Skyw4lker: una campaña de phishing por código de dispositivo apunta a cuentas Microsoft 365 en EE. UU.
Una campaña de phishing identificada como Skyw4lker está tomando el control de cuentas Microsoft 365 en organizaciones estadounidenses sin usar ni una sola página de inicio de sesión falsa. En lugar de robar una contraseña, los atacantes convencen a la víctima de completar un inicio de sesión real de Microsoft que el propio atacante ha iniciado. El resultado es un token de sesión válido, emitido por Microsoft, en manos de un delincuente.
Qué ocurrió
Skyw4lker se ha centrado en empresas de manufactura, tecnología y salud, en su mayoría de Estados Unidos. El señuelo está diseñado para parecer papeleo cotidiano: un documento protegido con contraseña presentado como un contrato, una propuesta de servicios o un acuerdo con un proveedor. En entornos donde el personal intercambia a diario órdenes de trabajo y documentos de compras, nada parece fuera de lo normal.
Al abrir el documento, la víctima es enviada a una página alojada en Google Sites, un servicio legítimo que rara vez activa los filtros web. Desde allí, la página la lleva a un flujo de autenticación real de Microsoft y le pide introducir un código corto para "permitir el acceso" al documento.
Ese código es la trampa. El atacante ya ha iniciado una solicitud de autorización por código de dispositivo ante Microsoft. Cuando la víctima escribe el código en la página real de Microsoft y aprueba el inicio de sesión, Microsoft emite los tokens de acceso y de actualización de la cuenta de la víctima a la sesión del atacante. No se escribe ninguna credencial en una página de phishing y, en muchas configuraciones, el requisito de MFA queda satisfecho por el camino.
Entre bastidores, el kit de phishing ejecuta JavaScript ofuscado y un backend en PHP. Crea una sesión por cada víctima, registra su dirección IP y geolocalización, y consulta el backend de forma repetida hasta que Microsoft confirma que el inicio de sesión se completó.
En las muestras analizadas hasta ahora, cerca de la mitad de los envíos procedían de Estados Unidos, seguidos de India, Canadá, Reino Unido y Filipinas.
Por qué importa
El phishing por código de dispositivo está pensado para organizaciones que ya han invertido en MFA y en seguridad de identidad. El ataque nunca necesita imitar la experiencia de inicio de sesión de Microsoft, porque el inicio de sesión es real. Lo que mostrarán los registros de identidad es una autenticación correcta y legítima, a menudo con MFA satisfecho, y nada en el propio evento la señala como maliciosa.
Por eso es difícil detectarlo solo con la telemetría de identidad. Reconstruir lo que pasó exige conectar el correo, el documento, la redirección por Google Sites, el flujo de autenticación y la infraestructura del atacante en una única línea de tiempo. La inspección estática del documento solo revela la URL de partida. El comportamiento malicioso aparece únicamente cuando la página se ejecuta en un navegador.
Para un proveedor sanitario o un fabricante, un buzón de Microsoft 365 comprometido puede exponer datos de pacientes, propiedad intelectual, comunicaciones con proveedores y el tipo de contexto interno que hace mucho más creíble un fraude de facturas posterior o un ataque de ransomware.
El phishing sigue siendo una de las categorías de delito en internet más denunciadas en Estados Unidos, y las pérdidas reportadas aumentan año tras año. Skyw4lker demuestra que la técnica evoluciona más rápido que la mayoría de los programas de concienciación.
Qué hacer
- Restringir el flujo por código de dispositivo. En Microsoft Entra ID, use una política de Conditional Access sobre flujos de autenticación para bloquear los inicios de sesión por device code a los usuarios que no los necesitan. La mayoría del personal de oficina nunca los necesita.
- Reforzar Conditional Access. Exija dispositivos conformes o unidos en modo híbrido para acceder a Microsoft 365 y limite los inicios de sesión desde países inesperados, de modo que un token obtenido por este flujo sea mucho menos útil.
- Buscar en los registros de inicio de sesión. Filtre los eventos de Entra por el protocolo de autenticación "Device Code" y revise cada coincidencia, sobre todo las seguidas de una ubicación nueva, reglas nuevas de buzón o consentimientos de aplicaciones.
- Revisar la telemetría web y de correo en busca de adjuntos "contrato" o "propuesta" protegidos con contraseña y de redirecciones a páginas de Google Sites que desembocan en un inicio de sesión de Microsoft.
- Responder rápido ante la sospecha. Revoque los tokens de actualización, restablezca la contraseña y revise las reglas de reenvío del buzón y las aplicaciones registradas de la cuenta afectada.
- Avisar a los usuarios de que Microsoft nunca les pedirá escribir un código en una página de inicio de sesión para abrir un documento. Una petición de código es una señal de alarma, no un trámite.
Brechas de configuración como un flujo de device code abierto o una cobertura incompleta de Conditional Access son justo lo que nuestro equipo de penetration testing busca al evaluar un tenant de Microsoft 365, para que una campaña como Skyw4lker encuentre una puerta cerrada y no un inicio de sesión abierto.