Una campaña de phishing en curso está atacando a usuarios de Microsoft 365 mediante el abuso de tokens OAuth para obtener acceso a largo plazo a datos corporativos. Esta campaña se centra en usuarios empresariales en Norteamérica y busca comprometer Outlook, Teams y OneDrive sin robar contraseñas directamente. 

Una campaña de phishing en curso está atacando a usuarios de Microsoft 365 mediante el abuso de tokens OAuth para obtener acceso a largo plazo a datos corporativos. Este ataque se centra en usuarios empresariales en Norteamérica y busca comprometer Outlook, Teams y OneDrive sin robar contraseñas directamente.

En lugar de atacar páginas de inicio de sesión con formularios falsos, los operadores engañan a las víctimas para que completen un proceso de autenticación real en el portal oficial de inicio de sesión de dispositivos de Microsoft, lo que hace que el ataque sea más difícil de detectar tanto para los usuarios como para herramientas básicas de seguridad.

Una vez exitosos, los atacantes pueden leer, enviar y gestionar correos electrónicos y archivos en silencio, representando un grave riesgo para las comunicaciones internas y documentos sensibles.

Los investigadores de KnowBe4 Threat Labs identificaron esta campaña a finales de 2025, rastreando cómo los atacantes combinaban correos de phishing realistas con el flujo de autorización de dispositivos OAuth 2.0 para eludir incluso contraseñas robustas y la autenticación multifactor (MFA).

Su análisis muestra que los actores de amenazas dependen en gran medida de la ingeniería social, usando temas como confirmaciones de pago, documentos relacionados con bonos y alertas de correo de voz para engañar a profesionales ocupados y hacer que actúen rápidamente.

Como la víctima completa el inicio de sesión en una página legítima de Microsoft, muchas personas creen que el proceso es seguro, aunque en realidad están concediendo acceso a una aplicación maliciosa controlada por los atacantes.

Flujo del ataque

Una vez que el usuario introduce el código de dispositivo proporcionado por el atacante en la página de inicio de sesión de dispositivos de Microsoft, la plataforma de identidad de Microsoft emite tokens de acceso y actualización OAuth válidos vinculados a la cuenta de la víctima, que el atacante captura en tiempo real.

Estos tokens permiten a los intrusos mantener acceso persistente, a menudo sin activar alertas obvias en los sistemas tradicionales de monitoreo centrados en credenciales.

Las organizaciones afectadas pueden observar acciones no autorizadas en buzones de correo, acceso a archivos y posible exfiltración de datos, todo realizado bajo lo que parece ser un contexto de usuario legítimo.

Este flujo de ataque ilustra la cadena completa del ataque, desde el señuelo inicial de phishing hasta el abuso del código de dispositivo, el robo de tokens y el acceso prolongado a la cuenta.

El núcleo de esta campaña es el mal uso del flujo de autorización de dispositivos OAuth, diseñado originalmente para dispositivos con opciones de entrada limitadas, pero que aquí se reutiliza para eludir las defensas normales.

Primero, el atacante registra una aplicación OAuth en Microsoft 365 y genera un código de dispositivo único vinculado a esa app.

Este código se incrusta luego en correos de phishing personalizados que dirigen a las víctimas a una página de aterrizaje controlada por el atacante, donde se les pide que introduzcan su correo electrónico y sigan "pasos de autenticación segura".

Después de que la víctima recibe instrucciones de visitar el portal legítimo microsoft.com/devicelogin e introducir el código proporcionado, los atacantes sondean continuamente el punto final de tokens e inmediatamente secuestran los tokens de acceso y actualización OAuth emitidos una vez que Microsoft aprueba la sesión.

Para reducir el riesgo, los equipos de seguridad deben bloquear dominios maliciosos conocidos y URLs de almacenamiento en la nube vinculados a esta campaña, revisar registros de correo en busca de direcciones de remitentes y patrones de asunto identificados, y auditar urgentemente las aplicaciones OAuth recientemente consentidas en busca de entradas sospechosas.

Cuando las necesidades empresariales lo permitan, los administradores deberían considerar deshabilitar por completo el flujo de código de dispositivo o restringirlo estrictamente mediante políticas de Acceso Condicional, además de revisar los registros de inicio de sesión de Azure AD en busca de actividad inusual relacionada con códigos de dispositivo y anomalías geográficas.

Estas medidas, combinadas con una concienciación continua de los usuarios sobre notificaciones urgentes de pago, comparticiones inesperadas de documentos y alertas de correo de voz, pueden ayudar a las organizaciones a detectar y contener intentos similares de robo de tokens OAuth antes de que causen daños más profundos.