Phishing con IA: nueva campaña sofisticada ataca Microsoft 365

En el dinámico ecosistema de la ciberseguridad, el año 2026 ha marcado un punto de inflexión donde la inteligencia artificial dejó de ser una herramienta de soporte para convertirse en el motor principal de operaciones ofensivas complejas. Una de las amenazas más sofisticadas detectadas hasta la fecha es la campaña de phishing con IA dirigida contra usuarios de Microsoft 365, la cual explota el flujo de autorización de dispositivos de OAuth 2.0 (RFC 8628). Este ataque, que ha evolucionado desde las tácticas iniciales del grupo Storm-2372, utiliza la orquestación acelerada por IA para eludir las defensas tradicionales y establecer una persistencia de largo plazo en entornos corporativos mediante el robo de Tokens de Actualización Primarios (PRT).

El Auge del Phishing con IA: Más Allá de la Ingeniería Social Convencional

El phishing con IA ha transformado el panorama del fraude digital al eliminar las barreras de entrada para ataques altamente personalizados. En esta campaña específica, identificada en abril de 2026, los atacantes no buscan simplemente engañar al usuario para que entregue su contraseña en un sitio web falso. En su lugar, el objetivo es la manipulación del flujo de autenticación legítimo de Microsoft. La sofisticación reside en cómo la Inteligencia Artificial Generativa (GenAI) se integra en cada etapa de la cadena de ataque, desde el reconocimiento inicial hasta la fase de post-explotación.

A diferencia de las campañas masivas y genéricas de años anteriores, este esquema utiliza modelos de lenguaje de gran tamaño (LLM) para analizar perfiles públicos y datos filtrados de las víctimas, generando señuelos hiper-personalizados. Estos correos electrónicos imitan a la perfección la comunicación interna de la empresa, utilizando temas como solicitudes de propuestas (RFP), facturas urgentes o notificaciones de flujos de trabajo de manufactura, lo que aumenta drásticamente la tasa de clics.

Anatomía Técnica del Ataque: Explotando el Flujo de Dispositivos OAuth 2.0

El núcleo de esta amenaza es el uso malintencionado del Device Authorization Grant, un protocolo diseñado originalmente para dispositivos que carecen de un navegador web o tienen interfaces de entrada limitadas, como televisores inteligentes, impresoras o consolas de videojuegos. El proceso legítimo funciona de la siguiente manera:

• El dispositivo solicita un código de autorización al servidor de identidad (Microsoft Entra ID).
• El servidor devuelve un “User Code” y una “Verification URI” (usualmente microsoft.com/devicelogin).
• El usuario ingresa el código en un navegador en otro dispositivo (como su laptop o móvil) y se autentica.
• Una vez autenticado, el dispositivo original recibe los tokens de acceso y actualización.

Los atacantes han convertido esta funcionalidad en una vía de acceso preferente. Al realizar un phishing con IA, el atacante engaña al usuario para que ingrese un código generado por ellos en el portal oficial de Microsoft. Debido a que la página de inicio de sesión es legítima y está bajo el dominio de Microsoft, las herramientas de seguridad basadas en reputación de dominio a menudo no detectan la anomalía.

La Innovación: Generación Dinámica de Códigos en Tiempo Real

Uno de los mayores obstáculos para los atacantes en el pasado era la ventana de expiración de 15 minutos del código de dispositivo de Microsoft. Si un usuario abría el correo de phishing después de ese tiempo, el ataque fallaba. Sin embargo, la campaña de 2026 utiliza una infraestructura de backend automatizada (frecuentemente alojada en plataformas como Railway.com o Vercel) que genera el código en el preciso instante en que el usuario hace clic en el enlace malicioso.

Esta orquestación mediante IA permite que el script de la página de aterrizaje inicie una solicitud POST al endpoint de Microsoft solo cuando detecta interacción humana real. De este modo, el cronómetro de 15 minutos comienza exactamente cuando la víctima está lista para ingresar el código, maximizando la efectividad del ataque y eludiendo los escaneos de seguridad automatizados que suelen activar los enlaces antes que el usuario.

Storm-2372 y el Kit de Phishing EvilTokens

Las investigaciones de seguridad vinculan estas tácticas con la evolución de Storm-2372, un actor de amenazas que ha servido de precursor para el actual modelo de “Phishing-as-a-Service” (PhaaS). El kit de herramientas identificado como EvilTokens ha emergido como el motor detrás de estos ataques a escala global. EvilTokens permite a los operadores, incluso con conocimientos técnicos limitados, desplegar campañas de phishing con IA que automatizan la inyección de códigos en el portapapeles del usuario y la gestión de sesiones concurrentes.

