Grupos vinculados a ShinyHunters han vulnerado entornos de Salesforce sin explotar fallos técnicos, sino abusando de la confianza en conexiones OAuth. Utilizaron vishing a empleados, robo de tokens de proveedores externos y configuraciones incorrectas de acceso para invitados. Microsoft y Salesforce han lanzado nuevas herramientas de monitoreo y gobernanza para detectar este tráfico, que suele pasar desapercibido al imitar el uso legítimo de aplicaciones integradas.

Se ha descubierto un nuevo panel de phishing llamado ARToken, diseñado para que los ciberdelincuentes roben sesiones de inicio de sesión de Microsoft 365 sin necesidad de contraseñas. Esta herramienta abusa de una función legítima de inicio de sesión de Microsoft destinada a dispositivos sin teclado o navegador, engañando a las víctimas para que aprueben un acceso en nombre del atacante.

Investigadores advirtieron sobre un masivo ataque de password spray contra Azure CLI que comprometió 78 cuentas en 64 organizaciones. Los atacantes utilizaron el flujo obsoleto ROPC para evadir las políticas de acceso condicional y la autenticación de doble factor (MFA). Se recomienda a las empresas configurar correctamente sus políticas de MFA para todas las aplicaciones y usuarios para cerrar estas vulnerabilidades.

Se ha detectado una vulnerabilidad crítica de seguridad en la implementación de webview de Visual Studio Code. Este fallo permite que los atacantes roben tokens de OAuth de GitHub, otorgando acceso de lectura y escritura a repositorios privados, mediante un simple clic en un enlace malicioso. El error fue revelado públicamente el 2 de junio de 2026 por el investigador de seguridad Ammar Askar.

El texto advierte sobre el phishing de consentimiento OAuth, un ataque que permite a los hackers obtener tokens de acceso persistentes sin necesidad de contraseñas ni activar alertas de MFA. Esta vulnerabilidad ocurre porque los usuarios aceptan permisos de aplicaciones de forma instintiva, creando combinaciones tóxicas de acceso entre distintas herramientas SaaS. Para mitigarlo, se recomienda monitorear los tokens en tiempo real y utilizar plataformas de seguridad especializadas que gestionen estas identidades y permisos.

El FBI advirtió sobre Kali365, una plataforma de phishing que roba tokens de Microsoft OAuth para acceder a cuentas privilegiadas saltándose la autenticación multifactor (MFA). Mediante correos fraudulentos y el uso de IA, los atacantes engañan a las víctimas para registrar sus dispositivos o interceptar cookies de sesión. Para protegerse, se recomienda bloquear el flujo de códigos de dispositivo y las políticas de transferencia de autenticación.

El kit de phishing Tycoon2FA ha resurgido con nueva infraestructura y ahora utiliza ataques de "código de dispositivo" para secuestrar cuentas de Microsoft 365. El método engaña a las víctimas para que autoricen dispositivos maliciosos mediante URLs de seguimiento de Trustifi y páginas falsas de CAPTCHA. Para combatirlo, los expertos recomiendan deshabilitar el flujo de código de dispositivo de OAuth y monitorear estrictamente los registros de autenticación.

Vercel confirmó una brecha de seguridad tras un acceso no autorizado a sistemas internos, originado por la compromisión de una cuenta de Google Workspace de un empleado a través de una herramienta de IA de terceros (Context.ai). Los atacantes accedieron a variables de entorno no marcadas como sensibles, aunque no hay evidencia de filtración de datos cifrados. Vercel recomienda revisar y rotar variables de entorno, activar la función de variables sensibles y monitorear actividad sospechosa. La investigación sigue en curso.

El ‘device code phishing’ ha aumentado 37 veces en 2026 debido a kits que explotan el OAuth 2.0 Device Authorization Grant, permitiendo a atacantes robar access tokens y refresh tokens para secuestrar cuentas sin necesidad de contraseñas.

