Secuestraron la cuenta oficial de Microsoft en X para empujar un token con Clippy: '500.000 likes y lo traemos de vuelta'

El jueves 1 de octubre, la cuenta oficial de Microsoft en X —más de 13 millones de seguidores— dejó de ser de Microsoft durante un lapso breve. Los atacantes cambiaron la foto de perfil por una imagen de Clippy, el asistente animado en forma de clip que traían versiones antiguas de Office, hicieron que la cuenta siguiera a @clippymsftcto, una cuenta que se hacía pasar por Clippy, y citaron su publicación ("¿cuántos likes para traer de vuelta a Clippy?") con: "500.000 likes y lo traemos de vuelta". Otra cuenta con temática de Clippy promovía el token $Clippy. Unos 30 minutos después de los primeros mensajes apareció además una "disculpa" falsa desde la cuenta, que también se borró. Microsoft confirmó "acceso no autorizado", aseguró la cuenta y borró las publicaciones.

Separamos lo confirmado de lo que no se sabe. Está confirmado que hubo acceso no autorizado, que las publicaciones no salieron de Microsoft y que la empresa niega cualquier relación con el token. No se sabe —los reportes que revisamos no lo mencionan— cuánto dinero se movió, si el precio del token subió y cayó, ni cuántas personas compraron. Tampoco se sabe cómo entraron.

El anzuelo: nostalgia con una meta de 'likes'

La mecánica es más inteligente de lo que parece. Clippy no vende nada por sí mismo: es un recuerdo compartido por millones de usuarios de Office. Pedir 500.000 likes a cambio de "traerlo de vuelta" convierte a la audiencia en distribuidor: cada like y cada repost amplía el alcance del mensaje, y el mensaje viene de una cuenta que la gente reconoce como legítima. Es el mismo principio que vimos con las cuentas de Meta Ads secuestradas para vender cripto falsa: no se falsifica la marca, se toma prestada su credibilidad ya construida.

La frase que más pesa: "pool de liquidez emparejado con $MSFT"

La cuenta impostora aseguraba que el token tenía un pool de liquidez vinculado directamente a $MSFT, que es el símbolo bursátil de las acciones de Microsoft, no una criptomoneda. La frase está diseñada para insinuar un respaldo oficial o una conexión con el valor de la empresa que no existe. La frase "Microsoft no apoya, respalda, patrocina ni autoriza ningún token o proyecto cripto" apareció en la "disculpa" falsa publicada desde la cuenta; según SecurityWeek, Microsoft aclaró después que ese mensaje también formó parte de la actividad no autorizada. Lo que sí confirmó la empresa es el acceso no autorizado. La mecánica encaja con el patrón conocido de "pump and dump": se promueve un token con poca liquidez desde una cuenta de alta confianza para atraer compradores y quienes lo crearon venden cuando el precio sube. Es una lectura nuestra: ningún medio que revisamos lo afirma sobre este caso, y no hay reportes sobre quién vendió ni cuánto.

Cómo pudieron entrar: lo que se especula

Microsoft dice que sigue investigando. SecurityWeek menciona rutas posibles —no confirmadas—: intercambio de SIM (SIM swapping) para controlar el número de teléfono asociado, un correo comprometido usado para restablecer la contraseña, malware que roba las cookies de sesión del navegador, herramientas de terceros con permiso de publicar en nombre de la cuenta, o engañar a quien administra la cuenta para que escriba sus credenciales en una página de phishing. Dos de esas rutas apuntan a técnicas que ya hemos documentado: el robo de sesión sin necesidad de contraseña, como el de Tycoon2FA, que se salta la verificación en dos pasos, y los kits de phishing que roban tokens, como EvilTokens. No hay evidencia de que alguna de ellas se haya usado aquí; las mencionamos porque muestran por qué una contraseña fuerte, por sí sola, no basta para proteger una cuenta de alto valor.

Por qué importa si no tienes cuenta de empresa

Que la cuenta sea de una de las compañías más grandes del mundo no la volvió inmune, y el mecanismo no depende del tamaño. Cualquier cuenta con una audiencia que confía en ella —un banco, un medio, un youtuber, una institución pública— es un megáfono potencial para este mismo guion. Es razonable esperar que ocurra en nuestra región, pero hoy no tenemos un caso documentado que podamos citar; es una advertencia, no un hecho.

Cómo protegerte

• Nunca compres un token porque lo promueve una cuenta, aunque sea oficial y esté verificada. Una empresa seria no anuncia un proyecto cripto con un "hilo de likes".
• Contrasta cualquier anuncio importante en el sitio web oficial de la empresa, escribiendo la dirección tú mismo. Si no aparece ahí, no es real.
• Desconfía de los mensajes que piden "likes para desbloquear" algo. El engagement pedido es parte del mecanismo, no un juego.
• Si ya conectaste tu wallet a un sitio que viste en una publicación así, revoca los permisos de inmediato. Es la antesala de la "transacción de prueba" que vacía tu wallet, aunque aquí no hay evidencia de que haya ocurrido.
• Si administras una cuenta con audiencia, quita el acceso a herramientas de terceros que no uses, protege el correo asociado con un método de verificación fuerte y evita depender del SMS para recuperar el acceso.

Si viste una publicación parecida desde una cuenta de una marca, banco o medio de tu país, guarda una captura completa y mándanosla por el canal de alertas: es exactamente el tipo de caso que nos interesa documentar antes de que haga más víctimas.

Corrección (4 de octubre de 2026): una versión anterior decía que los atacantes controlaron la cuenta "unos 30 minutos"; las fuentes solo dicen que unos 30 minutos después de los primeros mensajes apareció una "disculpa" falsa. También atribuíamos a Microsoft la frase de que no respalda ningún token cripto, que según SecurityWeek aparecía en esa "disculpa" y no era una declaración de la empresa; describíamos a Clippy como retirado en 2001 (dato que no está en las fuentes) y llamábamos "pump and dump" a la operación como si los medios lo hubieran afirmado.