No hay página falsa. No hay formulario de contraseña. No hay ningún error ortográfico que delate el fraude. La víctima entra en la web auténtica de Microsoft, introduce un código real, y aun así el atacante termina con acceso completo a su cuenta de Microsoft 365. Esto no es un fallo de seguridad de Microsoft — es el funcionamiento exacto para el que el sistema fue diseñado, usado en la dirección equivocada.
Se llama EvilTokens, y representa el cambio más relevante en técnicas de phishing de los últimos años: en lugar de robar contraseñas, roba sesiones ya autenticadas.
🔍 ¿Dudas de un mensaje recibido?
Analiza remitentes, enlaces o archivos en tiempo real con nuestro scanner.
Cómo funciona el ataque paso a paso
EvilTokens abusa de un mecanismo legítimo de Microsoft llamado OAuth 2.0 Device Authorization Grant (también conocido como device code flow). Este sistema se diseñó originalmente para dispositivos sin teclado completo o navegador cómodo — una Smart TV, una consola, una herramienta de línea de comandos — donde el usuario inicia sesión introduciendo un código corto en otro dispositivo con navegador.
El ataque tiene esta secuencia:
1. Reconocimiento previo: Microsoft ha detectado que esta fase de preparación ocurre entre 10 y 15 días antes del ataque real, durante la cual los atacantes estudian a la víctima y preparan el cebo.
2. El cebo: La víctima recibe un email o mensaje disfrazado de factura, documento compartido, invitación de calendario o solicitud de acceso a SharePoint. El texto suele ser simple: "Verificar para ver" o "Firma requerida".
3. La página señuelo: Al hacer clic, la víctima llega a una página que imita una marca o servicio de confianza. Esa página solicita un código de dispositivo a Microsoft.
4. El código trampa: La página muestra a la víctima un código y la redirige a la web auténtica de Microsoft, microsoft.com/devicelogin. El código es válido solo 15 minutos — la urgencia temporal es parte del diseño del ataque.
5. La autorización fatal: La víctima introduce el código en la página real de Microsoft. El problema es que ese código no pertenece a su propia sesión, sino a la sesión que el atacante inició previamente. Sin saberlo, la víctima está autorizando el dispositivo del atacante, no el suyo.
6. La entrega de las llaves: Al ver una autenticación válida, Microsoft emite tokens de acceso y de refresco a la sesión abierta por el atacante. El atacante obtiene acceso completo a la cuenta sin haber visto nunca la contraseña.
Por qué este ataque es tan eficaz
EvilTokens elimina prácticamente todas las señales de alerta clásicas que la formación en ciberseguridad lleva años enseñando: no hay dominios mal escritos, no hay páginas de login falsificadas, no hay formulario sospechoso de contraseña. La página de inicio de sesión es real. Desde la perspectiva de la víctima, todo el proceso de autenticación parece funcionar exactamente como se espera.
El segundo factor de autenticación tampoco protege en este escenario. Los atacantes no necesitan ningún tipo de ingeniería técnica para vencer el 2FA — simplemente engañan a la víctima para que complete el proceso de verificación en su nombre. La víctima aprueba la sesión equivocada, y el 2FA hace exactamente lo que se le pide: autenticar.
Como resume un responsable de inteligencia de amenazas de Microsoft: el usuario está haciendo algo que se siente completamente normal. Nada en el proceso parece sospechoso ni se asemeja al robo de credenciales tradicional.
Phishing como producto: el modelo de negocio de EvilTokens
EvilTokens no es una campaña aislada de un grupo concreto. Es una plataforma de Phishing-as-a-Service (PhaaS) completa, comercializada a través de Telegram con un precio de 1.500 dólares más 500 dólares de mantenimiento mensual. Incluye infraestructura de ataque integral: cebos generados por inteligencia artificial, generación dinámica de códigos y automatización posterior al compromiso de la cuenta.
La inteligencia artificial ha cerrado la última brecha que limitaba este tipo de ataques: genera señuelos específicos según el rol de la víctima a velocidad de máquina, elimina la ventana de tiempo que antes restringía la viabilidad de los ataques de device code, y redacta emails de fraude por transferencia bancaria convincentes en el estilo de escritura de la propia víctima, minutos después de capturar el token.
El resultado es que cualquier persona con presupuesto, sin ninguna habilidad técnica, puede lanzar campañas de robo de sesión a escala industrial.
El cambio de paradigma: de contraseñas a identidad
Este tipo de ataque representa un cambio estructural en cómo pensar la seguridad de las cuentas. Durante años, la defensa se ha centrado en proteger la contraseña: gestores de contraseñas, autenticación multifactor, formación para detectar páginas de login falsas. EvilTokens esquiva completamente esa capa de defensa porque nunca necesita la contraseña — va directamente a la sesión ya autenticada.
Esto significa que "tenemos MFA activado" ya no es una respuesta completa a la pregunta de si una cuenta está protegida. La monitorización centrada en tokens y sesiones, y los métodos de autenticación resistentes a phishing, se vuelven imprescindibles frente a este tipo de amenaza.
Señales de alerta y qué hacer
Aunque el ataque está diseñado para parecer normal, existen señales que pueden alertar a un usuario formado:
- Solicitud inesperada de código de dispositivo: Si nadie te ha pedido iniciar sesión en un dispositivo nuevo (Smart TV, consola, herramienta de terminal) y de repente te encuentras introduciendo un código de verificación, detente.
- Urgencia temporal artificial: El código caduca en 15 minutos. Cualquier proceso de autenticación con presión de tiempo extrema merece sospecha.
- Contexto del email previo: Factura inesperada, documento que no solicitaste, invitación de calendario de alguien desconocido — el patrón clásico de phishing sigue siendo la puerta de entrada, aunque la técnica final sea distinta.
- Notifica a tu equipo de seguridad: Si recibiste una solicitud de código de dispositivo inesperada, informa de inmediato. Puede ser necesario revisar registros de inicio de sesión, revocar sesiones activas, invalidar tokens de refresco, eliminar reglas de bandeja de entrada maliciosas creadas por el atacante, y deshabilitar temporalmente la cuenta comprometida.
La lección de fondo
EvilTokens es un recordatorio de que los atacantes no siempre necesitan forzar la puerta principal ni robar la llave. A veces solo necesitan convencer a alguien de que la abra ellos mismos. Las recomendaciones clásicas de seguridad — "revisa el enlace", "busca errores ortográficos" — siguen siendo útiles, pero ya no son suficientes frente a ataques que abusan de procesos de autenticación legítimos en lugar de falsificarlos.
Si tu empresa ha detectado actividad de inicio de sesión sospechosa o sospechas que una cuenta ha sido comprometida mediante robo de sesión, Oscar Orts — perito informático judicial — puede analizar forense mente el incidente y emitir un informe pericial con validez legal para procedimientos judiciales o reclamaciones a aseguradoras.