El FBI advierte sobre una técnica de phishing que puede dar a los atacantes acceso continuo a cuentas en línea sin requerir que roben contraseñas ni que anulen la autenticación multifactor.
Conocida como phishing por consentimiento OAuth, esta técnica abusa del proceso legítimo de autorización utilizado por servicios como Google y Microsoft para permitir que aplicaciones de terceros accedan a partes de la cuenta de un usuario. El FBI afirma que los atacantes han estado utilizando este enfoque desde finales de 2025, especialmente contra individuos destacados, sus familiares y conocidos personales.
En lugar de construir una página de inicio de sesión falsa convencional, un atacante primero crea una aplicación maliciosa y la registra con un proveedor legítimo de OAuth. La aplicación puede configurarse para solicitar permisos extensos, incluyendo potencialmente la capacidad de leer o modificar correos electrónicos y archivos.
La etapa de ingeniería social comienza cuando el atacante contacta con un objetivo, a veces mientras finge ser periodista, académico o representante de una organización reconocible. La víctima recibe un enlace presentado como acceso a un documento importante u otro contenido.
Seguir el enlace puede llevar al usuario a una página de autorización genuina gestionada por un proveedor de confianza como Google o Microsoft. Esto hace que el ataque sea más convincente porque la víctima puede reconocer el sitio web y ver un proceso de autenticación legítimo en lugar de una imitación evidente.
El paso crítico ocurre cuando la pantalla de autorización pide al usuario que apruebe permisos para la aplicación. Si la víctima acepta la solicitud, la aplicación maliciosa recibe un token de acceso que le permite interactuar con la cuenta según los permisos concedidos.
Dependiendo de esos permisos, los atacantes podrían acceder a información sensible, leer archivos o correos electrónicos y, potencialmente, enviar mensajes a través de la cuenta comprometida. Pueden obtener este acceso sin saber la contraseña de la víctima.
La persistencia de los permisos OAuth hace que la técnica resulte especialmente preocupante. Restablecer la contraseña de una cuenta comprometida no elimina necesariamente el acceso ya concedido a una aplicación autorizada. La autenticación multifactor tampoco resuelve el problema cuando el propietario de la cuenta aprueba personalmente la aplicación maliciosa.
Para eliminar completamente el acceso no autorizado, los permisos de la aplicación y el token de acceso asociado deben ser revocados mediante la configuración de seguridad de la cuenta.
El FBI recomienda tratar con cautela los enlaces inesperados y las solicitudes de autorización, especialmente cuando provienen de números de teléfono, cuentas o contactos desconocidos. Los usuarios deben confirmar de forma independiente la identidad de alguien que envía un documento inesperado y examinar cuidadosamente los permisos que solicita una aplicación antes de aprobarlos.
La campaña demuestra cómo los atacantes pueden explotar funciones legítimas de seguridad y autorización en lugar de atacarlas directamente. Una página de permisos conocida por Google o Microsoft no significa automáticamente que la aplicación que solicita acceso sea confiable.
Los usuarios que crean haber aprobado una aplicación sospechosa deben revisar las aplicaciones de terceros vinculadas a su cuenta y revocar el acceso a cualquier cosa que no reconozcan o que ya no utilicen.