Una campaña en curso apunta a figuras públicas y sus círculos cercanos mediante tokens de acceso persistente que no se invalidan con cambio de credenciales.
El FBI emitió el martes una alerta sobre una campaña de phishing activa que explota el protocolo OAuth para obtener acceso prolongado a cuentas de correo y almacenamiento en la nube sin necesidad de robar contraseñas. La agencia rastrea esta amenaza desde finales de 2025 y advierte que los atacantes logran eludir tanto las credenciales tradicionales como la autenticación multifactor mediante ingeniería social dirigida a personas prominentes, sus familiares y conocidos en aplicaciones de mensajería comercial. Los atacantes se hacen pasar por funcionarios gubernamentales, periodistas y personalidades públicas conocidas para convencer a las víctimas de que autoricen aplicaciones maliciosas registradas en servicios legítimos como Microsoft o Google.
Cómo funciona el ataque de consentimiento OAuth y por qué persiste tras cambiar la contraseña
El mecanismo central de esta campaña es el OAuth consent phishing, una técnica que abusa del protocolo OAuth — estándar ampliamente adoptado para autorizar acceso a aplicaciones y servicios mediante tokens en lugar de credenciales directas. Los atacantes envían enlaces maliciosos bajo el pretexto de revisar un borrador de artículo o documento, solicitando que la víctima autorice una aplicación aparentemente legítima. Si el usuario aprueba la solicitud, otorga permisos de alto nivel a una aplicación controlada por el atacante, que obtiene visibilidad completa sobre los permisos configurados en la cuenta: correos electrónicos, archivos y otros datos sensibles quedan expuestos.
La característica más peligrosa de este método es su persistencia. Una vez que se concede el permiso mediante OAuth, el acceso solo puede revocarse invalidando manualmente el token en la configuración de seguridad de la aplicación — cambiar la contraseña no tiene efecto alguno sobre los tokens ya emitidos. Esto convierte al ataque en una puerta trasera que permanece activa incluso después de que la víctima detecte actividad sospechosa y modifique sus credenciales, una respuesta instintiva que en este caso resulta inútil.
Evolución de las tácticas: de coordinadores de eventos a figuras de autoridad
El FBI documentó que los atacantes modificaron sus señuelos a lo largo de la campaña. Inicialmente se hicieron pasar por coordinadores de eventos, utilizando invitaciones y solicitudes de verificación de identidad como gancho para que las víctimas autorizaran aplicaciones maliciosas. Más recientemente, los atacantes adoptaron identidades de mayor peso: funcionarios gubernamentales, periodistas y personalidades públicas reconocidas. Este cambio sugiere un refinamiento en la selección de pretextos que generan mayor confianza y urgencia en el objetivo.
La agencia no proporcionó detalles sobre el origen de los atacantes, el número de víctimas comprometidas ni los objetivos finales de la campaña. Tampoco especificó qué aplicación de mensajería comercial se utiliza como vector de contacto inicial, aunque el contexto sugiere plataformas de uso profesional donde la suplantación de identidades corporativas o institucionales resulta más creíble.
Exposición en América Latina por dependencia de infraestructura OAuth compartida
Aunque la alerta del FBI no menciona víctimas específicas en América Latina, la región enfrenta una exposición estructural significativa a este tipo de ataques. Empresas, gobiernos y organizaciones en México, Brasil, Colombia y Argentina dependen masivamente de servicios en la nube de Microsoft y Google para operaciones críticas — correo corporativo, almacenamiento de documentos, colaboración remota. Esta dependencia compartida de los mismos proveedores y protocolos de autenticación significa que cualquier campaña de OAuth consent phishing dirigida a figuras públicas o ejecutivos en la región puede comprometer no solo cuentas individuales, sino redes completas de contactos y datos institucionales.
El problema se agrava por la baja adopción de políticas de gestión de aplicaciones autorizadas en organizaciones latinoamericanas. Muchas empresas implementan autenticación multifactor pero no auditan regularmente qué aplicaciones de terceros tienen acceso a sus entornos de nube, dejando abierta la ventana que este ataque explota. En sectores como medios de comunicación, gobierno y organizaciones no gubernamentales — donde periodistas, funcionarios y activistas son objetivos naturales de campañas de ingeniería social — la falta de capacitación específica sobre riesgos de OAuth aumenta la probabilidad de que un ataque de este tipo tenga éxito.
Recomendaciones del FBI y limitaciones de las defensas tradicionales
El FBI instó a los usuarios a examinar con detalle las comunicaciones provenientes de números de teléfono o cuentas desconocidas, verificar de manera independiente la identidad del remitente antes de interactuar con enlaces, y otorgar acceso únicamente a aplicaciones de confianza. Sin embargo, estas recomendaciones enfrentan una limitación práctica: el ataque está diseñado para operar dentro de los canales legítimos de autorización de aplicaciones, donde las señales visuales de legitimidad — dominios oficiales de Microsoft o Google, interfaces de autenticación reconocibles — son auténticas. La aplicación maliciosa se registra a través de protocolos de autorización legítimos, lo que dificulta que un usuario promedio distinga entre una solicitud genuina y una fraudulenta en el momento de la interacción.
La agencia también destacó que estos ataques eluden tanto contraseñas como autenticación multifactor, lo que invalida las dos capas de defensa más promovidas en seguridad básica. Esto coloca la responsabilidad de detección en un nivel más alto: la revisión manual y periódica de aplicaciones autorizadas en la configuración de seguridad de cada servicio en la nube, una tarea que requiere conocimiento técnico específico y que rara vez forma parte de los hábitos de seguridad de usuarios no especializados.
Nuestro análisis
Esta campaña revela una tendencia que ya se observaba en ataques dirigidos a organizaciones con alta exposición pública: el desplazamiento del foco de ataque desde las credenciales hacia los mecanismos de autorización persistente. OAuth consent phishing no es una técnica nueva — investigadores de seguridad la documentaron en campañas anteriores contra activistas y periodistas — pero su adopción en una campaña sostenida desde finales de 2025, dirigida a círculos de personas prominentes, indica que los atacantes encontraron un vector con baja tasa de detección y alta rentabilidad operativa. El hecho de que el FBI emita una alerta pública sin atribuir origen ni objetivos sugiere que la campaña tiene alcance suficiente para justificar una advertencia general, pero no suficiente visibilidad de inteligencia para caracterizar al actor detrás.
Lo que no se sabe todavía es si esta campaña tiene un objetivo de espionaje a largo plazo — monitoreo pasivo de comunicaciones de figuras influyentes — o si los atacantes están posicionándose para operaciones de influencia o extorsión posteriores. La persistencia del acceso mediante tokens OAuth permite ambas estrategias sin necesidad de reinfección, lo que convierte cada cuenta comprometida en un activo de inteligencia duradero. También queda sin respuesta cuántas organizaciones en América Latina ya implementan auditorías regulares de aplicaciones autorizadas en sus entornos de nube, una medida que podría detectar estos accesos maliciosos incluso después de que el ataque inicial haya tenido éxito. ¿Cuántas cuentas corporativas en la región ya tienen tokens OAuth maliciosos activos sin que nadie lo sepa?