Robo de sesiones y el fallo de los reseteos de contraseña

Durante décadas, los departamentos de ciberseguridad han confiado en un mantra operativo estándar: ante cualquier sospecha de compromiso o actividad anómala, la primera y más efectiva medida defensiva es forzar un restablecimiento masivo de contraseñas e imponer la autenticación de doble factor (2FA). Sin embargo, un detallado análisis de ciberseguridad publicado el 27 de julio de 2026 demuestra que este paradigma ha quedado obsoleto. Los ciberdelincuentes han cambiado drásticamente sus tácticas, desplazando su foco desde la captura directa de credenciales hacia el robo de sesiones activas, la interceptación de tokens OAuth y la manipulación de relaciones de confianza previamente establecidas. Esta evolución táctica permite a los atacantes evadir los controles de seguridad perimetrales y mantener una presencia persistente dentro de las redes corporativas, dejando inútiles las respuestas defensivas tradicionales.

La Anatomía del Robo de Sesiones: De la Suplantación de Contraseñas a los Tokens de OAuth

Para comprender la magnitud de esta amenaza, es fundamental diferenciar entre el robo de credenciales de entrada y la exfiltración de los artefactos generados tras la autenticación. Mientras que un ataque tradicional busca descifrar o interceptar la contraseña de un usuario, el robo de sesiones apunta al resultado del proceso de inicio de sesión: los tokens de acceso, los tokens de actualización (refresh tokens) y las cookies de autenticación que los navegadores y aplicaciones guardan para mantener la sesión abierta.

En los entornos modernos de nube e identidad federada (como Microsoft Entra ID o Google Workspace), cuando un usuario completa su autenticación, el proveedor de identidad (IdP) le otorga una serie de artefactos criptográficos. Estos actúan como “llaves al portador” (bearer tokens): cualquier entidad que posea el token puede presentarlo ante las aplicaciones SaaS o APIs corporativas y ser reconocida instantáneamente como el usuario legítimo, sin necesidad de introducir una contraseña ni resolver un desafío de autenticación multifactor (MFA) adicional.

Los métodos principales mediante los cuales los ciberdelincuentes obtienen estos artefactos incluyen:

• Software malicioso de exfiltración (InfoStealers): Malware especializado como RedLine, Lumma o Raccoon que extrae cookies de sesión y credenciales almacenadas en la caché de los navegadores web de los empleados.
• Phishing Adversary-in-the-Middle (AiTM): Plataformas automatizadas de Phishing-as-a-Service (PhaaS) como Tycoon2FA o Sneaky2FA que actúan como proxies entre la víctima y el servicio legítimo, capturando las cookies de sesión inmediatamente después de que el usuario resuelve su desafío MFA.
• Abuso de flujos OAuth y claves API: Extracción de tokens de actualización de larga duración (que pueden persistir hasta 90 días y autorrenovarse automáticamente) a través de aplicaciones de terceros maliciosas o sistemas comprometidos.

El resultado es que el atacante no irrumpe en el sistema rompiendo la puerta principal; entra caminando con una llave digital válida. Desde la perspectiva de las herramientas de detección de puntos finales (EDR) y los registros de acceso, la actividad del ciberdelincuente es indistinguible del comportamiento cotidiano del empleado legítimo.

Phishing de Código de Dispositivo (Device Code Flow): La Táctica Insidiosa de 2026

Dentro de este cambio de estrategia, la amenaza de mayor crecimiento en 2026 es el phishing basado en la concesión de autorización de código de dispositivo (Device Authorization Grant, definido en el estándar OAuth 2.0 RFC 8628). Este flujo fue diseñado originalmente para permitir la autenticación en dispositivos con interfaces de entrada limitadas, como televisores inteligentes, impresoras de red, consolas de comandos (CLI) o pantallas de salas de conferencias.

En una campaña típica de phishing de código de dispositivo, los atacantes aprovechan que esta función suele estar habilitada por defecto en las plataformas en la nube. El vector de ataque opera mediante la siguiente secuencia:

1. Generación del código: La infraestructura automatizada del atacante (utilizando kits PhaaS como EvilTokens, Kali365 o la suite DEBULL) solicita un código de dispositivo real al servidor de autenticación legítimo (por ejemplo, Microsoft Entra ID).
2. Engaño social avanzado: El atacante envía un mensaje de ingeniería social a la víctima (mediante correos de suplantación de proveedores, mensajes en Microsoft Teams o documentos compartidos en SharePoint) instándola a acceder a un enlace e ingresar un código específico.
3. Autenticación en la plataforma oficial: La víctima es dirigida a la página web real y legítima del proveedor (como microsoft.com/devicelogin). Al ingresar el código proporcionado y completar su propio proceso de autenticación e historial de MFA, el usuario cree estar desbloqueando un documento o servicio.
4. Emisión directa del token al atacante: Dado que el flujo de dispositivo asigna la sesión a quien inició la solicitud original, el proveedor de identidad entrega los tokens de acceso y de actualización (Access & Refresh Tokens) directamente al servidor del ciberdelincuente.

Esta metodología prescinde por completo de páginas de inicio de sesión falsas o dominios tipográficos engañosos. El usuario introduce sus datos e interactúa exclusivamente con la infraestructura auténtica del proveedor de la nube. Informes del sector señalan un incremento masivo en el uso de esta técnica durante el primer semestre de 2026, convirtiéndose en el método predilecto para el secuestro de identidades empresariales sin dejar rastros en las telemetrías tradicionales de robo de credenciales.

Por qué el Restablecimiento de Contraseñas Falla Frente al Robo de Sesiones

El problema central que enfrentan las arquitecturas defensivas actuales reside en la desincronización estructural entre la gestión de credenciales y la validez de los