En 2026, la ciberseguridad dio un giro significativo: los ataques que antes se centraban en robar contraseñas evolucionaron hacia un enfoque de permisos y consentimiento. Un informe de Check Point desvela una campaña de phishing que, operando entre finales de junio y julio, llevó a miles de usuarios a una página de inicio de sesión real de Microsoft, pero no para capturar contraseñas: sino para obtener un consentimiento que otorgaba a un atacante el control sobre correos, archivos, Teams, SharePoint, OneDrive y calendarios sin depender de la MFA.

La táctica clave fue disfrazar un aviso de Teams procedente de fuentes fiables con una destinación auténtica. En lugar de sustraer contraseñas, los atacantes presentaron a la víctima una solicitud de permisos para una aplicación controlada por el atacante. Al aceptar, el usuario otorgaba permisos que facilitaban un acceso persistente, incluso si la organización tenía MFA activada.

Según el análisis de Check Point, la campaña utilizó redes de correos electrónicos que imitaban notificaciones de Planner y mensajes de HR, con remitentes que parecían pertenecer a la propia organización. Aunque el enlace conducía a una URL de autorización OAuth real en login.microsoftonline.com, la redirección final canalizaba el código de autorización hacia un punto de control del atacante (un punto de AWS API Gateway), permitiendo intercambiarlo por acceso.

Este método se aparta de la mentalidad tradicional de “seguridad en la página” y demuestra una verdad cada vez más relevante: la seguridad no es solo la protección de credenciales, sino la gestión de permisos y confianzas. El consentimiento obtenido se traduzca en un acceso a datos y servicios sin necesidad de vulnerar contraseñas ni depender de MFA para cada intento de intrusión.

El fenómeno también evidencia una mercantilización de la técnica en 2026: el consentimiento se compra y se alquila como servicio, lo que significa que la defensa no debe depender de la habilidad de los usuarios para identificar señales de phishing, sino de controles de confianza a nivel de sistema.

Recomendaciones prácticas para las organizaciones
– Limitar los permisos solicitados por las aplicaciones a nivel de administrador, reduciendo el alcance de cualquier consentimiento que las apps puedan obtener.
– Implementar controles de consentimiento a escala, revisando y aprobación de permisos de aplicaciones por parte de Entra/Microsoft a nivel organizativo, en lugar de depender de que el usuario detecte posibles abusos.
– Educar a los usuarios para que revisen no solo la legitimidad de la página de inicio de sesión, sino también los permisos que conceden durante el flujo de autenticación, cuestionando cada permiso mostrado y verificando el alcance de la aplicación solicitante.
– Fortalecer la gobernanza de aplicaciones y el inventario de permisos, con revisiones periódicas y cancelación de accesos de aplicaciones que ya no se usen.

El hallazgo subraya que, incluso con MFA y señales de confianza visibles, los ataques pueden triunfar al explotar el consentimiento permitido por el usuario. La defensa eficaz requiere medidas que limiten el alcance de las autorizaciones y una supervisión continua de las apps que acceden a recursos corporativos.

from Latest from TechRadar https://ift.tt/xZMkiIm
via IFTTT IA