Alerta por una nueva estafa que usa Microsoft Authenticator para robar cuentas sin conocer la contraseña
Una campaña de phishing detectada por especialistas en ciberseguridad utiliza una función legítima de autenticación de Microsoft para engañar a empleados de empresas. Las víctimas terminan autorizando sin saberlo el acceso de los delincuentes, que pueden ingresar a correos, archivos de OneDrive y conversaciones de Teams.
Una nueva modalidad de estafa digital encendió las alarmas entre especialistas en ciberseguridad. Ciberdelincuentes están utilizando una función oficial del sistema de autenticación de Microsoft para conseguir acceso a cuentas corporativas sin necesidad de robar directamente la contraseña de la víctima.
La campaña fue detectada por Kaspersky y apunta principalmente a empleados de empresas. Una vez concretado el engaño, los atacantes pueden acceder al correo electrónico de la víctima, consultar archivos almacenados en OneDrive y revisar conversaciones internas de Teams.
La particularidad del ataque es que aprovecha un mecanismo legítimo denominado OAuth 2.0 Device Authorization Grant, diseñado originalmente para iniciar sesión en dispositivos en los que resulta incómodo introducir una contraseña, como televisores inteligentes.
Los delincuentes manipulan ese procedimiento para conseguir que sea la propia víctima quien autorice el acceso a una sesión iniciada por ellos.
Cómo funciona la nueva modalidad de phishing
El engaño comienza con un correo electrónico que aparenta haber sido enviado por un estudio de abogados. El mensaje incluye un archivo PDF protegido con contraseña, un recurso utilizado para generar mayor sensación de legitimidad.
Al abrirlo, la víctima encuentra una supuesta lista de documentos legales y un enlace para consultar más información.
Ese vínculo pasa inicialmente por una dirección legítima de Microsoft con parámetros manipulados y posteriormente conduce a una página falsa que simula ser un portal de documentación legal. Además, los atacantes incorporan diferentes CAPTCHA para dificultar que los sistemas automáticos de seguridad detecten el fraude.
Después aparece en pantalla un código de un solo uso. El problema es que ese código no corresponde a un inicio de sesión realizado por la víctima: fue generado previamente por los ciberdelincuentes desde otro dispositivo.
La persona es conducida entonces al sitio oficial de autenticación de Microsoft, donde introduce el código creyendo que está verificando su identidad.
En realidad, está autorizando la sesión que inició el atacante.
Pueden acceder a correos, documentos y conversaciones
Una vez otorgada la autorización, los delincuentes consiguen tokens de sesión, que permiten mantener el acceso a una cuenta autenticada sin tener que introducir nuevamente la contraseña.
A partir de allí pueden leer y enviar correos electrónicos, descargar archivos alojados en OneDrive y acceder a conversaciones de Teams.
El peligro no termina en la primera cuenta comprometida. Los atacantes también pueden hacerse pasar por el empleado y contactar a compañeros de trabajo, clientes o proveedores para intentar extender la estafa dentro de la organización.
Esta modalidad resulta especialmente peligrosa porque combina páginas fraudulentas con servicios y mecanismos oficiales de Microsoft, lo que puede generar una falsa sensación de seguridad en la víctima.
La principal señal de alerta
La recomendación fundamental de los especialistas es sencilla: nunca introducir o aprobar un código de autenticación si uno mismo no inició previamente el proceso de acceso.
Esto se aplica incluso cuando el código termina ingresándose dentro de una página oficial de Microsoft, ya que precisamente esa combinación de infraestructura legítima y engaño es la que utilizan los atacantes.
También se recomienda desconfiar de documentos inesperados, verificar por otra vía la identidad del remitente antes de ingresar a enlaces y, en el caso de las empresas, revisar si realmente necesitan mantener habilitado el sistema de autenticación mediante códigos de dispositivo.
La nueva campaña demuestra que tener autenticación multifactor no elimina por completo el riesgo de phishing: si el usuario es engañado para autorizar una sesión ajena, los delincuentes pueden conseguir acceso incluso sin haber descubierto su contraseña.