Operadores de ransomware despliegan técnicas de suplantación de token OAuth para eludir autenticación multifactor

1. Anatomía y contexto de la noticia: El ocaso del perímetro de autenticación tradicional

Durante la última década, las directivas de seguridad corporativa establecieron la adopción de la autenticación multifactor como el escudo definitivo contra el robo de credenciales. La premisa era sólida: incluso si un ciberdelincuente obtenía el nombre de usuario y la contraseña mediante ingeniería social o filtraciones masivas en la dark web, la imposibilidad de proporcionar el segundo factor de autenticación frenaría la intrusión. No obstante, las organizaciones de cibercrimen profesional han evolucionado hacia tácticas de Adversary-in-the-Middle (AitM) y robo de sesión en endpoint, explotando la arquitectura inherente del protocolo OAuth 2.0 y los mecanismos de persistencia web.

Cuando un empleado completa exitosamente el desafío MFA en su computadora, el proveedor de identidad en la nube (como Microsoft Entra ID o Google Cloud Identity) emite un conjunto de credenciales efímeras: una cookie de sesión (Primary Refresh Token o PRT) y un token de acceso (JSON Web Token - JWT). Estos artefactos residen en el almacenamiento local del navegador web o en el subsistema de seguridad del sistema operativo para evitar que el usuario deba reingresar sus credenciales cada pocos minutos. Si el endpoint del colaborador es infectado por un malware de robo de información (como Lumma Stealer, RedLine o Vidar), el malware extrae directamente estas cookies y tokens válidos.

Al recibir estos artefactos, los operadores de ransomware los inyectan en navegadores automatizados operados desde sus propios servidores de comando y control (C2). Para la plataforma de nube, la conexión entrante es indistinguible de la sesión legítima del usuario autorizado: el token ya fue validado criptográficamente y posee un estado de autenticación completado, neutralizando por completo el factor MFA.

"El robo de cookies de sesión y tokens de actualización primaria ha convertido al MFA tradicional en una línea de defensa permeable si el endpoint de trabajo está desprotegido. Los ciberatacantes ya no intentan descifrar contraseñas ni duplicar códigos temporales; simplemente compran sesiones abiertas en mercados ilícitos e ingresan por la puerta grande con derechos legítimos de administración."

2. Arquitectura técnica profunda: Del infostealer a la extracción de PRT y OAuth Replay

La cadena de explotación técnica de este vector evidencia una comprensión profunda de los protocolos modernos de identidad en la nube y los mecanismos de persistencia:

• Infección Inicial y Robo de Almacenamiento Criptográfico Local: El vector de entrada habitual involucra campañas de phishing con archivos adjuntos maliciosos o descargas de software señuelo que instalan infostealers en la estación de trabajo. El binario inspecciona los directorios de datos de usuario de navegadores basados en Chromium (Chrome, Edge, Brave), extrayendo la base de datos SQLite donde se almacenan las cookies y descifrando los valores protegidos con las API DPAPI (Data Protection API) de Windows o el Keychain de macOS.
• Extracción del Primary Refresh Token (PRT) en Entornos Híbridos: En infraestructuras con Windows 11 integradas a Microsoft Entra ID, los atacantes abusan de llamadas COM al proceso lsass.exe o al agente de autenticación web de Windows (WAM) para solicitar tokens de actualización primaria o tokens subordinados vinculados al dispositivo, sorteando políticas convencionales de acceso condicional que confían en el estado de unión del equipo al dominio.
• Uso de Proxies Inversos Adversary-in-the-Middle (AitM): En campañas dirigidas, herramientas como Evilginx3 actúan como un intermediario transparente entre la víctima y la página legítima de inicio de sesión institucional. Cuando el usuario interactúa con la interfaz real de Microsoft 365 y aprueba el código push, el proxy inverso intercepta la cookie ESTSAUTH y el token de sesión devuelto por el servidor, almacenándolo en tiempo real y redirigiendo al usuario al portal corporativo sin levantar sospechas.
• Persistencia Mediante Aplicaciones OAuth Consentidas: Una vez dentro del entorno en la nube, el atacante no se limita a usar la sesión robada; registra una aplicación empresarial maliciosa en el inquilino y le concede permisos delegados o de aplicación con amplios privilegios (tales como Mail.ReadWrite o Directory.ReadWrite.All). Esto garantiza persistencia perpetua incluso después de que las cookies del usuario expiren o la contraseña sea restablecida.

