Una nueva frontera en el phishing corporativo
El panorama de las amenazas cibernéticas continúa evolucionando con una sofisticación alarmante. Recientemente, investigadores de seguridad han identificado un nuevo toolkit de Phishing-as-a-Service (PhaaS) denominado iAuthFlow V2. Este kit, detectado inicialmente en foros de cibercrimen de habla rusa, representa un cambio de paradigma: ya no solo busca robar credenciales, sino garantizar un acceso persistente que sobrevive incluso a las medidas de recuperación estándar.
¿Qué es iAuthFlow V2?
iAuthFlow V2 es un marco de trabajo avanzado diseñado para comprometer cuentas de alto valor, como las de Google/Gmail. Con un precio de salida de aproximadamente 10.000 dólares, este toolkit se posiciona como una herramienta de élite para atacantes que buscan persistencia a largo plazo en las redes corporativas.
El mecanismo: El engaño del «segundo navegador»
A diferencia del phishing tradicional, donde el atacante simplemente captura lo que el usuario escribe, iAuthFlow V2 utiliza una técnica de relevo en tiempo real. El proceso funciona de la siguiente manera:
- Intercepción: La víctima llega a una página de phishing controlada por el atacante que imita perfectamente el portal de inicio de sesión legítimo.
- Espejo técnico: Mientras la víctima interactúa con la página, el toolkit mantiene un segundo entorno de navegador oculto en el servidor del atacante.
- Relé de autenticación: Todas las credenciales y respuestas de autenticación se envían al navegador del atacante, que a su vez las comunica al servicio real (por ejemplo, Google).
La trampa de las Passkeys: Persistencia invisible
Lo que hace que iAuthFlow V2 sea particularmente peligroso es su capacidad para registrar una Passkey (llave de acceso) controlada por el atacante durante el proceso de inicio de sesión de la víctima. Las Passkeys son métodos de autenticación modernos basados en criptografía que, irónicamente, fueron diseñados para eliminar las contraseñas y reducir el riesgo de phishing.
Sin embargo, en este ataque, el malware añade silenciosamente una Passkey propia al flujo de autenticación. Si la víctima completa el proceso con éxito, no solo habrá entregado su sesión actual, sino que habrá autorizado, sin saberlo, una nueva credencial permanente para el atacante.
¿Por qué el cambio de contraseña ya no es suficiente?
La respuesta estándar ante un compromiso de cuenta suele ser el restablecimiento de la contraseña y la revocación de sesiones activas. En un ataque convencional, esto expulsaría al intruso. Con iAuthFlow V2, estas medidas son insuficientes:
- La Passkey es una credencial registrada de forma independiente a la contraseña.
- Incluso si el usuario cambia su clave, el atacante puede volver a entrar seleccionando «Probar otro método» y utilizando la Passkey que registró previamente.
- La persistencia se mantiene hasta que el usuario revise manualmente los métodos de seguridad de su cuenta y elimine físicamente la llave de acceso desconocida.
Recomendaciones de seguridad para empresas
Desde la perspectiva de la gestión de riesgos y la ciberseguridad corporativa, es fundamental actualizar los protocolos de respuesta ante incidentes:
- Auditoría de métodos de acceso: Tras un incidente de phishing, no basta con cambiar la contraseña. Es obligatorio revisar la lista de dispositivos autorizados y, especialmente, las Passkeys o llaves de seguridad registradas.
- Formación avanzada: Capacitar a los empleados para identificar comportamientos inusuales durante el inicio de sesión, como solicitudes inesperadas para registrar nuevos métodos de seguridad.
- Implementación de MFA resistente al phishing: Fomentar el uso de hardware de seguridad (como llaves FIDO2) que dificultan este tipo de relevo de sesiones en tiempo real.
En Intedya, recordamos que la ciberseguridad no es un estado estático, sino un proceso de mejora continua. La aparición de herramientas como iAuthFlow V2 subraya la importancia de contar con sistemas de gestión de seguridad de la información robustos y actualizados según estándares internacionales como la ISO/IEC 27001.
Fuentes
- SecurityWeek — New Phishing Toolkit Uses Passkeys to Maintain Access After Password Resets
https://www.securityweek.com/new-phishing-toolkit-uses-passkeys-to-maintain-access-after-password-resets/