Ciberdelincuentes aprovechan Microsoft Authenticator para entrar a cuentas corporativas

Una campaña de phishing detectada por Kaspersky está aprovechando el sistema de autenticación de Microsoft para entrar a cuentas corporativas sin necesidad de conocer la contraseña de la víctima. El ataque utiliza un código legítimo de inicio de sesión para obtener acceso a información almacenada en Outlook, OneDrive y Microsoft Teams.

El hallazgo se suma a otras campañas identificadas por Kaspersky en las que los ciberdelincuentes han abusado de servicios legítimos como Google Tasks, Google Forms, Bubble y Amazon Simple Email Service para distribuir sus engaños y hacerlos parecer más confiables ante las víctimas.

Para realizar el ataque, los ciberdelincuentes abusaron de una función de Microsoft conocida como OAuth 2.0 Device Authorization Grant, llamada flujo de código de dispositivo, que permite iniciar sesión en una cuenta de Microsoft desde dispositivos en los que escribir una contraseña puede ser difícil, como un televisor inteligente.

En esos casos, el dispositivo muestra un código que el usuario debe ingresar desde un celular o computador para autorizar el acceso. Los atacantes invirtieron este proceso: iniciaban una sesión desde su propio dispositivo y obtenían un código válido. Luego, mediante una página de phishing, convencían a la víctima de copiar ese código e ingresarlo en el sitio oficial de Microsoft. Cuando la persona completaba la autenticación, en realidad estaba autorizando el acceso solicitado por los ciberdelincuentes.

Para iniciar el engaño, las víctimas recibían un correo que aparentaba provenir de un bufete de abogados e incluía un archivo PDF protegido con contraseña. Después de abrirlo, encontraban una supuesta lista de documentos legales que solo podía consultarse mediante un enlace incluido en el documento.

El vínculo llevaba inicialmente a una dirección legítima de Microsoft, pero sus parámetros habían sido configurados para redirigir después al usuario hacia una página fraudulenta que imitaba un portal de consulta de documentos. El enlace incluido en el PDF redirige al usuario desde la plataforma de Microsoft hacia una página de phishing que imita un portal de documentos legales.

La página fraudulenta mostraba varios CAPTCHA, probablemente utilizados para evitar que herramientas automatizadas de seguridad detectaran la amenaza. Después de superar estas verificaciones, la víctima llegaba a una página que mostraba un código de un solo uso.

Este código había sido generado previamente por los atacantes al iniciar el proceso de acceso desde su propio dispositivo. Al hacer clic en el código, este se copiaba automáticamente en el portapapeles. Inmediatamente después, la persona era enviada a la página oficial de autenticación de Microsoft, donde se le pedía pegarlo y continuar con el proceso.

El uso de una plataforma legítima hacía que el procedimiento pareciera seguro. Sin embargo, al ingresar el código y completar la autenticación multifactor, la víctima autorizaba la sesión que los atacantes habían iniciado. Una vez completado el proceso, los ciberdelincuentes obtenían los tokens de la sesión, es decir, los elementos digitales que permiten mantener abierta y autorizada una cuenta.

Con este acceso, los atacantes podían leer y enviar correos desde el buzón de la víctima, descargar archivos almacenados en OneDrive y consultar conversaciones de Teams. Una cuenta comprometida también podía utilizarse para suplantar al empleado y enviar nuevos mensajes fraudulentos a compañeros, clientes o proveedores.

Para evitar estas vulnerabilidades, los expertos de Kaspersky recomiendan:

•Desconfíe de solicitudes inesperadas que incluyan códigos de acceso.

•Verifique por otro canal cualquier comunicación legal o corporativa.

•Revise la necesidad del flujo de código de dispositivo.

•Utilice soluciones de seguridad que detecten correos y enlaces maliciosos. Herramientas como Kaspersky Security for Mail Server ayudan a proteger los entornos corporativos, mientras que Kaspersky Premium incorpora funciones antiphishing para los usuarios individuales.