Un informe reciente de la empresa de ciberseguridad Push Security reveló la detección de una campaña de ataques de phishing a gran escala que apunta a cuentas de empresas e instituciones. La campaña se basa en el envío de invitaciones falsas para asistir a eventos tecnológicos que llevan marcas destacadas como OpenAI, SpaceX y Anthropic, utilizando páginas de registro falsas meticulosamente diseñadas para robar credenciales y tokens de autenticación de cuentas de Microsoft y Google.
Los investigadores señalaron que los ataques utilizan plataformas de phishing como servicio sofisticadas e integradas, Kali365 y VoidProxy, para ejecutar ataques de autenticación de múltiples etapas. La plataforma Kali365 se especializa en atacar cuentas de Microsoft mediante ataques de códigos de dispositivo, mientras que la plataforma VoidProxy actúa como un intermediario de ataque que intercepta los inicios de sesión de Google y roba las cookies de sesión.
Mecanismo de ataque y explotación de marcas destacadas
La campaña atrae a las víctimas a través de enlaces de redirección de servicios confiables como los acortadores de URL de Google y Zapier, además de explotar la infraestructura de plataformas legítimas como GoTo Webinar y Zoom en etapas anteriores. Las páginas de registro falsas ofrecen premios tentadores, como otorgar a los participantes tres meses de servicio ChatGPT Pro o acciones ficticias de SpaceX a cambio de asistir a eventos especiales.
Antes de mostrar las páginas de registro, los sitios maliciosos utilizan la protección Cloudflare CAPTCHA para verificar la identidad de los visitantes y evitar que las plataformas de seguridad automatizadas inspeccionen los sitios. Cuando la víctima intenta registrarse a través de su cuenta de Microsoft, la página se comunica con la plataforma Kali365 para generar un token de autenticación de dispositivo, lo que permite a los atacantes acceder a las aplicaciones conectadas a servicios como Microsoft 365, Salesforce y Google Workspace sin necesidad de solicitar la contraseña directamente.
¿Qué cambia este ataque en la práctica?
El peligro de esta campaña radica en su capacidad para eludir completamente la autenticación de dos factores, ya sea capturando una sesión de autenticación ya activa o mediante el abuso del flujo de autorización de dispositivos OAuth 2.0. Al seleccionar la opción de Google, se abre una ventana emergente a través de la plataforma VoidProxy para actuar como intermediario que intercepta las credenciales, las respuestas de autenticación y las cookies de sesión.
Para protegerse de estas amenazas, las autoridades de seguridad recomiendan extremar la precaución ante las invitaciones a eventos que requieran iniciar sesión con cuentas de trabajo a cambio de recompensas, evitar la introducción de códigos de autenticación de dispositivos provenientes de sitios desconocidos, además de restringir la autenticación mediante códigos de dispositivo en entornos donde no sea necesaria y adoptar llaves de seguridad FIDO2 resistentes al phishing.