia.hispasec[.]com/