La evolución del phishing: Cuando la rutina se convierte en riesgo
En el panorama actual de la ciberseguridad, los atacantes ya no necesitan forzar las puertas digitales de una organización; ahora, simplemente esperan a que un empleado les invite a pasar. Una nueva clase de ataques denominados ClickFix y ConsentFix está demostrando que es posible comprometer una cuenta de Microsoft 365 en cuestión de segundos, incluso si la organización cuenta con medidas de autenticación multifactor (MFA).
Lo más alarmante de estas técnicas es que no explotan vulnerabilidades de software tradicionales, sino que se aprovechan de los hábitos automáticos que todos hemos desarrollado al navegar por internet: hacer clic en CAPTCHAs, aceptar cookies o seguir instrucciones rápidas para avanzar en un proceso.
¿Qué es ClickFix y cómo funciona?
El ataque ClickFix se basa en el engaño visual. La víctima llega a una página web maliciosa que muestra un mensaje de error falso o una verificación de seguridad (tipo CAPTCHA). Para «solucionar» el problema, se le pide al usuario que presione una secuencia de comandos en su teclado.
Sin saberlo, al seguir estas instrucciones, el usuario está pegando y ejecutando código malicioso directamente en su terminal (PowerShell), lo que permite al atacante tomar el control del dispositivo sin necesidad de atravesar un firewall. No hay un archivo infectado que descargar; es el propio usuario quien, engañado, ejecuta el ataque.
ConsentFix: El robo de sesiones OAuth
La variante más reciente y sofisticada es ConsentFix. Este método pone su objetivo en los flujos de consentimiento de OAuth de Microsoft 365, los mensajes de inicio de sesión a los que los usuarios están tan acostumbrados que apenas prestan atención.
El proceso suele ser el siguiente:
- El señuelo: Llega un correo de phishing, a menudo a través de plataformas legítimas como Dropbox o DocSend, lo que ayuda a evadir los filtros de seguridad.
- La acción: Se solicita al usuario que complete el inicio de sesión arrastrando un enlace específico hacia su navegador.
- El robo: Al realizar esta acción de «arrastrar y soltar», el usuario entrega involuntariamente sus tokens de acceso.
A diferencia del phishing tradicional, aquí no se roban contraseñas. El atacante obtiene el token de la sesión activa, lo que le permite entrar directamente en el correo electrónico y los servicios de Microsoft 365 de la víctima, saltándose por completo el segundo factor de autenticación (MFA).
La democratización del cibercrimen
Lo que hace que ConsentFix sea especialmente peligroso es su disponibilidad. Recientemente, se han detectado foros de ciberdelincuencia donde se comparten guías detalladas, código listo para usar y tutoriales en vídeo sobre cómo desplegar estos ataques. La barrera de entrada técnica ha caído drásticamente, permitiendo que atacantes con menos experiencia puedan ejecutar campañas altamente efectivas contra empresas de cualquier tamaño.
¿Cómo pueden protegerse las empresas?
Desde el punto de vista empresarial, la solución no puede depender exclusivamente de la formación de los empleados. Aunque la concienciación es vital, estos ataques están diseñados para parecer rutinarios. Por ello, es necesario implementar capas de defensa adicionales:
- Monitoreo de identidad: Implementar soluciones que detecten inicios de sesión desde ubicaciones inusuales o en momentos inesperados.
- Detección en el endpoint (EDR): Supervisar actividades inusuales de PowerShell que se originen en procesos de usuario comunes.
- Revisión de permisos OAuth: Auditar periódicamente qué aplicaciones de terceros tienen acceso a los datos de Microsoft 365 de la organización y revocar aquellas que no sean estrictamente necesarias.
En Intedya, recordamos que la ciberseguridad no es un estado estático, sino un proceso de adaptación continua. Entender cómo los atacantes manipulan los flujos de trabajo cotidianos es el primer paso para construir una infraestructura verdaderamente resiliente.
Fuentes
- Bleeping Computer — ConsentFix and ClickFix: How Microsoft 365 Accounts are Hijacked in 3 Seconds
https://www.bleepingcomputer.com/news/security/consentfix-and-clickfix-how-microsoft-365-accounts-are-hijacked-in-3-seconds/