Un ataque de phishing que no roba tu contraseña

Un kit de phishing que socava el flujo de autenticación legítimo de Microsoft permite a los atacantes ingresar a cuentas sin robar contraseñas ni crear páginas de inicio de sesión falsas.

15 de junio de 2026
•
,
Leer durante 5 minutos

mucho tiene fue escrito sobre cómo los días de los correos electrónicos de phishing llenos de gramática incorrecta y diseño tosco están contados, en gran parte gracias a la IA. Mientras tanto, EvilTokens ofrece un ejemplo ligeramente diferente de hasta qué punto ha avanzado el arte del phishing.

EvilTokens es un kit de phishing como servicio (PhaaS) diseñado para comprometer cuentas de Microsoft 365 mediante abuso Flujo de concesión de autorización de dispositivo OAuth 2.0. Debido a que los ataques que utilizan el kit se basan en el phishing del código del dispositivo, evitan la necesidad de réplicas convincentes de páginas de inicio de sesión reales donde las víctimas revelarían sus contraseñas. En lugar de ello, los atacantes engañan a la víctima para que complete un proceso de autenticación legítimo, incluido Autenticación de dos factores (2FA): en una página de inicio de sesión real de Microsoft.

El kit de herramientas se ha promocionado a través de canales de Telegram desde al menos febrero de 2026 y se ha detectado durante ataques activos. Según lo documentado por Sekoia y otros, el kit parece haber sido rápidamente adoptado por los ciberdelincuentes y utilizado en una serie de apropiaciones y apropiaciones de cuentas. Compromiso del correo electrónico empresarial (BEC), incluso por un campaña El objetivo es apuntar a más de 340 organizaciones en varios países en marzo de 2026. La propia Microsoft también lo ha hecho. descrito una campaña impulsada por IA que aprovechó la generación dinámica de códigos de dispositivos y señuelos personalizados para aumentar la tasa de éxito de los ataques de EvilTokens.

El funcionamiento interno de EvilTokens

Aquí hay una descripción general rápida de cómo evolucionan los ataques que utilizan EvilTokens:

• El ataque en sí está precedido por un “reconocimiento” durante el cual los inútiles verifican primero si la cuenta objetivo está activa. Microsoft determinó que este reconocimiento se realizó entre 10 y 15 días antes del intento de phishing real.
• La víctima recibe un correo electrónico o un mensaje disfrazado a menudo de factura, documento compartido, invitación de calendario o solicitud de acceso a SharePoint. El señuelo es un sitio engañoso que afirma ser una marca o servicio confiable, junto con un lenguaje simple como «Verificar para ver» o «Se requiere firma».
• Si la víctima hace clic, la página solicita un código de dispositivo de Microsoft. El código sólo es válido durante 15 minutos, por lo que el tiempo y el tiempo son esenciales aquí. La página muestra el código a la víctima y le dirige al portal de inicio de sesión real de Microsoft, microsoft.com/devicelogin. El problema es que el código pertenece a la sesión del atacante y, por lo tanto, la víctima, sin saberlo, autoriza el dispositivo del atacante, no el suyo.
• Cuando Microsoft detecta un inicio de sesión válido, emite tokens de acceso y actualización para la sesión abierta por el atacante. Una vez dentro, los delincuentes pueden acceder al correo electrónico corporativo, archivos, Teams, SharePoint, OneDrive y otros recursos de Microsoft 365 y exfiltrar datos o preparar ataques BEC, motivo por el cual las cuentas financieras, de recursos humanos, de logística y de ventas atraen un gran interés por parte de los atacantes.

¿Qué hace que EvilTokens sea peligroso?

El flujo de código de dispositivo OAuth está diseñado para dispositivos en los que iniciar sesión directamente puede resultar engorroso, como por ejemplo: televisores inteligentes o impresoras. El dispositivo muestra un código corto que el usuario ingresa en una página de Microsoft en otro dispositivo, a menudo un teléfono inteligente, y se autentica allí. Luego, Microsoft emite tokens de acceso al dispositivo que solicitó el acceso.

Esta separación es útil, pero deja lugar al abuso. Los atacantes pueden generar el código y engañar a la víctima para que lo ingrese, todo mientras Microsoft solo ve un flujo de autenticación válido. La empresa hace Advierte a los usuarios con un texto en pantalla cuando inician sesión y aconséjales que no introduzcan códigos de fuentes en las que no confíen. Sin embargo, a veces un señuelo convincente es suficiente para que la víctima ignore todas las advertencias.

Hablando de eso, EvilTokens elimina muchas de las señales de alerta que la gente solía tener enseñado a notar a lo largo de los años, incluidos nombres de dominio mal escritos y páginas de inicio de sesión falsas. La página de inicio de sesión es genuina y, desde la perspectiva de la víctima, todo el proceso de autenticación parece funcionar como se esperaba.

El ataque también enturbia las aguas en lo que respecta a las protecciones proporcionadas por 2FA. Si bien la segunda capa de autenticación nunca ha sido más importante, se queda corta si la víctima aprueba la sesión incorrecta. En estos ataques, los atacantes no subvierten la 2FA mediante magia técnica, sino que simplemente engañan a la víctima para que realice la 2FA por ellos.

Cómo reducir el riesgo

Por supuesto, los consejos antiphishing no pueden limitarse a «verificar el enlace», y mucho menos «buscar errores tipográficos». Estos hábitos todavía ayudan, por supuesto, pero no resisten los ataques modernos, especialmente aquellos que abusan de los flujos de autenticación reales.

A continuación se ofrecen algunos consejos sobre cómo protegerse de EvilTokens:

• Trate cualquier solicitud inesperada de un código de autenticación como sospechosa. Ningún documento, factura, correo electrónico u otra plataforma debe solicitar un código de dispositivo sin un motivo claro. Si la solicitud surge de la nada, repórtelo al equipo de seguridad o de TI de su empleador.
• El contexto es más importante que la página. Antes de aprobar una solicitud de inicio de sesión, verifique qué aplicación solicita acceso, qué cuenta es y si usted realmente inició la acción. Un sitio real de Microsoft no hace que una solicitud sea segura automáticamente.
• Las empresas deberían restringir completamente el flujo de códigos de dispositivos donde no sea necesario. Microsoft recomienda aplicar políticas de acceso condicional para bloquear el flujo de código del dispositivo cuando no sea necesario y restringirlo a usuarios, dispositivos, ubicaciones o sistemas operativos específicos.
• Busque autenticación de código de dispositivo inusual, dispositivos desconocidos, inicios de sesión riesgosos, uso de tokens sospechosos y nuevas reglas de la bandeja de entrada, todo lo cual puede indicar problemas.
• La formación en materia de seguridad debe mantenerse actualizada con los últimos trucos de los atacantes. Los empleados deben comprender que el phishing moderno no siempre implica ingresar una contraseña en una página falsa. A veces, el atacante les pide que introduzcan un código real en una página real, pero para el dispositivo equivocado.
• Los empleados que reciban una solicitud inesperada de código de dispositivo deben notificar a los equipos de TI o de seguridad de su empresa, quienes pueden necesitar revisar los registros de inicio de sesión, revocar sesiones, invalidar tokens de actualización, eliminar reglas maliciosas de la bandeja de entrada y deshabilitar temporalmente la cuenta comprometida.

EvilTokens recuerda que los atacantes no siempre tienen que derribar la puerta de entrada o robar la llave. A veces sólo necesitan convencer a alguien para que lo abra.