Una nueva ola de ataques de phishing ha demostrado cómo los ciberdelincuentes están utilizando una característica oficial del sistema de autenticación de Microsoft para infiltrarse en cuentas empresariales.
De acuerdo con un informe de Kaspersky, esta amenaza apunta especialmente a trabajadores de compañías, que pueden ver comprometidos sus correos electrónicos, documentos almacenados en OneDrive y chats de Teams sin que sus contraseñas hayan sido descifradas.
Lo que hace particularmente peligroso a este engaño es la explotación del protocolo OAuth 2.0 Device Authorization Grant, un sistema creado para simplificar el acceso en aparatos donde escribir una clave es complicado, como los televisores inteligentes.
Normalmente, el usuario introduce un código que se genera en un segundo dispositivo para aprobar el ingreso. Pero los atacantes han dado la vuelta al mecanismo: consiguen que la víctima, sin saberlo, autorice la entrada del delincuente.
El paso a paso del engaño con Microsoft Authenticator
Todo arranca con un correo electrónico que parece enviado por un despacho de abogados. El mensaje incluye un archivo PDF resguardado con una contraseña, lo que le da un aire de credibilidad. Al abrirlo, el documento muestra una lista ficticia de documentos legales e invita a la víctima a hacer clic en un enlace para ver más detalles.
El enlace contenido en el PDF lleva al trabajador a una URL auténtica de Microsoft, aunque con parámetros alterados. De esta manera, después de transitar por los servidores oficiales, la persona termina en un sitio falso que replica un portal de consulta de documentos. Para evitar que los sistemas de seguridad identifiquen la estafa, los delincuentes incorporan múltiples pruebas CAPTCHA.
Una vez que la víctima supera estos filtros, aparece en pantalla un código de un solo uso. Ese código ya fue generado por los atacantes cuando iniciaron sesión desde su equipo. La persona copia el número, que en algunos casos se copia solo al portapapeles, y es redirigida a la página legítima de autenticación de Microsoft para ingresarlo.
En este punto, la autenticación de múltiples factores y el hecho de estar en el sitio oficial de Microsoft consolidan la trampa. Cuando la víctima pega el código y continúa, no está confirmando su propia identidad, sino que está concediendo acceso a la sesión que los ciberdelincuentes iniciaron.
De esta forma, los atacantes consiguen los denominados tokens de sesión, unos elementos digitales que mantienen una cuenta activa y autorizada sin necesidad de volver a escribir la clave.
¿Qué sucede una vez que los atacantes entran a las cuentas?
Consumado el engaño, los ciberdelincuentes tienen la capacidad de leer y redactar mensajes de correo, descargar archivos alojados en OneDrive e ingresar a los chats de Teams de la empresa afectada.
Más aún, la cuenta vulnerada se convierte en una plataforma para estafar a otras personas. El atacante puede suplantar la identidad del empleado y enviar comunicaciones falsas a colegas, clientes o proveedores, extendiendo el radio de acción del ataque.
Lo alarmante de esta modalidad es que al emplear plataformas auténticas y procesos de verificación oficiales, la confianza del usuario se vuelve el eslabón débil. Una autenticación exitosa no asegura que el acceso sea legítimo, porque la víctima, sin darse cuenta, está aprobando la entrada de un tercero malicioso.
Medidas para evitar caer en esta estafa
Los especialistas de Kaspersky sugieren varias acciones para reducir el peligro. A continuación, las principales recomendaciones:
- Nunca ingresar un código de autenticación si el usuario no ha iniciado personalmente el proceso de inicio de sesión, incluso cuando la página abierta pertenezca al dominio oficial de Microsoft. La desconfianza ante solicitudes inesperadas de acceso es clave.
- Verificar por otros canales cualquier comunicación legal o corporativa antes de abrir archivos protegidos o hacer clic en enlaces sospechosos. Confirmar la legitimidad del mensaje directamente con la organización o el remitente puede evitar la ejecución del engaño.
- Revisar la necesidad real del flujo de código de dispositivo a nivel organizacional. Si el mecanismo no es indispensable para la operación diaria, se recomienda deshabilitarlo y supervisar activamente los accesos, permisos y sesiones inusuales en las cuentas corporativas.
Adoptar estas prácticas puede marcar la diferencia entre mantener la seguridad de la información corporativa o convertirse en la próxima víctima de este tipo de fraudes sofisticados.
Fuente: Infobae