Ataques AiTM: Cómo los Kits de Phishing Burlan la Autenticación Multifactor (MFA)
La autenticación multifactor (MFA) ha sido considerada durante años como una de las defensas más robustas contra el compromiso de cuentas. Sin embargo, los atacantes han desarrollado técnicas avanzadas, como los kits de phishing Adversary-in-The-Middle (AiTM), que logran evadir esta capa de seguridad. Estos ataques representan una amenaza creciente para organizaciones y usuarios individuales.
¿Qué son los Kits de Phishing AiTM?
Los kits AiTM son herramientas sofisticadas utilizadas por ciberdelincuentes para interceptar credenciales y tokens de sesión en tiempo real. A diferencia del phishing tradicional, donde el atacante solo captura credenciales estáticas, estos kits permiten:
- Interceptar tanto nombres de usuario y contraseñas como códigos MFA.
- Robar cookies de sesión válidas para mantener acceso persistente.
- Eludir protecciones basadas en geolocalización o dispositivos.
Mecánica Técnica del Ataque
El proceso de un ataque AiTM sigue estas etapas:
- Creación de Página Fraudulenta: Los atacantes replican sitios legítimos (como portales de Office 365 o bancarios) con alta fidelidad.
- Redirección de Tráfico: Utilizan servidores proxy maliciosos para intermediar entre la víctima y el servicio real.
- Intercepción en Tiempo Real: Capturan credenciales y tokens MFA mientras la víctima interactúa con la página falsa.
- Reutilización de Sesiones: Los tokens robados permiten acceder a la cuenta real sin necesidad de superar nuevamente el MFA.
Tecnologías y Protocolos Vulnerables
Estos ataques explotan debilidades en:
- OAuth 2.0 y OpenID Connect: Al interceptar tokens de actualización.
- Cookies Persistentes: Especialmente aquellas con largos periodos de validez.
- SMS y Notificaciones Push: Métodos MFA menos seguros que los basados en hardware.
Medidas de Mitigación
Para contrarrestar esta amenaza, se recomienda:
- Implementar MFA resistente a phishing (FIDO2/WebAuthn).
- Utilizar condicional access que evalúe riesgo de sesión.
- Monitorizar anomalías en patrones de autenticación.
- Educar usuarios sobre identificación de sitios fraudulentos.
Este tipo de ataques demuestra que ningún mecanismo de seguridad es infalible. La combinación de controles técnicos avanzados y concienciación continua sigue siendo la mejor estrategia defensiva. Para más detalles técnicos sobre este fenómeno, consulta la Fuente original.
