Kaspersky detectó una campaña de phishing que explota el sistema de autenticación de Microsoft sin necesidad de robar contraseñas. Modo: los atacantes generan un código legítimo mediante el flujo OAuth 2.0 y engañan a las víctimas para que lo ingresen en la página oficial de Microsoft, autorizando así el acceso a sus cuentas corporativas. El engaño comienza con un PDF protegido que redirige a un portal falso. Una vez dentro, los delincuentes acceden a correos, OneDrive y Teams, y pueden suplantar al empleado para extender el ataque. La lección: ni la autenticación multifactor es infalible cuando el usuario es manipulado.
El truco que convierte a Microsoft Authenticator en una puerta giratoria para ciberdelincuentes
Una campaña de phishing usa códigos legítimos de Microsoft para robar cuentas corporativas sin contraseñas, exponiendo correos, archivos y conversaciones de Teams en un ataque que burla la autenticación multifactor.
(americasistemas.pe. Lima, Perú – 19 de agosto 2026) Cuando el código de confianza se vuelve un arma. Lo que parecía un correo rutinario de un bufete de abogados, con un PDF protegido por contraseña, se convirtió en el caballo de Troya perfecto. No había malware, ni enlaces sospechosos a simple vista. Solo un código numérico, una página oficial de Microsoft y una víctima que, sin saberlo, le entregaba las llaves de su cuenta corporativa a un atacante.
Kaspersky acaba de destapar una campaña de phishing que no roba contraseñas: las vuelve irrelevantes. Los ciberdelincuentes han encontrado una forma de abusar del propio sistema de autenticación de Microsoft, específicamente del flujo OAuth 2.0 Device Authorization Grant, una funcionalidad diseñada para facilitar el inicio de sesión en dispositivos sin teclado, como televisores inteligentes.
El mecanismo: un espejismo de legitimidad
El ataque es quirúrgico. Los delincuentes inician sesión desde su propio equipo y obtienen un código de acceso válido. Luego, mediante un correo phishing que simula ser un estudio legal, envían un PDF con contraseña. Al abrirlo, la víctima encuentra un enlace que la redirige, a través de una URL legítima de Microsoft, a una página fraudulenta que imita un portal de consulta de documentos legales.
Allí, tras superar varios CAPTCHA —diseñados para eludir sistemas de seguridad automatizados—, la víctima ve un código de un solo uso. Ese código ya había sido generado por los atacantes. Al copiarlo y pegarlo en la página oficial de Microsoft, la persona completa la autenticación multifactor… pero no para su propio dispositivo, sino para el del ciberdelincuente.
“Lo más preocupante es que convierte la confianza del usuario en las plataformas oficiales en una ventaja para los atacantes”, advierte Leandro Cuozzo, investigadora de seguridad senior de Kaspersky para América Latina.
El alcance del daño: más que un robo de información
Una vez que el atacante obtiene los tokens de sesión, el acceso es total y silencioso. Puede leer y enviar correos desde Outlook, descargar archivos de OneDrive y espiar conversaciones de Teams. Pero el peligro no termina ahí: la cuenta comprometida se convierte en un vector de propagación. El empleado suplantado puede enviar mensajes fraudulentos a colegas, clientes o proveedores, abriendo la puerta a un ataque de mayor escala contra toda la organización.
Este caso revela una verdad incómoda: una autenticación correctamente completada no garantiza un acceso seguro. La ingeniería social ha encontrado un aliado perfecto en la propia infraestructura de confianza.
Lecciones y defensas
Para frenar esta amenaza, Kaspersky recomienda:
– Desconfiar de cualquier solicitud inesperada que incluya códigos de acceso, incluso si proviene de una página oficial.
– Verificar por canales alternativos cualquier comunicación legal o corporativa que exija abrir archivos protegidos o acceder a enlaces.
– Evaluar si el flujo de código de dispositivo es realmente necesario en la empresa; si no, deshabilitarlo y monitorear sesiones inusuales.
– Implementar soluciones de seguridad como Kaspersky Security for Mail Server y Kaspersky Premium, que detectan correos y enlaces maliciosos antes de que lleguen al usuario.
En un ecosistema donde la autenticación multifactor se promociona como un blindaje, esta campaña demuestra que el eslabón más débil sigue siendo el mismo: la decisión humana. Y los atacantes lo saben.
