El auge del Phishing-as-a-Service (PhaaS) y la nueva amenaza de Greatness
La plataforma de ciberdelincuencia conocida como Greatness, un kit de Phishing-as-a-Service (PhaaS) comercialmente disponible, ha dado un salto cualitativo en sus capacidades. Recientemente, se ha detectado que ha incorporado soporte para el phishing de códigos de dispositivo, una técnica avanzada que abusa del flujo legítimo de autorización de dispositivos de OAuth 2.0 para evadir el doble factor de autenticación (MFA) y tomar el control total de cuentas corporativas.
Desde su aparición documentada en 2022, Greatness se ha especializado en atacar a usuarios empresariales de Microsoft 365. Sin embargo, su última actualización refleja una tendencia preocupante en el ecosistema del cibercrimen: la transición de simples recolectores de credenciales a ecosistemas de ataque integrados que pueden comprometer plataformas como iCloud, Yahoo y Google Workspace.
¿Qué es el phishing de códigos de dispositivo?
A diferencia del phishing tradicional, donde se engaña al usuario para que introduzca su contraseña en un sitio falso, el phishing de códigos de dispositivo es más sofisticado y difícil de detectar:
- Abuso de OAuth 2.0: Utiliza el flujo diseñado para dispositivos con capacidades de entrada limitadas (como Smart TVs o impresoras).
- Autenticidad aparente: El atacante induce a la víctima a visitar la página de inicio de sesión real del proveedor (por ejemplo, Microsoft).
- El engaño del código: Se le pide al usuario que introduzca un código proporcionado por el atacante. Al hacerlo, la víctima autoriza involuntariamente el acceso del atacante a su cuenta, generando un token de acceso que permite saltarse el MFA.
Como señalan expertos en ciberseguridad, esta técnica es «más limpia» para el atacante, ya que no requiere construir un sitio falso que pueda ser bloqueado por filtros de seguridad; el usuario está interactuando con la infraestructura legítima de Microsoft o Google.
Un modelo de negocio criminal profesionalizado
Greatness opera bajo un modelo de suscripción que ha subido de precio hasta los 289 dólares mensuales, lo que demuestra la alta demanda y efectividad de sus herramientas. Los suscriptores acceden a un panel de control profesional que incluye:
- Estadísticas detalladas de campañas y mapas de calor de víctimas.
- Plantillas de señuelo listas para usar (simulando correos de voz, archivos compartidos de OneDrive o códigos QR).
- Soporte técnico y gestión de licencias a través de bots de Telegram.
- Protección de cookies robadas mediante hashing para asegurar que solo el cliente que pagó por el ataque pueda utilizarlas.
Impacto en las empresas y tácticas de post-compromiso
Una vez que el atacante obtiene el token de acceso, la velocidad de ejecución es crítica. Se ha observado que los tokens robados se utilizan en cuestión de minutos para enumerar recursos de la organización a través de la API de Microsoft Graph, accediendo a correos en Outlook, chats de Teams, archivos en SharePoint y contactos.
Además, los atacantes suelen registrar nuevos dispositivos bajo el control de la organización para generar un Token de Actualización Primario (PRT), lo que les garantiza persistencia a largo plazo incluso si el usuario cambia su contraseña.
Recomendaciones de seguridad para organizaciones
Para protegerse contra esta evolución del phishing, desde Intedya recomendamos a los responsables de seguridad y directivos empresariales tomar las siguientes medidas:
- Bloqueo de flujos de autenticación específicos: Si su organización no requiere el flujo de autorización de dispositivos de OAuth, este debe ser deshabilitado globalmente mediante Políticas de Acceso Condicional (Conditional Access Policies).
- Adopción de MFA resistente al phishing: Migrar hacia métodos basados en FIDO2 o claves de seguridad físicas que no dependen de códigos introducidos manualmente.
- Auditoría de reglas de exclusión: Revisar periódicamente las listas de remitentes seguros. Los atacantes están explotando la confianza en proveedores como RingCentral para que sus correos maliciosos eviten los controles de seguridad.
- Formación continua: Educar a los empleados para que sospechen de cualquier solicitud inesperada de introducción de códigos, incluso si la página de inicio de sesión parece legítima.
La profesionalización de plataformas como Greatness subraya la necesidad de una defensa proactiva y técnica que vaya más allá de las soluciones de seguridad convencionales.
Fuentes
- The Hacker News — Greatness PhaaS Adds Device Code Phishing to Bypass MFA and Steal Tokens
https://thehackernews.com/2026/08/greatness-phaas-adds-device-code.html