Phishing de Consentimiento OAuth: Robo de Identidad Mediante Permisos de Aplicaciones
El phishing de consentimiento OAuth explota el marco de autenticación OAuth de confianza utilizado por Microsoft 365, Google Workspace y otras plataformas en la nube. En lugar de robar contraseñas directamente, los atacantes crean aplicaciones de terceros maliciosas que solicitan permisos amplios para acceder al correo electrónico, archivos, contactos y recursos en la nube. Cuando las víctimas hacen clic en "Permitir" o "Aceptar" en lo que parece ser una pantalla de inicio de sesión legítima, sin saberlo otorgan a la aplicación del atacante acceso persistente a sus cuentas, un acceso que elude la autenticación multifactor y permanece activo incluso después de cambios de contraseña. Este vector de ataque se ha disparado un 300% desde 2021 según el Informe de Defensa Digital de Microsoft, y el Centro de Quejas de Delitos por Internet del FBI ha vinculado más de $43 millones en pérdidas por compromiso de correo electrónico empresarial a ataques basados en OAuth en 2023. La técnica es particularmente peligrosa porque aprovecha la infraestructura de autenticación legítima, lo que dificulta la detección tanto para usuarios como para herramientas de seguridad tradicionales. A diferencia del robo de credenciales, el phishing de consentimiento OAuth no desencadena alertas de contraseña comprometida ni advertencias de inicio de sesión sospechoso. Los atacantes típicamente entregan estas solicitudes OAuth maliciosas a través de campañas de correo electrónico sofisticadas, invitaciones de colaboración falsas o sitios web comprometidos. La FTC reporta que el 68% de las víctimas son empleados de pequeñas y medianas empresas que reciben notificaciones falsas de SharePoint o invitaciones a reuniones de Teams. Las pérdidas financieras promedio alcanzan $3,000 para individuos, pero las organizaciones enfrentan costos sustancialmente más altos que promedian $47,000 por incidente cuando se incluyen exfiltración de datos, interrupción comercial y gastos de remediación.
Common Tactics
- • Los atacantes registran aplicaciones maliciosas con proveedores OAuth utilizando nombres que imitan servicios legítimos como "Actualización de Seguridad de Office365" o "Escáner de Google Drive" para parecer confiables durante la pantalla de consentimiento.
- • Los estafadores envían correos electrónicos de phishing que contienen enlaces a páginas de consentimiento OAuth, a menudo disfrazados como notificaciones de uso compartido de documentos, invitaciones a reuniones o alertas de seguridad urgentes que requieren acción inmediata.
- • Los criminales crean solicitudes de permisos que parecen mínimas pero que en realidad otorgan acceso extenso, solicitando permisos de "Leer tu correo electrónico" que incluyen acceso completo al buzón de correo y capacidades de reenvío de mensajes.
- • Los atacantes utilizan tácticas de presión de tiempo en sus señuelos, afirmando que las cuentas se bloquearán, los archivos se eliminarán o que documentos urgentes requieren revisión inmediata dentro de horas para eludir la consideración cuidadosa de las víctimas.
- • Las operaciones sofisticadas comprometer primero cuentas de empleados legítimos, luego envían enlaces de phishing OAuth desde direcciones de correo electrónico internas de confianza para aumentar las tasas de éxito dentro de las organizaciones.
- • Los estafadores mantienen acceso persistente solicitando permisos offline_access, permitiendo que sus aplicaciones maliciosas mantengan acceso a la cuenta indefinidamente sin requerir que la víctima se autentique nuevamente.
How to Identify
- La pantalla de consentimiento OAuth aparece después de hacer clic en un enlace en un correo electrónico inesperado, especialmente mensajes urgentes sobre documentos compartidos, actualizaciones de seguridad o verificación de cuenta que usted no solicitó.
- El nombre de la aplicación en la pantalla de consentimiento contiene términos genéricos, errores ortográficos o nombres sospechosos como "Lector de Correo Seguro" o "Visor de Documentos Pro" en lugar de marcas reconocibles.
