En el phishing AiTM, los atacantes despliegan un servidor proxy entre un usuario objetivo y el sitio web que el usuario desea visitar (es decir, el sitio que el atacante desea suplantar). Esta configuración permite al atacante robar e interceptar la contraseña y la cookie de sesión que demuestra su sesión actual y autenticada con el sitio web.

Aclara Microsoft que "como el phishing AiTM roba la cookie de sesión, el atacante se autentifica en una sesión en nombre del usuario, independientemente del método de inicio de sesión que utilice". En la siguiente imagen un ejemplo de "landing page" o página que es falsa donde un usuario puede introducir sus credenciales y los creadores del phishing pueden robar la información: 

Microsoft dice que para protegerse aún más de ataques similares, las organizaciones deberían considerar la posibilidad de complementar la AMF con políticas de acceso condicional, en las que las solicitudes de inicio de sesión se evalúan utilizando señales adicionales basadas en la identidad, como la pertenencia al usuario o al grupo, la información de la ubicación IP y el estado del dispositivo, entre otras.

El phishing AiTM no es nuevo, como detalla Microsoft, pero sí muy poco conocido. Hay que tener en cuenta que los servicios de web modernos están implementando una sesión con un usuario después de la autenticación para que el usuario no tenga que autenticarse en cada nueva página que visite. Esta funcionalidad de sesión se implementa a través de una cookie de sesión proporcionada por después de la autenticación inicial.

Cookie de Sesión

Una cookie de sesión almacena información sobre la sesión actual donde está un usuario. Por ejemplo, si en una tienda en línea colocas varios productos en el carrito, estos se guardarán hasta que se cierre la sesión. Durante la misma también se almacena otro tipo de información, como los datos de inicio de sesión o los formularios en línea ya cumplimentados. La cookie de sesión es una prueba para el servidor web de que el usuario ha sido autenticado y tiene una sesión en curso en el sitio web. En el phishing AiTM, un atacante intenta obtener la cookie de sesión de un usuario objetivo para poder saltarse todo el proceso de autenticación y luego poder actuar en su nombre.

Con esto, el atacante despliega un servidor web proxy y el portal de phishing que se muestra al usuario es visualmente idéntico al sitio web original. El atacante tampoco necesita elaborar su propio sitio de phishing como se hace en las campañas de phishing convencionales. La URL es la única diferencia visible entre el sitio de phishing y el real.