3. Análisis financiero y FinOps cuantitativo: Rescate promedio, horas de inactividad e impacto en seguros

La gravedad de este vector reside en la velocidad con la que los operadores de ransomware transitan desde el acceso inicial con token robado hasta el secuestro total de la infraestructura:

• Demandas de Rescate y Costos Promedio de Extorsión: Los incidentes de ransomware que inician con compromiso de identidad en la nube y escalamiento hacia entornos híbridos registran demandas de rescate promedio de entre USD 1,2 millones y USD 3,5 millones, con costos totales de remediación que superan los USD 2,8 millones al considerar peritajes forenses, restauración de copias de seguridad y honorarios legales.
• Pérdidas Financieras por Exfiltración Silenciosa de Datos: Antes de desplegar el cifrado de datos o la extorsión pública, los atacantes utilizan el token secuestrado para descargar gigabytes de correspondencia ejecutiva confidencial, estados financieros y contratos desde SharePoint y OneDrive durante un período de permanencia (dwell time) que promedia 9 a 14 días.
• Incremento de Primas en Pólizas de Ciberseguridad: Las aseguradoras corporativas exigen hoy evidencia comprobable de mitigación contra ataques AitM y robo de sesión. Las compañías que no implementan vinculación de tokens al dispositivo o autenticación resistente al phishing sufren incrementos de hasta un 45% en sus primas anuales de seguro de ciberriesgo, o la exclusión expresa de coberturas por pérdidas derivadas de cuentas de correo vulneradas.

4. Implicancias y oportunidades para empresas y PyMEs de Argentina y América Latina

En el ámbito corporativo de Argentina y América Latina, la vulnerabilidad frente a esta técnica es alarmantemente alta. Gran parte de las organizaciones financieras, agroindustriales y de servicios profesionales completaron durante los últimos años la migración a Microsoft 365 o Google Workspace y habilitaron MFA mediante notificaciones en smartphones o códigos por SMS, asumiendo erróneamente que sus entornos estaban blindados.

Sin embargo, el auge del trabajo remoto e híbrido ha incrementado el uso de dispositivos personales (BYOD) o computadoras portátiles corporativas que carecen de soluciones avanzadas de detección y respuesta en endpoint (EDR). Cuando un ejecutivo o empleado administrativo descarga inadvertidamente un infostealer en su hogar, los tokens de acceso corporativos son comprometidos de inmediato y vendidos en canales de mensajería clandestina por apenas decenas de dólares, facilitando ataques de ransomware destructivo contra empresas locales.

Esta coyuntura representa una oportunidad estratégica para que los departamentos de TI de la región modernicen su postura de ciberseguridad, evolucionando desde la simple autenticación multifactor hacia arquitecturas de Acceso Condicional Estricto, Protección de Identidad Continua (Continuous Access Evaluation) y Autenticación Resistente al Phishing basada en estándares criptográficos.

5. Hoja de ruta técnica: Checklist de implementación en 4 pasos

1. Activación de Evaluación Continua de Acceso (CAE) (Paso 1): Habilitar los protocolos de Evaluación Continua de Acceso en Microsoft Entra ID y Google Workspace para revocar de inmediato los tokens de sesión activos cuando se detecten cambios de dirección IP inusuales, restablecimientos de credenciales o alertas de viaje imposible.
2. Implementación de Enlace de Token al Dispositivo (Token Binding) (Paso 2): Configurar políticas de Acceso Condicional que exijan que los tokens de actualización solo sean válidos si están respaldados por hardware criptográfico TPM del dispositivo corporativo registrado (Device-Bound Session Credentials), impidiendo que los tokens exportados funcionen en equipos externos.
3. Auditoría Estricta de Aplicaciones Empresariales y Consentimientos OAuth (Paso 3): Bloquear el consentimiento de usuarios para aplicaciones OAuth de terceros no verificadas, auditando periódicamente el catálogo de aplicaciones registradas en el directorio corporativo para eliminar permisos de alto riesgo concedidos de forma anómala.
4. Adopción de Llaves Criptográficas y Acompañamiento Estratégico (Paso 4): Migrar las identidades de cuentas con privilegios elevados y usuarios clave hacia credenciales FIDO2/WebAuthn físicas resistentes al phishing, apoyándose en la consultoría integral de Siglo 21 Soluciones para configurar defensas de identidad robustas y mitigar incidentes de secuestro de sesión.