- Las solicitudes de permisos incluyen acceso amplio como "Acceso de lectura y escritura a todos sus archivos", "Enviar correo electrónico en su nombre" o "Acceso a todos sus contactos" cuando la función indicada no requiere tales permisos extensos.
- La información del editor muestra "No verificado" o muestra un nombre de dominio sospechoso en lugar de un dominio oficial de la empresa (microsoft.com, google.com) o una insignia de editor verificado.
- La solicitud de consentimiento OAuth llega a través de una URL acortada (bit.ly, tinyurl) o una cadena de redirección desconocida en lugar de provenir directamente del dominio oficial de un servicio conocido.
- El tiempo es sospechoso: solicitudes de consentimiento apareciendo inmediatamente después de recibir correos electrónicos no solicitados sobre uso compartido de documentos, invitaciones de calendario o alertas de seguridad que crean urgencia artificial.
How to Protect Yourself
- Antes de hacer clic en "Aceptar" en cualquier pantalla de consentimiento OAuth, verifique que el editor de la aplicación esté verificado y que el dominio coincida con el sitio web oficial de la empresa; desplace el cursor sobre los enlaces y verifique el destino de URL actual.
- Revise cuidadosamente los permisos solicitados y rechace cualquier aplicación que solicite acceso más allá de lo necesario para su propósito declarado; un visor de documentos no debería necesitar permisos para enviar correo electrónico.
- Configure políticas organizacionales en las consolas de administración de Microsoft 365 o Google Workspace para restringir las instalaciones de aplicaciones OAuth a aplicaciones preaprobadas o requerir consentimiento del administrador para aplicaciones que soliciten permisos sensibles.
- Audite regularmente las aplicaciones conectadas en la configuración de su cuenta (Google: myaccount.google.com/permissions, Microsoft: account.microsoft.com/privacy) y revoque inmediatamente el acceso a aplicaciones desconocidas o no utilizadas.
- Habilite el registro mejorado y la supervisión de concesiones de consentimiento OAuth en entornos empresariales utilizando corredores de seguridad de acceso a la nube (CASB) o herramientas de seguridad integradas para detectar permisos de aplicación sospechosos.
- Implemente capacitación de conciencia de usuarios específicamente sobre phishing de consentimiento OAuth, enseñando a los empleados a reconocer solicitudes OAuth legítimas versus maliciosas y estableciendo protocolos claros para verificar la autenticidad de la aplicación antes de otorgar acceso.
Real-World Examples
Un gerente de marketing en una firma de consultoría mediana recibió un correo electrónico que aparentaba ser de la cuenta de Microsoft 365 de un colega con el asunto "Presupuesto Q4 - Necesita su Revisión URGENTEMENTE". Al hacer clic en el enlace de SharePoint, se abrió una pantalla de consentimiento OAuth para una aplicación llamada "Visor de Documentos de Office". Dentro de horas de otorgar acceso, la aplicación del atacante reenvió 2,847 correos electrónicos a una cuenta externa, incluyendo contratos de clientes que contenían detalles bancarios que se utilizaron para redirigir un pago de $28,000.
Una directora de recursos humanos recibió lo que aparentaba ser una invitación de Google Calendar para una reunión ejecutiva urgente. Al aceptar la invitación, se desencadenó una solicitud OAuth para una aplicación de calendario solicitando "acceso básico de calendario". La víctima lo aprobó sin notar los permisos adicionales para acceso a Gmail y Drive. Durante los siguientes tres días, el atacante exfiltró información personal de empleados incluyendo números de Seguro Social de 340 empleados antes de que se descubriera la violación durante una auditoría de seguridad rutinaria.
El propietario de una pequeña empresa hizo clic en un enlace en un correo electrónico que afirmaba que su cuenta de Dropbox tenía actividad sospechosa y requería verificación. La pantalla de consentimiento OAuth parecía legítima, con marca de Dropbox y solicitando "permisos de verificación de cuenta". Después de la aprobación, la aplicación maliciosa accedió al almacenamiento en la nube de la empresa, cifró archivos empresariales críticos y exigió un rescate de $4,500. Debido a que el acceso se otorgó a través de OAuth legítimo, la actividad de cifrado no desencadenó alertas de seguridad hasta que se produjo daño significativo.