Los ciberdelincuentes utilizan el mecanismo de autorización Device Code Flow para hacerse con los tokens de sesión de Microsoft y acceder al correo electrónico, OneDrive o Teams de los afectados.
Kaspersky ha detectado una nueva campaña de phishing que explota el mecanismo de autenticación de Microsoft OAuth 2.0 Device Authorization Grant, también conocido como Device Code Flow, con el objetivo de robar el acceso a cuentas corporativas y personales. La campaña, activa entre principios de abril y mediados de mayo de 2026, utilizó como señuelo supuestas comunicaciones de un despacho de abogados para engañar a sus víctimas. Este descubrimiento se suma a otras campañas analizadas por Kaspersky que aprovechaban servicios legítimos como Google Tasks, Google Forms, Bubble o Amazon Simple Email Service.
Según el análisis de Kaspersky, los ciberdelincuentes no recurren en este caso al robo tradicional de contraseñas ni a la instalación de malware, sino que aprovechan un mecanismo legítimo de autenticación de Microsoft para obtener los tokens de sesión de los usuarios y acceder posteriormente a servicios como Outlook, OneDrive o Microsoft Teams.
Cómo funciona el ciberataque
El método empleado aprovecha el sistema de autenticación diseñado para dispositivos con capacidades limitadas de introducción de texto, como televisores inteligentes o dispositivos IoT. Este mecanismo permite iniciar sesión introduciendo un código desde otro dispositivo, como un ordenador o un smartphone.
Los ciberdelincuentes comienzan enviando un correo electrónico que aparenta proceder de un bufete de abogados e incluye un archivo PDF protegido con contraseña. Tras abrir el documento e introducir la contraseña, la persona afectada accede a una página que muestra supuestos documentos legales.
Al hacer clic para consultarlos, el usuario es dirigido inicialmente a una dirección legítima de Microsoft. Sin embargo, mediante la manipulación de los parámetros de la URL, es redirigido a una página fraudulenta diseñada para imitar un portal de documentación legal.
Antes de continuar, la víctima debe superar varios CAPTCHA, una técnica que los ciberdelincuentes utilizan para dificultar la detección automática por parte de herramientas de seguridad. Posteriormente, la página muestra un código temporal que el usuario debe copiar.
Al pulsar sobre el código, este se copia automáticamente en el portapapeles y el usuario es redirigido a la página oficial de autenticación de Microsoft, donde se le solicita introducir dicho código.
Una vez completado el proceso de autenticación multifactor, los atacantes obtienen los tokens de sesión del usuario, lo que les permite acceder a su buzón de correo, enviar mensajes en su nombre, descargar archivos almacenados en OneDrive o consultar conversaciones de Microsoft Teams.
«Los ciberdelincuentes no siempre necesitan robar credenciales o instalar malware para acceder a información sensible. Cada vez utilizan con mayor frecuencia herramientas y mecanismos legítimos para comprometer las cuentas de las víctimas. Por ello, es importante mantener la vigilancia incluso cuando se navega por plataformas oficiales. Las organizaciones deberían evaluar si realmente necesitan habilitar el flujo de autenticación Device Code Flow y, si no es imprescindible para su actividad, desactivarlo«, explica Roman Dedenok, experto en antispam de Kaspersky.
