En el mundo de la ciberseguridad, las técnicas de los atacantes evolucionan a un ritmo acelerado. Si bien el phishing ha existido desde siempre, durante este último año se ha consolidado una tendencia que vemos de manera recurrente en las alertas del SOC: la combinación del modelo Phishing-as-a-Service (PaaS) con técnicas avanzadas para evadir el doble factor de autenticación, conocidas popularmente como Sneaky 2FA.
Hoy analizaremos cómo funciona este vector de ataque, por qué los IOCs estáticos ya no son suficientes y qué debemos hacer desde el lado defensivo para mitigarlo.
¿Qué es el Phishing-as-a-Service (PaaS)?
En el pasado, para montar una campaña de phishing convincente, un ciberdelincuente necesitaba conocimientos avanzados de desarrollo web, administración de servidores y evasión de filtros. Hoy en día, lamentablemente, el modelo SaaS (Software-as-a-Service) también llegó al cibercrimen.
El Phishing-as-a-Service no es más que plataformas empaquetadas que se comercializan bajo un modelo de suscripción mensual o pago por uso. Un actor de amenaza sin grandes conocimientos técnicos simplemente paga una membresía y obtiene un kit listo para desplegar:
- Plantillas de correo que imitan casi a la perfección servicios legítimos.
- Páginas de aterrizaje (landing pages) prediseñadas.
- Infraestructura que gestiona la comunicación en tiempo real.
Al estar al alcance de cualquiera por una simple suscripción, la cantidad de correos de este tipo que llegan a las organizaciones se ha disparado considerablemente.
La anatomía del ataque: ¿Cómo funciona Sneaky 2FA?
El escenario típico comienza con un correo electrónico aparentemente legítimo que solicita al usuario iniciar sesión en su cuenta corporativa (por ejemplo, en servicios de Microsoft 365). Si el usuario no presta atención a la barra de direcciones (URL), caerá en el portal falso.
Sin embargo, a diferencia del phishing tradicional, robar el usuario y la contraseña ya no es el objetivo final.
El engaño del portal proxy (Adversary-in-the-Middle)
Estos kits no son páginas estáticas simples. En el fondo, actúan como un intermediario o proxy entre la víctima y el servicio real:
- Validación real: Si ingresas un usuario ficticio, la página te dirá que el usuario no existe. Esto ocurre porque la plataforma maliciosa realmente se está comunicando en segundo plano con los servidores oficiales de la empresa.
- Petición del 2FA: Al ingresar credenciales válidas, el sitio falso te solicitará el código de doble factor de autenticación (SMS, Push o Authenticator).
- El robo del verdadero tesoro: Una vez que el usuario aprueba el 2FA, el servidor legítimo genera una cookie de sesión. La plataforma del atacante intercepta esa cookie y la almacena.
Con esa cookie de sesión robada, el atacante no necesita volver a pedir la contraseña ni el código 2FA. Le basta con importar la cookie en su propio navegador para suplantar la identidad de la víctima y acceder a su cuenta como si fuera un usuario legítimo.
Nota: Si te encuentras investigando un enlace sospechoso, nunca ingreses credenciales reales o corporativas, ni siquiera para "probar si funciona". Utiliza siempre un entorno aislado (Sandbox / Workstation de análisis), una VPN dedicada y herramientas de inspección sin exposición de datos.
¿Por qué es tan difícil de detectar?
Quienes trabajamos en ciberseguridad a veces olvidamos que lo que para nosotros es un indicador obvio (como una URL sospechosa), para un usuario de otra área puede pasar totalmente desapercibido.
Además, los kits de Sneaky 2FA cambian constantemente de direcciones IP, dominios y servidores, haciendo que los Indicadores de Compromiso (IOCs) estáticos o firmas tradicionales queden obsoletos en cuestión de minutos.
Para un antivirus o un EDR tradicional, la actividad posterior al robo de la cookie parece tráfico web 100% legítimo, ya que no se descargó ningún malware ni ejecutable dañino en el equipo del usuario.
¿Cómo defendernos desde el Blue Team?
Dado que este ataque no se detiene con una simple firma de antivirus, la respuesta defensiva exige ir un paso más allá e implementar un enfoque multicapa:
- Analítica de comportamiento e inicio de sesión: Monitorear inicios de sesión anómalos. Por ejemplo: una sesión iniciada desde un país distinto al habitual minutos después de una conexión legítima, o cambios repentinos en la huella digital del navegador (User-Agent).
- Concientización y entrenamiento continuo: Los usuarios finales son la primera línea de defensa. Es crucial educarlos para que revisen siempre la URL antes de ingresar credenciales y desconfíen de avisos urgentes.
- Control de sesiones y expiración corta: Configurar políticas en el proveedor de identidad para requerir reautenticación periódica y reducir el tiempo de vida de las cookies de sesión.
- Implementación de 2FA resistente al Phishing: Migrar progresivamente de tokens OTP o notificaciones Push a esquemas basados en FIDO2 / Passkeys (como llaves de seguridad físicas), los cuales están vinculados criptográficamente al dominio real y previenen la interceptación por intermediarios.
¿Has detectado este tipo de correos o accesos anómalos en tu organización? ¿Qué medidas defensivas les han funcionado mejor? ¡Déjanos tu comentario abajo!
0 Comentarios