¡Cuidado! Una página legítima también puede formar parte de un ciberataque.
Durante a帽os, una de las principales recomendaciones de ciberseguridad ha sido sencilla: antes de ingresar tus credenciales, revisa que la direcci贸n del sitio web sea leg铆tima.
Pero 驴qu茅 sucede cuando el sitio es aut茅ntico, el proceso de inicio de sesi贸n parece normal y hasta completas correctamente la autenticaci贸n Multifactor?
En ese escenario, podr铆as estar entreg谩ndole acceso a un ciberdelincuente sin darte cuenta.
El phishing mediante c贸digo de dispositivo es una t茅cnica que aprovecha los propios mecanismos leg铆timos de autenticaci贸n para enga帽ar a los usuarios. En lugar de dirigirlos a una p谩gina falsa que imita un servicio conocido, los atacantes utilizan una p谩gina de inicio de sesi贸n real para conseguir que la v铆ctima autorice una sesi贸n que ellos mismos iniciaron.
El resultado puede ser especialmente peligroso: el atacante obtiene tokens de autenticaci贸n v谩lidos y puede acceder a los recursos asociados con la cuenta comprometida, sin necesidad de robar directamente la contrase帽a.
Un inicio de sesi贸n leg铆timo: una intenci贸n maliciosa
La autenticaci贸n mediante c贸digo de dispositivo tiene una finalidad completamente leg铆tima. Se utiliza cuando una aplicaci贸n necesita que el usuario complete el inicio de sesi贸n desde otro equipo, por ejemplo, cuando un dispositivo muestra un c贸digo que debe introducirse en el navegador de una computadora o un tel茅fono.
El problema aparece cuando un atacante manipula este procedimiento.
El proceso suele comenzar con un correo electr贸nico que parece habitual: una invitaci贸n para consultar un documento compartido, revisar una factura, escuchar un mensaje de voz o responder a una solicitud de propuesta.
El empleado sigue las instrucciones y recibe un c贸digo de verificaci贸n. Despu茅s, es dirigido a una p谩gina aut茅ntica de inicio de sesi贸n, donde introduce el c贸digo y completa la autenticaci贸n multifactor.
Todo parece correcto. Sin embargo, hay un detalle que cambia por completo la situaci贸n: la solicitud de autenticaci贸n no fue iniciada por el empleado, sino por el atacante.
Al introducir el c贸digo y aprobar el proceso, el usuario termina autorizando la sesi贸n del ciberdelincuente.
De esta manera, el atacante puede obtener tokens de acceso y actualizaci贸n que le permiten utilizar los servicios disponibles para la cuenta comprometida, como el correo electr贸nico, el almacenamiento en la nube y otras aplicaciones empresariales, mientras los tokens contin煤en siendo v谩lidos.
驴Por qu茅 la autenticaci贸n multifactor no siempre es suficiente?
La autenticaci贸n multifactor (MFA) representa una capa importante de protecci贸n, pero este ataque demuestra que no todos los procesos de autenticaci贸n son igualmente resistentes al phishing.
En un ataque tradicional, el usuario suele ser redirigido a una p谩gina falsa que intenta imitar un servicio leg铆timo. La direcci贸n web, el dise帽o o ciertos detalles del sitio pueden revelar el enga帽o.
El phishing mediante c贸digo de dispositivo elimina buena parte de esas se帽ales de alerta.
La v铆ctima puede:
- Acceder a un dominio leg铆timo.
- Introducir el c贸digo de verificaci贸n siguiendo las instrucciones.
- Completar correctamente la autenticaci贸n multifactor.
- No proporcionar su contrase帽a a una p谩gina controlada por el atacante.
- Recibir una aprobaci贸n normal del sistema de autenticaci贸n.
El enga帽o no est谩 necesariamente en la p谩gina que el usuario visita, sino en la solicitud que est谩 autorizando.
Por eso, revisar la URL y completar la MFA no garantizan, por s铆 solos, que el inicio de sesi贸n sea leg铆timo. Tambi茅n es necesario comprobar qu茅 aplicaci贸n o dispositivo solicita la autorizaci贸n y por qu茅 se est谩 realizando ese proceso.
De una t茅cnica espec铆fica a campa帽as cada vez m谩s sofisticadas
El phishing mediante c贸digo de dispositivo dej贸 de ser 煤nicamente una t茅cnica experimental.
En febrero de 2025, Microsoft revel贸 una campa帽a que utilizaba este mecanismo para capturar tokens de autenticaci贸n y obtener acceso a cuentas comprometidas.
A principios de 2026, los atacantes comenzaron a combinar esta t茅cnica con automatizaci贸n, se帽uelos generados mediante inteligencia artificial y c贸digos de dispositivo generados din谩micamente.
Este 煤ltimo elemento representa un avance importante.
Los c贸digos de dispositivo tienen un periodo de validez limitado. Anteriormente, esto obligaba a los atacantes a convencer a sus v铆ctimas de actuar dentro de una ventana de tiempo relativamente corta.
Con la generaci贸n din谩mica de c贸digos, los ciberdelincuentes pueden crear uno nuevo cuando la v铆ctima llega a la etapa final del enga帽o. As铆 reducen los obst谩culos operativos y facilitan la ejecuci贸n de campa帽as a mayor escala.
La automatizaci贸n tambi茅n permite coordinar mejor los diferentes pasos del ataque, desde el primer mensaje hasta la obtenci贸n de acceso.
El correo electr贸nico es el punto de partida, pero no el final del ataque
Para que esta t茅cnica funcione, el atacante necesita una raz贸n convincente para que el empleado complete el proceso de autenticaci贸n.
