El kit de phishing Tycoon2FA ha resurgido con nueva infraestructura y ahora utiliza ataques de "código de dispositivo" para secuestrar cuentas de Microsoft 365. El método engaña a las víctimas para que autoricen dispositivos maliciosos mediante URLs de seguimiento de Trustifi y páginas falsas de CAPTCHA. Para combatirlo, los expertos recomiendan deshabilitar el flujo de código de dispositivo de OAuth y monitorear estrictamente los registros de autenticación.

Vercel confirmó una brecha de seguridad tras un acceso no autorizado a sistemas internos, originado por la compromisión de una cuenta de Google Workspace de un empleado a través de una herramienta de IA de terceros (Context.ai). Los atacantes accedieron a variables de entorno no marcadas como sensibles, aunque no hay evidencia de filtración de datos cifrados. Vercel recomienda revisar y rotar variables de entorno, activar la función de variables sensibles y monitorear actividad sospechosa. La investigación sigue en curso.

El ‘device code phishing’ ha aumentado 37 veces en 2026 debido a kits que explotan el OAuth 2.0 Device Authorization Grant, permitiendo a atacantes robar access tokens y refresh tokens para secuestrar cuentas sin necesidad de contraseñas.

Los atacantes usan phishing con device code y vishing para comprometer cuentas de Microsoft Entra y Microsoft 365, abusando del flujo OAuth 2.0 con herramientas como SquarePhish2 (automatiza ataques) y Graphish (crea páginas falsas). El ataque engaña a víctimas para que ingresen códigos en microsoft.com/devicelogin, completando MFA sin robar credenciales, lo que permite acceso persistente a datos corporativos. Los equipos SOC no lo detectan fácilmente porque el tráfico es cifrado y usa dominios legítimos, requiriendo monitoreo de tokens OAuth y comportamiento anómalo.

Un nuevo ataque de phishing activo aprovecha el comportamiento legítimo de redirección de OAuth, lo que le permite eludir las defensas tradicionales de correo electrónico y navegador sin robar tokens. Según investigadores de Microsoft Defender, estas campañas se dirigen principalmente a organizaciones gubernamentales y del sector público, utilizando dominios de proveedores de identidad confiables para ocultar redirecciones maliciosas. 

Los actores de amenazas siempre buscan nuevas formas de abusar de plataformas confiables, y Microsoft Entra ID se está convirtiendo cada vez más en un objetivo mediante una técnica conocida como abuso de consentimiento OAuth. Un escenario de ataque recientemente documentado muestra cómo una aplicación de terceros maliciosa o con permisos excesivos —que se asemeja mucho a una herramienta confiable como ChatGPT— puede obtener acceso silenciosamente.

 

Una campaña de phishing en curso está atacando a usuarios de Microsoft 365 mediante el abuso de tokens OAuth para obtener acceso a largo plazo a datos corporativos. Esta campaña se centra en usuarios empresariales en Norteamérica y busca comprometer Outlook, Teams y OneDrive sin robar contraseñas directamente. 

Las aplicaciones web modernas introducen con frecuencia superficies de ataque imprevistas a través de funciones aparentemente inofensivas diseñadas para la participación del usuario, como suscripciones a boletines, formularios de contacto y restablecimientos de contraseña. Aunque las vulnerabilidades individuales puedan parecer manejables de forma aislada, los adversarios sofisticados cada vez más encadenan estos fallos menores para lograr compromisos devastadores. 

El panorama de la seguridad enfrentó un desafío significativo justo antes de finalizar el año con la aparición de ConsentFix, un ingenioso ataque basado en OAuth que explota flujos de autenticación legítimos para extraer códigos de autorización de sistemas Microsoft Entra. Este ataque representa una evolución de la técnica ClickFix, demostrando cómo los atacantes continúan perfeccionando sus métodos para comprometer la autenticación basada en la nube

Una campaña generalizada de phishing ha atacado casi 12.000 repositorios de GitHub con falsos problemas de "Alerta de Seguridad", engañando a los desarrolladores para que autoricen una aplicación OAuth maliciosa que otorga a los atacantes control total sobre sus cuentas y código.

Una debilidad en la funcionalidad de «Iniciar sesión con Google» en el sistema OAuth podría permitir a atacantes explotar dominios abandonados por startups extintas para acceder a datos confidenciales. Esta falla afecta a cuentas de antiguos empleados vinculadas a diversas plataformas de software como servicio (SaaS).

 

 El servicio de alojamiento GitHub reveló que descubrió evidencia de un adversario anónimo que aprovecha los tokens de usuario de OAuth robados para descargar datos privados de varias organizaciones sin autorización.

Un fallo de seguridad en la plataforma de Twitter OAuth estaba permitiendo a aplicaciones de terceros acceder a todos nuestros mensajes directos, incluso cuando la aplicación especificaba en sus permisos que no tenía acceso. La vulnerabilidad fue detectada y reportada por el investigador de seguridad, Terence Eden, quien ha recibido una recompensa Bug Bounty de Twitter de cerca de 3.000 dólares

Los problemas comenzaron cuando usuarios recibieron mensajes aparentemente inocuos y firmados por contactos conocidos invitándoles a editar un archivo en Google Docs. Tras pinchar en el enlace, el usuario era dirigido a una pantalla de autentificación de Google real y legítima que después les pedía continuar a a "Google Docs". Al aceptar esa petición, el usuario proporcionaba los permisos necesarios al phishing (una aplicación web identificada espuriamente como "Google Docs") para acceder a su dirección de correo electrónico y la libreta de contactos asociada, que se añaden a la lista de objetivos.