Una campaña de phishing utiliza documentos PDF protegidos con contraseña y códigos legítimos de Microsoft para engañar a empleados y obtener acceso a correos, archivos y conversaciones de empresas.
Una nueva campaña de phishing está aprovechando una función legítima de autenticación de Microsoft para comprometer cuentas corporativas sin necesidad de conocer las contraseñas de las víctimas, alertó Kaspersky.
El ataque utiliza el flujo OAuth 2.0 Device Authorization Grant, conocido como código de dispositivo, diseñado originalmente para permitir el inicio de sesión en equipos donde resulta complicado introducir una contraseña. Los ciberdelincuentes invierten el proceso para conseguir que sea la propia víctima quien autorice una sesión iniciada por los atacantes.
El engaño comienza con un correo electrónico que aparenta proceder de un despacho de abogados y contiene un PDF protegido con contraseña. El documento muestra una supuesta lista de archivos legales y dirige al usuario hacia un enlace.
Aunque el vínculo inicialmente pasa por una dirección legítima de Microsoft, posteriormente redirige a una página falsa que imita un portal de consulta de documentos. Tras superar varios CAPTCHA, la víctima recibe un código generado previamente por los atacantes. Al copiarlo y pegarlo en el sitio oficial de Microsoft, aparentemente está completando un proceso normal de autenticación, pero en realidad está autorizando el acceso de los ciberdelincuentes.
Una vez obtenidos los tokens de sesión, los atacantes pueden ingresar a servicios asociados con la cuenta, como Outlook, OneDrive y Microsoft Teams. Esto les permite leer o enviar correos, descargar documentos y consultar conversaciones. Además, la cuenta comprometida puede utilizarse para suplantar al empleado y atacar a otros contactos.
Kaspersky recomienda no introducir códigos de autenticación cuando el usuario no haya iniciado personalmente el proceso, verificar por canales alternos los mensajes corporativos inesperados y revisar si el flujo de código de dispositivo es realmente necesario en las organizaciones.
El caso demuestra que incluso una página oficial de autenticación puede formar parte de un ataque cuando el usuario es manipulado para autorizar una sesión iniciada por un tercero.