El uso de infraestructura efímera es otra característica clave. Los atacantes despliegan miles de nodos de sondeo (polling nodes) de corta duración utilizando Node.js. Estos nodos consultan constantemente el estado de la autenticación de la víctima. Debido a la velocidad y el volumen de estas solicitudes, las telemetrías estándar de los Centros de Operaciones de Seguridad (SOC) a menudo fallan al distinguir estas ráfagas de tráfico de la actividad normal de aplicaciones en la nube, ya que los atacantes utilizan proxies regionalmente coherentes con la ubicación de la víctima.

El “Santo Grial”: Robo de PRT y Persistencia mediante Graph API

El objetivo final de este phishing con IA no es solo el acceso temporal, sino la obtención de persistencia profunda. Cuando el usuario autoriza el “dispositivo” del atacante, este último recibe un Token de Actualización (Refresh Token). La verdadera sofisticación ocurre cuando los atacantes utilizan el ID de cliente del Microsoft Authentication Broker para registrar el dispositivo del atacante dentro de Microsoft Entra ID (anteriormente Azure AD).

Este proceso permite al atacante obtener un Primary Refresh Token (PRT). En el ecosistema de Microsoft, un PRT es un artefacto de autenticación extremadamente potente que suele incluir reclamos de Autenticación de Múltiples Factores (MFA). Con un PRT en su poder, el atacante puede:

1. Omitir futuras solicitudes de MFA, ya que el token indica que el dispositivo ya ha cumplido con los requisitos de seguridad.
2. Establecer una sesión de larga duración que no expira fácilmente, incluso si el usuario cambia su contraseña (en ciertas configuraciones).
3. Realizar movimientos laterales mediante el uso de Microsoft Graph API para extraer correos electrónicos, archivos en OneDrive y datos sensibles de Teams de forma automatizada.

Se ha observado que los atacantes utilizan la IA para realizar búsquedas semánticas dentro de los buzones comprometidos, identificando términos clave como “secretos”, “administrador”, “transferencia bancaria” o “credenciales”, facilitando una exfiltración de datos quirúrgica y altamente lucrativa.

Detección y Desafíos de Defensa en el Horizonte de 2026

La detección de esta variante de phishing con IA es excepcionalmente difícil porque no se basa en malware detectable por firmas ni en dominios sospechosos. La actividad ocurre en los endpoints oficiales de Microsoft. Por lo tanto, las organizaciones deben evolucionar sus estrategias de defensa hacia modelos basados en el comportamiento y el contexto de la identidad.

Los investigadores señalan que las líneas base de telemetría calibradas para el comportamiento humano (donde los ataques ocurren a un ritmo manual) están generando falsos negativos frente a la orquestación acelerada por IA. Mientras un humano podría tardar minutos en configurar una sesión tras obtener un token, los sistemas de phishing con IA lo hacen en milisegundos, registrando dispositivos y creando reglas de reenvío de correo antes de que el usuario siquiera cierre la pestaña del navegador.

Estrategias de Mitigación Recomendadas

Para combatir el phishing con IA que abusa del flujo de dispositivos, los administradores de TI deben considerar las siguientes medidas técnicas:

• Restricción del flujo de código de dispositivo: Deshabilitar el flujo de autorización de dispositivos en Microsoft Entra ID a menos que sea estrictamente necesario para hardware específico (como impresoras o pantallas).
• Políticas de Acceso Condicional: Implementar políticas que exijan que los dispositivos estén marcados como “Cumplidos” (Compliant) o unidos a un dominio híbrido antes de permitir la emisión de tokens mediante flujos de dispositivos.
• Monitoreo de la API de Graph: Configurar alertas para patrones inusuales de acceso a datos a través de Microsoft Graph, especialmente búsquedas de palabras clave relacionadas con seguridad o finanzas realizadas desde aplicaciones de terceros.
• Análisis de Riesgo de Sesión: Utilizar herramientas de protección de identidad que analicen el riesgo en tiempo real basándose en la ubicación geográfica imposible o el uso de proxies conocidos.

Conclusión: El Futuro de la Identidad bajo Asedio

La campaña de abril de 2026 es un recordatorio de que la identidad es el nuevo perímetro de seguridad. El phishing con IA ha demostrado que incluso los protocolos de autenticación más robustos, como OAuth 2.0, pueden ser convertidos en armas si su implementación permite el desacoplamiento de la sesión de autenticación del usuario original. En un mundo donde la IA puede automatizar el engaño y la persistencia a una escala sin precedentes, la resiliencia organizacional ya no depende de la educación del usuario final, sino de la capacidad técnica para validar continuamente cada paso de la ceremonia de autenticación.

Las empresas que ignoren la integración de la IA en el arsenal de los ciberdelincuentes se encontrarán defendiendo sus activos con herramientas de una era pasada, mientras los atacantes se mueven a la velocidad del silicio dentro de sus redes más íntimas.