Las campañas de phishing dirigidas a usuarios de Microsoft 365 son cada vez más difíciles de detectar, ya que los atacantes dependen cada vez más de la infraestructura legítima de autenticación de Microsoft en lugar de páginas de inicio de sesión falsas. Según new research from Check Point , el cambio permite a los actores maliciosos aprovechar la confianza que los usuarios depositan en los servicios de Microsoft mientras evitan muchos de los indicadores tradicionalmente asociados a los sitios web de phishing.
En lugar de intentar robar nombres de usuario y contraseñas a través de páginas falsas de inicio de sesión, las campañas observadas abusan del proceso de autenticación por código de dispositivos de Microsoft, una función diseñada para dispositivos que no pueden mostrar fácilmente una interfaz de inicio de sesión completa ni aceptar entradas complejas de usuarios. Como las víctimas son dirigidas a dominios auténticos de Microsoft durante el proceso de inicio de sesión, es menos probable que cuestionen la solicitud, y los controles de seguridad que dependen de identificar sitios fraudulentos pueden tener menos oportunidades de intervenir.
Check Point descubrió que los atacantes contactan primero con posibles víctimas mediante correos electrónicos de phishing diseñados para parecer comunicaciones empresariales legítimas. En lugar de pedir a los destinatarios que verifiquen una cuenta o restablezcan una contraseña, los mensajes les animan a completar lo que parece ser un paso rutinario de autenticación. Se indica a la víctima que introduzca un código del dispositivo a través del portal genuino de inicio de sesión de Microsoft, autorizando sin saberlo una sesión iniciada por el atacante en lugar de una asociada a su propio dispositivo.
Una vez concedida la aprobación, el atacante puede obtener tokens de autenticación que proporcionan acceso al entorno Microsoft 365 de la víctima sin necesidad de la contraseña de la cuenta. Dependiendo de los permisos concedidos y la configuración de la cuenta, este acceso puede permitir al actor de amenazas ver correos electrónicos, interactuar con recursos en la nube y mantener el acceso hasta que los tokens emitidos expiren o sean revocados.
La investigación destaca cómo esta técnica difiere del phishing convencional. En lugar de frustrar la capacidad del usuario para reconocer un sitio web falso, los atacantes explotan una función legítima tal y como fue diseñada para funcionar, haciendo que el componente de ingeniería social del ataque sea mucho más importante que el engaño técnico. Como resultado, los usuarios pueden creer que están completando un inicio de sesión normal de Microsoft porque cada página que encuentran pertenece a Microsoft.
Según Check Point, el uso creciente de servicios en la nube de confianza en operaciones de phishing refleja una evolución más amplia en la ciberdelincuencia. A medida que las organizaciones mejoran su capacidad para detectar dominios suplantados y portales de inicio de sesión clonados, los atacantes se están desplazando cada vez más hacia el abuso de plataformas legítimas y flujos de trabajo de autenticación para lograr el mismo objetivo, reduciendo al mismo tiempo la probabilidad de ser detectados.
Los investigadores recomiendan que las organizaciones conciencian sobre el phishing por código de dispositivo entre los empleados y vigilen de cerca la actividad de autenticación ante autorizaciones inesperadas de dispositivos. Los usuarios deben ser cautelosos siempre que reciban solicitudes no solicitadas para introducir un código de dispositivo, incluso si la página de inicio de sesión está alojada en un dominio auténtico de Microsoft. Los equipos de seguridad también deberían revisar los eventos de autenticación basados en tokens e investigar actividades de autorización inusuales, ya que la ausencia de un sitio web falso ya no garantiza que una solicitud de inicio de sesión sea legítima.