Los atacantes usan phishing con device code y vishing para comprometer cuentas de Microsoft Entra y Microsoft 365, abusando del flujo OAuth 2.0 con herramientas como SquarePhish2 (automatiza ataques) y Graphish (crea páginas falsas). El ataque engaña a víctimas para que ingresen códigos en microsoft.com/devicelogin, completando MFA sin robar credenciales, lo que permite acceso persistente a datos corporativos. Los equipos SOC no lo detectan fácilmente porque el tráfico es cifrado y usa dominios legítimos, requiriendo monitoreo de tokens OAuth y comportamiento anómalo.

Un nuevo ataque de phishing activo aprovecha el comportamiento legítimo de redirección de OAuth, lo que le permite eludir las defensas tradicionales de correo electrónico y navegador sin robar tokens. Según investigadores de Microsoft Defender, estas campañas se dirigen principalmente a organizaciones gubernamentales y del sector público, utilizando dominios de proveedores de identidad confiables para ocultar redirecciones maliciosas. 

Los actores de amenazas siempre buscan nuevas formas de abusar de plataformas confiables, y Microsoft Entra ID se está convirtiendo cada vez más en un objetivo mediante una técnica conocida como abuso de consentimiento OAuth. Un escenario de ataque recientemente documentado muestra cómo una aplicación de terceros maliciosa o con permisos excesivos —que se asemeja mucho a una herramienta confiable como ChatGPT— puede obtener acceso silenciosamente.

 

Una campaña de phishing en curso está atacando a usuarios de Microsoft 365 mediante el abuso de tokens OAuth para obtener acceso a largo plazo a datos corporativos. Esta campaña se centra en usuarios empresariales en Norteamérica y busca comprometer Outlook, Teams y OneDrive sin robar contraseñas directamente. 

Las aplicaciones web modernas introducen con frecuencia superficies de ataque imprevistas a través de funciones aparentemente inofensivas diseñadas para la participación del usuario, como suscripciones a boletines, formularios de contacto y restablecimientos de contraseña. Aunque las vulnerabilidades individuales puedan parecer manejables de forma aislada, los adversarios sofisticados cada vez más encadenan estos fallos menores para lograr compromisos devastadores. 

El panorama de la seguridad enfrentó un desafío significativo justo antes de finalizar el año con la aparición de ConsentFix, un ingenioso ataque basado en OAuth que explota flujos de autenticación legítimos para extraer códigos de autorización de sistemas Microsoft Entra. Este ataque representa una evolución de la técnica ClickFix, demostrando cómo los atacantes continúan perfeccionando sus métodos para comprometer la autenticación basada en la nube

Una campaña generalizada de phishing ha atacado casi 12.000 repositorios de GitHub con falsos problemas de "Alerta de Seguridad", engañando a los desarrolladores para que autoricen una aplicación OAuth maliciosa que otorga a los atacantes control total sobre sus cuentas y código.

Una debilidad en la funcionalidad de «Iniciar sesión con Google» en el sistema OAuth podría permitir a atacantes explotar dominios abandonados por startups extintas para acceder a datos confidenciales. Esta falla afecta a cuentas de antiguos empleados vinculadas a diversas plataformas de software como servicio (SaaS).

 

 El servicio de alojamiento GitHub reveló que descubrió evidencia de un adversario anónimo que aprovecha los tokens de usuario de OAuth robados para descargar datos privados de varias organizaciones sin autorización.

Un fallo de seguridad en la plataforma de Twitter OAuth estaba permitiendo a aplicaciones de terceros acceder a todos nuestros mensajes directos, incluso cuando la aplicación especificaba en sus permisos que no tenía acceso. La vulnerabilidad fue detectada y reportada por el investigador de seguridad, Terence Eden, quien ha recibido una recompensa Bug Bounty de Twitter de cerca de 3.000 dólares

Los problemas comenzaron cuando usuarios recibieron mensajes aparentemente inocuos y firmados por contactos conocidos invitándoles a editar un archivo en Google Docs. Tras pinchar en el enlace, el usuario era dirigido a una pantalla de autentificación de Google real y legítima que después les pedía continuar a a "Google Docs". Al aceptar esa petición, el usuario proporcionaba los permisos necesarios al phishing (una aplicación web identificada espuriamente como "Google Docs") para acceder a su dirección de correo electrónico y la libreta de contactos asociada, que se añaden a la lista de objetivos.