Ciberdelincuentes se aprovechan de función oficial de Microsoft Authenticator para robar cuentas

Una reciente campaña de phishing ha puesto en evidencia cómo los ciberdelincuentes logran acceder a cuentas corporativas valiéndose de una función legítima del sistema de autenticación de Microsoft. .

Según datos de Kaspersky, el ataque se dirige principalmente a empleados de empresas, quienes pueden perder el acceso a sus correos, archivos de OneDrive y conversaciones internas de Teams sin que su contraseña haya sido vulnerada.

El ataque destaca por la sofisticación en el uso del OAuth 2.0 Device Authorization Grant, un mecanismo originalmente ideado para facilitar el inicio de sesión en dispositivos donde resulta difícil teclear una contraseña, como televisores inteligentes.

En este contexto, el usuario introduce un código generado en un dispositivo secundario para autorizar la sesión.

Los atacantes han invertido el proceso, logrando que la propia víctima autorice el acceso del criminal.

Cómo funciona el ataque a través de Microsoft Authenticator El procedimiento comienza cuando la víctima recibe un correo electrónico que simula provenir de un bufete de abogados .

En el mensaje se adjunta un archivo PDF protegido con contraseña, lo que otorga una aparente legitimidad al intercambio.

Una vez abierto, el documento presenta una supuesta lista de archivos legales y dirige al usuario a un enlace para ampliarla información.

El vínculo incluido en el PDF redirige al empleado primero a una dirección legítima de Microsoft, pero con parámetros manipulados.

Esta táctica permite que, tras pasar por la infraestructura oficial, el usuario termine en una página que imita un portal de consulta de documentos legales.

Los ciberdelincuentes utilizan varios CAPTCHA para dificultar la detección automática por sistemas de seguridad.

Superados los filtros, la víctima se encuentra con una pantalla que muestra un código de un solo uso .

Este código ha sido previamente generado por los atacantes al iniciar sesión desde su propio dispositivo.

El usuario copia el código, que incluso puede transferirse automáticamente al portapapeles, y es dirigido a la página oficial de autenticación de Microsoft para introducirlo.