Las passkeys se han convertido en el nuevo señuelo del phishing: tras acceder, los ciberdelincuentes instalan su propio factor de autenticación (MFA)

Las claves de acceso passkey se idearon como una cura contra el phishing, pero los atacantes han encontrado otra función para la tecnología. Ahora basta con llamar a un empleado en nombre del servicio de TI, anunciar una configuración urgente de passkey o MFA y guiar a la víctima por un procedimiento tras el cual la cuenta corporativa de Microsoft queda bajo control de los atacantes.

El escenario comienza con una llamada o un mensaje al teléfono personal del empleado. Un falso especialista de soporte técnico advierte sobre posibles problemas de acceso y propone actualizar urgentemente el passkey, la autenticación multifactor o el SSO. A continuación llega un enlace a una página casi indistinguible del formulario de inicio de sesión de Microsoft. Los delincuentes estudian de antemano la estructura de la empresa y crean direcciones con su nombre para que el portal parezca más familiar.

La configuración del passkey a menudo sirve solo como una coartada convincente. La víctima es guiada mediante phishing AiTM o la autorización por código de dispositivo. En el primer caso, los delincuentes interceptan las credenciales y los tokens de sesión; en el segundo, el empleado introduce el código en la página legítima de Microsoft y permite el acceso al cliente de los atacantes. Tras esa confirmación, la MFA estándar ya no impide el uso de la sesión obtenida.

Una vez afianzados en la cuenta, los atacantes intentan convertir rápidamente el acceso temporal en permanente. Añaden a la cuenta su propio número de teléfono, una aplicación autenticadora o un token OTP de software. El nuevo factor permite pasar verificaciones posteriores sin la participación del titular de la cuenta, hasta que los administradores revoquen las sesiones activas y eliminen el método de autenticación ajeno.

Luego comienza la recopilación automatizada de información a través de Microsoft Graph. Los atacantes enumeran usuarios, grupos, roles, permisos y aplicaciones disponibles, estudian los métodos de autenticación y después pasan a SharePoint, OneDrive y Exchange. Microsoft observó un acceso programático masivo a archivos, buzones y adjuntos; además, las distintas fases del ataque pudieron realizarse desde diferentes direcciones IP y proxies, lo que complica reconstruir la cadena completa.

En algunos casos, los primeros minutos tras el compromiso ya abrían acceso al catálogo de aplicaciones, al perfil del usuario y a las interfaces de gestión de la cuenta. Después seguían las consultas a documentos corporativos y al correo. Si el empleado abría el enlace de phishing en su teléfono personal sin Microsoft Defender for Endpoint, los defensores podían quedarse casi sin telemetría sobre la fase inicial. A veces, el primer indicio era solo el relato del empleado sobre una llamada o un SMS extraño.

Microsoft observa la campaña al menos desde mayo de 2026. La corporación relaciona estas operaciones con varios grupos, incluidos Storm-3121 y Storm-3032. El primero proporciona el acceso inicial para operaciones de extorsión de ShinyHunters y Falcon, y Storm-3032 agrupa a participantes que se separaron de BlackFile y operan bajo la marca Helix.

Para protegerse, Microsoft aconseja no vigilar direcciones IP sospechosas aisladas, sino la secuencia de eventos: un inicio de sesión inusual, el registro de un nuevo método MFA, la recopilación activa mediante Graph y una actividad anómala con archivos o correo. La empresa también recomienda limitar el registro de métodos de autenticación mediante políticas de Conditional Access, exigir dispositivos gestionados, desactivar la autorización por código de dispositivo donde no sea necesaria y aplicar métodos resistentes al phishing como FIDO2, passkey o Windows Hello for Business.

Una mecánica similar ya la empleó BlackFile: los operadores llamaban a los empleados haciéndose pasar por el servicio de TI, hablaban sobre la transición a passkey o la actualización de MFA, y tras tomar la cuenta añadían su propio dispositivo y pasaban a los datos de Microsoft 365, Salesforce y Zendesk.

Otra variante de ataque la mostró el servicio EvilTokens, construido alrededor de OAuth 2.0 Device Code. El usuario introduce el código en la página legítima de Microsoft, pero en realidad confirma una sesión ajena, tras lo cual los delincuentes obtienen un token de acceso y pueden operar con la cuenta corporativa sin volver a introducir la contraseña.

Ni siquiera las propias claves de acceso resuelven el problema por completo. En agosto, especialistas mostraron la técnica Pass-ta-key, que explota características de la sincronización de passkey en Windows. La conclusión general de estos ataques es una: un método de acceso criptográficamente seguro no protege la cuenta si el atacante logra convencer al empleado de legitimar una sesión ajena o registrar un nuevo factor de acceso.