Kaspersky detectó una campaña de phishing que aprovecha el sistema de autenticación de Microsoft para acceder a cuentas corporativas sin necesidad de conocer la contraseña de la víctima.
El ataque utiliza un código legítimo de inicio de sesión para obtener acceso a información almacenada en Outlook, OneDrive y Microsoft Teams.
El hallazgo se suma a otras campañas identificadas por Kaspersky en las que los ciberdelincuentes han abusado de servicios legítimos como Google Tasks, Google Forms, Bubble y Amazon Simple Email Service para distribuir engaños y hacerlos parecer más confiables.
Para realizar el ataque, los ciberdelincuentes abusaron de una función de Microsoft conocida como OAuth 2.0 Device Authorization Grant, también llamada flujo de código de dispositivo.
Esta función permite iniciar sesión en una cuenta de Microsoft desde dispositivos en los que escribir una contraseña puede resultar difícil, como un televisor inteligente. En estos casos, el dispositivo muestra un código que el usuario debe ingresar desde un celular o computadora para autorizar el acceso.
Los atacantes invirtieron este proceso. Iniciaban una sesión desde su propio dispositivo y obtenían un código válido. Posteriormente, mediante una página de phishing, convencían a la víctima de copiar ese código e ingresarlo en el sitio oficial de Microsoft.
Cuando la persona completaba la autenticación, en realidad estaba autorizando el acceso solicitado por los ciberdelincuentes.
Para iniciar el engaño, las víctimas recibían un correo que aparentaba provenir de un bufete de abogados e incluía un archivo PDF protegido con contraseña.
Después de abrirlo, encontraban una supuesta lista de documentos legales que solo podía consultarse mediante un enlace. Este vínculo llevaba inicialmente a una dirección legítima de Microsoft, pero sus parámetros habían sido configurados para redirigir al usuario hacia una página fraudulenta que imitaba un portal de consulta de documentos.
La página mostraba varios CAPTCHA, probablemente utilizados para dificultar la detección automatizada de la amenaza. Tras superar estas verificaciones, la víctima llegaba a una pantalla con un código de un solo uso.
Este código había sido generado previamente por los atacantes al iniciar el proceso de acceso desde su propio dispositivo. Al hacer clic, se copiaba automáticamente en el portapapeles y el usuario era enviado a la página oficial de autenticación de Microsoft para pegarlo y continuar.
El uso de una plataforma legítima hacía que el procedimiento pareciera seguro. Sin embargo, al ingresar el código y completar la autenticación multifactor, la víctima autorizaba la sesión que los atacantes habían iniciado.
Una vez completado el proceso, los ciberdelincuentes obtenían los tokens de sesión, elementos digitales que permiten mantener abierta y autorizada una cuenta.
De esta manera, podían acceder a la cuenta sin conocer la contraseña, leer y enviar correos electrónicos desde el buzón de la víctima, descargar archivos almacenados en OneDrive y consultar conversaciones de Teams.
Una cuenta comprometida también podía utilizarse para suplantar al empleado y enviar nuevos mensajes fraudulentos a compañeros, clientes o proveedores.
“Lo más preocupante de esta campaña es que convierte la confianza del usuario en las plataformas oficiales en una ventaja para los atacantes. Una vez que consiguen acceso a la cuenta, el riesgo no se limita al robo de información”, señaló Leandro Cuozzo, investigadora de seguridad senior en el Equipo Global de Investigación y Análisis para América Latina en Kaspersky.
La especialista agregó que los atacantes pueden hacerse pasar por la víctima, enviar mensajes desde una identidad legítima, acceder a documentos internos y utilizar la cuenta comprometida como punto de entrada para atacar a otras personas dentro de la organización.
Este tipo de ataque demuestra que completar correctamente un proceso de autenticación no siempre significa que el acceso sea seguro, especialmente cuando el usuario ha sido manipulado para autorizar una sesión iniciada por un tercero.
Recomendaciones para reducir el riesgo
Kaspersky recomienda desconfiar de solicitudes inesperadas que incluyan códigos de acceso y nunca copiar o ingresar un código de autenticación si el usuario no inició personalmente el proceso de inicio de sesión, incluso cuando la página abierta pertenezca oficialmente a Microsoft.
También aconseja verificar mediante otro canal cualquier comunicación legal o corporativa antes de abrir archivos protegidos con contraseña o acceder a documentos mediante enlaces.
Para las empresas, recomienda revisar si el flujo de código de dispositivo es indispensable para sus operaciones, deshabilitarlo cuando no sea necesario y supervisar accesos, permisos y sesiones inusuales en las cuentas corporativas.
La compañía también aconseja utilizar soluciones de seguridad capaces de detectar correos electrónicos y enlaces maliciosos para reducir la exposición a campañas de phishing.