Ah铆 es donde entra el correo electr贸nico.
Un mensaje sobre un archivo compartido, una factura pendiente, una solicitud de propuesta o un mensaje de voz puede generar suficiente confianza para que el usuario siga las instrucciones sin cuestionar su origen.
Algunas campa帽as utilizan enlaces directos. Otras recurren a archivos PDF o HTML y a m煤ltiples redirecciones mediante servicios en la nube leg铆timos o de buena reputaci贸n.
Esto dificulta la detecci贸n, porque analizar 煤nicamente el dominio de destino puede dejar fuera informaci贸n importante sobre el recorrido que llev贸 al usuario hasta la p谩gina de inicio de sesi贸n.
Pero el riesgo no termina cuando el atacante consigue autenticarse.
Una cuenta comprometida puede convertirse en un punto de entrada para explorar aplicaciones conectadas, consultar informaci贸n confidencial, suplantar la identidad del empleado o intentar avanzar hacia otros recursos de la organizaci贸n.
Por eso, los equipos de seguridad necesitan observar lo que ocurre antes, durante y despu茅s de la autenticaci贸n.
Entre las se帽ales que conviene investigar se encuentran:
- 驴Qui茅n envi贸 el mensaje original y qu茅 contexto utiliz贸 para generar confianza?
- 驴Qu茅 enlaces, archivos adjuntos y redirecciones llevaron al empleado hasta la p谩gina de inicio de sesi贸n?
- 驴Qu茅 aplicaci贸n o dispositivo se estaba solicitando autorizar?
- 驴La actividad posterior corresponde al comportamiento habitual del usuario?
- 驴A qu茅 aplicaciones, recursos o informaci贸n accedi贸 la cuenta?
- 驴Aparecieron nuevas reglas en el correo, permisos de aplicaciones o registros de dispositivos inesperados?
Conectar las se帽ales del correo electr贸nico, la identidad, las aplicaciones en la nube y los dispositivos permite comprender mejor el alcance de una posible vulneraci贸n y responder antes de que una cuenta comprometida se convierta en un incidente de mayor impacto.
驴C贸mo puede una organizaci贸n reducir este riesgo?
La protecci贸n frente al phishing mediante c贸digo de dispositivo requiere una estrategia que vaya m谩s all谩 del filtrado de correos o de la implementaci贸n de MFA.
Las organizaciones deben considerar medidas espec铆ficas en sus sistemas de identidad, pol铆ticas de acceso y herramientas de detecci贸n.
- Bloquear la autenticaci贸n mediante c贸digo de dispositivo cuando no sea necesaria.
Si la organizaci贸n no tiene una necesidad empresarial leg铆tima para utilizar este mecanismo, deshabilitarlo ayuda a reducir la superficie de ataque.
- Restringir su utilizaci贸n cuando sea indispensable.
Las pol铆ticas de acceso condicional permiten establecer controles sobre cu谩ndo y bajo qu茅 circunstancias puede utilizarse este flujo de autenticaci贸n.
- Implementar autenticaci贸n resistente al phishing.
Las claves de seguridad y las credenciales FIDO2 ofrecen una protecci贸n m谩s s贸lida frente a t茅cnicas de phishing y robo de credenciales.
- Capacitar a los empleados para verificar lo que autorizan.
No basta con revisar la direcci贸n del sitio web. Los usuarios deben aprender a identificar qu茅 aplicaci贸n y dispositivo est谩n solicitando la autorizaci贸n, y cuestionar cualquier proceso que no hayan iniciado.
- Supervisar los eventos de autenticaci贸n y la actividad posterior.
Es importante detectar inicios de sesi贸n inusuales mediante c贸digos de dispositivo, actividad sospechosa de tokens, registros inesperados de dispositivos, accesos an贸malos a Microsoft Graph y nuevas reglas de bandeja de entrada.
- Actuar r谩pidamente ante una posible intrusi贸n.
Cuando se identifica actividad maliciosa, los equipos de seguridad deben revocar los tokens de actualizaci贸n y aplicar las medidas de contenci贸n correspondientes para impedir que el atacante conserve el acceso.
- Analizar el recorrido completo del correo electr贸nico.
Evaluar al remitente, el contexto del mensaje, los archivos adjuntos, las redirecciones y la solicitud de autenticaci贸n permite identificar se帽ales que podr铆an pasar desapercibidas al revisar 煤nicamente la p谩gina de destino.
Una p谩gina leg铆tima no garantiza un acceso seguro
El phishing mediante c贸digo de dispositivo demuestra que los atacantes pueden aprovechar los mecanismos de confianza de una organizaci贸n para conseguir acceso sin recurrir a las t茅cnicas tradicionales de robo de contrase帽as.
La p谩gina puede ser aut茅ntica. La autenticaci贸n multifactor puede completarse correctamente. Incluso el sistema puede aprobar la solicitud sin detectar anomal铆as evidentes.
Sin embargo, el usuario podr铆a haber autorizado una sesi贸n iniciada por un tercero.
El verdadero desaf铆o para los equipos de ciberseguridad consiste en comprender el contexto completo de cada autenticaci贸n: qui茅n la inici贸, qu茅 est谩 autorizando el usuario y si la actividad posterior corresponde a su comportamiento habitual.
En un entorno donde los ataques evolucionan constantemente, proteger una organizaci贸n exige conectar las se帽ales del correo electr贸nico, la identidad, las aplicaciones y los dispositivos.
Porque hoy no basta con comprobar que una p谩gina sea real. Tambi茅n hay que asegurarse de que quien solicita el acceso tenga derecho a obtenerlo.
