Una campaña de phishing detectada por Kaspersky está aprovechando el sistema de autenticación de Microsoft para entrar a cuentas corporativas sin necesidad de conocer la contraseña de la víctima. El ataque utiliza un código legítimo de inicio de sesión para obtener acceso a información almacenada en Outlook, OneDrive y Microsoft Teams.

El hallazgo se suma a otras campañas identificadas por Kaspersky en las que los ciberdelincuentes han abusado de servicios legítimos como Google Tasks, Google Forms, Bubble y Amazon Simple Email Service para distribuir sus engaños y hacerlos parecer más confiables ante las víctimas.

Para realizar el ataque, los ciberdelincuentes abusaron de una función de Microsoft conocida como OAuth 2.0 Device Authorization Grant, también llamada flujo de código de dispositivo.

Esta función permite iniciar sesión en una cuenta de Microsoft desde dispositivos en los que escribir una contraseña puede ser difícil, como un televisor inteligente. En esos casos, el dispositivo muestra un código que el usuario debe ingresar desde un celular o computador para autorizar el acceso.

Los atacantes invirtieron este proceso: iniciaban una sesión desde su propio dispositivo y obtenían un código válido. Luego, mediante una página de phishing, convencían a la víctima de copiar ese código e ingresarlo en el sitio oficial de Microsoft. Cuando la persona completaba la autenticación, en realidad estaba autorizando el acceso solicitado por los ciberdelincuentes.

Para iniciar el engaño, las víctimas recibían un correo que aparentaba provenir de un bufete de abogados e incluía un archivo PDF protegido con contraseña. Después de abrirlo, encontraban una supuesta lista de documentos legales que solo podía consultarse mediante un enlace.

La página fraudulenta mostraba varios CAPTCHA, probablemente utilizados para evitar que herramientas automatizadas de seguridad detectaran la amenaza. Después de superar estas verificaciones, la víctima llegaba a una página que mostraba un código de un solo uso. Este código había sido generado previamente por los atacantes al iniciar el proceso de acceso desde su propio dispositivo.

Con este acceso, los atacantes podían leer y enviar correos desde el buzón de la víctima, descargar archivos almacenados en OneDrive y consultar conversaciones de Teams. Una cuenta comprometida también podía utilizarse para suplantar al empleado y enviar nuevos mensajes fraudulentos a compañeros, clientes o proveedores.