Kaspersky alerta sobre una vulnerabilidad que está aprovechando el sistema de autenticación de Microsoft para entrar a cuentas corporativas sin necesidad de conocer la contraseña de la víctima. El ataque utiliza un código legítimo de inicio de sesión para obtener acceso a información almacenada en Outlook, OneDrive y Microsoft Teams.
El hallazgo se suma a otras campañas identificadas por Kaspersky en las que los ciberdelincuentes han abusado de servicios legítimos como Google Tasks, Google Forms, Bubble y Amazon Simple Email Service para distribuir sus engaños y hacerlos parecer más confiables ante las víctimas.
Para realizar el ataque, los ciberdelincuentes abusaron de una función de Microsoft conocida como OAuth 2.0 Device Authorization Grant, también llamada flujo de código de dispositivo. Esta función permite iniciar sesión en una cuenta de Microsoft desde dispositivos en los que escribir una contraseña puede ser difícil, como un televisor inteligente. En esos casos, el dispositivo muestra un código que el usuario debe ingresar desde un celular o computadora para autorizar el acceso.
¡Últimos días para ser parte de la primera Encuesta: Panorama del Mercado de Software de Gestión en México || Podrías ser acreedor a una cortesía para el ERP Summit México 2026
Los atacantes invirtieron este proceso: iniciaban una sesión desde su propio dispositivo y obtenían un código válido. Luego, mediante una página de phishing, convencían a la víctima de copiar ese código e ingresarlo en el sitio oficial de Microsoft. Cuando la persona completaba la autenticación, en realidad estaba autorizando el acceso solicitado por los ciberdelincuentes.
Para iniciar el engaño, las víctimas recibían un correo que aparentaba provenir de un bufete de abogados e incluía un archivo PDF protegido con contraseña. Después de abrirlo, encontraban una supuesta lista de documentos legales que solo podía consultarse mediante un enlace.
El vínculo llevaba inicialmente a una dirección legítima de Microsoft, pero sus parámetros habían sido configurados para redirigir después al usuario hacia una página fraudulenta que imitaba un portal de consulta de documentos. El enlace incluido en el PDF redirige al usuario desde la plataforma de Microsoft hacia una página de phishing que imita un portal de documentos legales.
La página fraudulenta mostraba varios CAPTCHA, probablemente utilizados para evitar que herramientas automatizadas de seguridad detectaran la amenaza. Después de superar estas verificaciones, la víctima llegaba a una página que mostraba un código de un solo uso.
Este código había sido generado previamente por los atacantes al iniciar el proceso de acceso desde su propio dispositivo. Al hacer clic en el código, este se copiaba automáticamente en el portapapeles. Inmediatamente después, la persona era enviada a la página oficial de autenticación de Microsoft, donde se le pedía pegarlo y continuar con el proceso.
El uso de una plataforma legítima hacía que el procedimiento pareciera seguro. Sin embargo, al ingresar el código y completar la autenticación multifactor, la víctima autorizaba la sesión que los atacantes habían iniciado.
Una vez completado el proceso, los ciberdelincuentes obtenían los tokens de la sesión, es decir, los elementos digitales que permiten mantener abierta y autorizada una cuenta. De esta manera, podían acceder a ella sin conocer la contraseña.
Con este acceso, los atacantes podían leer y enviar correos desde el buzón de la víctima, descargar archivos almacenados en OneDrive y consultar conversaciones de Teams. Una cuenta comprometida también podía utilizarse para suplantar al empleado y enviar nuevos mensajes fraudulentos a compañeros, clientes o proveedores.
Para evitar estas vulnerabilidades, los expertos de Kaspersky recomiendan:
Desconfíe de solicitudes inesperadas que incluyan códigos de acceso. Nunca copie ni ingrese un código de autenticación si usted no inició personalmente el proceso de inicio de sesión, incluso cuando la página abierta pertenezca oficialmente a Microsoft.
Verifique por otro canal cualquier comunicación legal o corporativa. Antes de abrir archivos protegidos con contraseña o acceder a documentos mediante enlaces, confirme directamente con la organización o el remitente que el mensaje sea legítimo.
Revise la necesidad del flujo de código de dispositivo. Las empresas deben determinar si este mecanismo es indispensable para sus operaciones, deshabilitarlo cuando no sea necesario y supervisar accesos, permisos y sesiones inusuales en las cuentas corporativas.
Utilice soluciones de seguridad que detecten correos y enlaces maliciosos. Herramientas especializadas podrían ayudar a proteger los entornos corporativos, lo ideal es que incorporen funciones antiphishing para los usuarios individuales.
