Phishing con device code por AI: campaña escala

Introducción

Microsoft ha revelado una evolución importante del phishing con device code, mostrando cómo los atacantes están combinando AI generativa, automatización e infraestructura alojada en la nube para comprometer cuentas de Microsoft a gran escala. Para los equipos de seguridad y los administradores de Microsoft 365, esto es relevante porque la campaña apunta a flujos de autenticación legítimos en lugar de robar contraseñas directamente, lo que dificulta su detección con controles tradicionales.

Qué hay de nuevo en esta campaña

Según Microsoft Defender Security Research, la actividad se basa en técnicas previas de phishing con device code, pero añade varios avances importantes:

• Señuelos de phishing habilitados con AI: Los atacantes usaron AI generativa para crear correos electrónicos altamente personalizados vinculados a roles laborales y escenarios empresariales como facturas, RFPs y flujos de trabajo de fabricación.
• Generación dinámica de device code: En lugar de depender de códigos pregenerados que expiran en 15 minutos, el device code se crea solo cuando el usuario hace clic en el enlace de phishing.
• Infraestructura cloud automatizada: Los actores de amenazas usaron plataformas como Railway, Vercel, Cloudflare Workers y AWS Lambda para desplegar infraestructura de corta duración y cadenas de redirección.
• Tráfico que se mezcla con el legítimo: Las redirecciones a través de servicios cloud confiables ayudan a que la actividad evite blocklists simples y defensas basadas en reputación.
• Abuso de tokens tras la intrusión: Una vez que la víctima completa el flujo de inicio de sesión con device login, los atacantes usan el token para exfiltración de correo, creación de reglas de bandeja de entrada y reconocimiento con Microsoft Graph.

Por qué esto es diferente

El phishing tradicional suele intentar capturar credenciales. En este caso, el atacante engaña al usuario para que apruebe una sesión legítima de inicio de sesión de dispositivo de Microsoft que el propio atacante inició. Como la autenticación ocurre en la página real de device login de Microsoft, es posible que los usuarios sospechen menos, y MFA puede ser menos eficaz si la sesión no está fuertemente vinculada al contexto original.

Microsoft también vincula esta tendencia con EvilToken, un toolkit de phishing-as-a-service que impulsa un abuso más amplio de device code. El uso de automatización y AI representa un salto significativo respecto de la campaña Storm-2372 documentada en 2025.

Impacto para los administradores de IT

Los equipos de seguridad e identidad deben prever:

• Correos de phishing más convincentes dirigidos a usuarios de alto valor
• Mayor abuso de flujos legítimos de OAuth y de inicio de sesión de Microsoft
• Compromiso basado en tokens sin robo de contraseñas
• Persistencia mediante reglas maliciosas de bandeja de entrada y redirección oculta de correo
• Reconocimiento de la estructura organizativa a través de Microsoft Graph

Acciones recomendadas

Los administradores deben revisar la guía de mitigación de Microsoft y priorizar:

• Supervisar actividad sospechosa de autenticación con device code
• Investigar reglas de bandeja de entrada inesperadas y patrones de acceso basados en tokens
• Reforzar Conditional Access y las directivas de riesgo de inicio de sesión cuando sea posible
• Capacitar a los usuarios para tratar como sospechosas las solicitudes no solicitadas de device login
• Buscar redirecciones sospechosas, dominios de suplantación e infraestructura de phishing alojada en la nube

Esta investigación recuerda que las defensas contra phishing ahora deben contemplar el abuso de flujos de autenticación legítimos, no solo páginas de inicio de sesión falsas y contraseñas robadas.