El ‘device code phishing’ ha aumentado 37 veces en 2026 debido a kits que explotan el OAuth 2.0 Device Authorization Grant, permitiendo a atacantes robar access tokens y refresh tokens para secuestrar cuentas sin necesidad de contraseñas.

• El ‘device code phishing’ se ha multiplicado alrededor de 37 veces en 2026 impulsado por kits que automatizan el abuso del OAuth 2.0 Device Authorization Grant. El engaño permite a los atacantes obtener access tokens y, a menudo, refresh tokens, lo que facilita el secuestro de cuentas incluso sin robar contraseñas.

El aumento de campañas que explotan el inicio de sesión mediante código de dispositivo refleja un cambio importante en el phishing: ya no siempre se persigue la contraseña, sino la autorización y los tokens que sostienen una sesión moderna en servicios SaaS. Esta técnica se apoya en un mecanismo legítimo, el OAuth 2.0 Device Authorization Grant (conocido como Device Code Flow), pensado para situaciones en las que el dispositivo o la aplicación que solicita acceso no puede mostrar un navegador completo, como ciertas CLI, equipos con entrada limitada o flujos de incorporación en entornos corporativos.

El patrón del ataque es especialmente eficaz porque utiliza páginas reales del proveedor. La víctima recibe un mensaje (correo, chat o notificación) con una instrucción urgente y un código. El texto la guía para abrir un portal legítimo de ‘device login’ e introducir el user_code. En apariencia, el usuario está iniciando sesión ‘de forma segura’ en un sitio auténtico; el truco es que en realidad está autorizando una sesión iniciada por el atacante en un dispositivo o aplicación bajo su control. Una vez completada la autorización, el sistema emite access tokens para acceder a recursos, y si se solicita el permiso offline_access, también refresh tokens que permiten mantener el acceso y renovar la sesión sin pedir credenciales de nuevo.

Esa persistencia es una de las razones por las que el impacto puede ser mayor de lo que muchos esperan. En entornos como Microsoft Entra ID y Microsoft 365, la obtención de tokens puede traducirse en acceso inmediato a correo, archivos o aplicaciones internas, y el control puede sobrevivir a un cambio de contraseña si no se revocan sesiones y tokens de forma adecuada. Además, en la práctica, el flujo puede ‘parecer’ compatible con MFA a ojos del usuario, porque la interacción ocurre en un dominio legítimo y el paso de verificación no suena a phishing tradicional.

El crecimiento de aproximadamente 37,5x en páginas y kits relacionados con este tipo de fraude durante 2026 se ha visto impulsado por la industrialización del modelo: kits de phishing-as-a-service (PhaaS) como EvilTokens y otras familias con señuelos realistas orientados a SaaS. Se han identificado múltiples plantillas y variantes con temáticas habituales en empresas, incluyendo lures que imitan flujos de DocuSign, Adobe, SharePoint, Teams o Citrix ShareFile, además de nombres de kits como VENOM, SHAREFILE, CLURE, LINKID, AUTHOV, DOCUPOLL, FLOW_TOKEN, PAPRIKA, DCSTATUS y DOLCE. A esto se suma el uso de alojamiento en servicios cloud y plataformas de edge hosting para desplegar infraestructura con rapidez y rotación, incluyendo workers.dev, GitHub Pages, AWS S3, DigitalOcean y Microsoft PowerApps.

La defensa pasa por tratar el Device Code Flow como una capacidad de alto riesgo: bloquearlo o restringirlo donde no sea imprescindible, y hacerlo primero en modo auditoría (por ejemplo, report-only) para localizar dependencias legítimas antes de aplicar una prohibición completa. También es clave reforzar la detección en telemetría de autenticación: alertar cuando aparezcan eventos de inicio por device code en usuarios que no lo usan, cuando la IP o la geografía resulten anómalas, o cuando haya discrepancias entre la autorización del código y la actividad posterior. En caso de sospecha, la respuesta no debe limitarse a resetear contraseñas: conviene revocar sesiones activas y forzar la invalidación de refresh tokens cuando la plataforma lo permita, además de revisar consentimientos y accesos a aplicaciones que puedan facilitar nuevos abusos. Por último, la concienciación debe ser muy concreta: ningún usuario debería introducir un código de ‘device login’ recibido por correo o chat salvo en procesos internos verificados y documentados.

Más información

• BleepingComputer – Device code phishing attacks surge 37x as new kits spread online : https://www.bleepingcomputer.com/news/security/device-code-phishing-attacks-surge-37x-as-new-kits-spread-online/