Dos kits de phishing, Jalisco y OmegaLord, apuntan a cuentas Microsoft 365 usando técnicas que eluden la autenticación multifactor, poniendo en riesgo datos sensibles.
Dos nuevos kits de phishing, Jalisco y OmegaLord, han sido detectados atacando cuentas de Microsoft 365 mediante métodos que evaden la autenticación multifactor (MFA), según un análisis de la firma de ciberseguridad ReliaQuest. Estas herramientas permiten a los atacantes acceder a cuentas sin necesidad de contraseñas o códigos MFA, aumentando el riesgo de robo de datos y extorsión.
Por qué importa: Estos kits demuestran cómo los atacantes evolucionan sus técnicas para superar las defensas modernas, poniendo en peligro la seguridad de millones de usuarios corporativos.
Lo esencial
Jalisco usa phishing con código de dispositivo OAuth 2.0 para autorizar accesos sin credenciales.
OmegaLord simula un lector PDF para robar credenciales y números telefónicos, facilitando la evasión de MFA.
Los atacantes exfiltran datos sensibles rápidamente y luego extorsionan a las víctimas.
Imagen de referencia: BleepingComputer.
Jalisco: phishing con código de dispositivo para acceso sin contraseña
El kit Jalisco explota el flujo OAuth 2.0 Device Authorization Grant, engañando a las víctimas para que autoricen dispositivos controlados por atacantes. Al abrir la página de phishing, se generan códigos de autorización en tiempo real, lo que permite evadir la validez limitada de 15 minutos que Microsoft impone para estos códigos. Esto facilita el acceso inmediato y prolongado a las cuentas comprometidas sin necesidad de usuario o contraseña.
Además, Jalisco incluye un panel web para que los operadores gestionen las sesiones capturadas y las cuentas comprometidas, aumentando la eficiencia del ataque.
OmegaLord: phishing tradicional con enfoque en MFA
OmegaLord utiliza una página falsa que simula un lector de PDF para capturar correos electrónicos, contraseñas y números telefónicos. La obtención de números telefónicos es clave para interceptar o secuestrar solicitudes y códigos MFA, lo que representa un avance en la ingeniería social para evadir esta capa de seguridad.
Este método refleja cómo las técnicas convencionales de phishing continúan adaptándose para superar las barreras de autenticación modernas.
Impacto y consecuencias para usuarios y empresas
Tras comprometer una cuenta, los atacantes buscan datos valiosos en servicios SaaS como SharePoint, extrayéndolos en minutos antes de que los equipos de seguridad detecten la brecha. Los datos robados suelen incluir información personal identificable (PII), registros financieros y comunicaciones internas, que luego se usan para extorsionar a las víctimas.
ReliaQuest ha observado que en algunos casos se registran hasta cinco dispositivos falsos en una sola cuenta, con nombres que imitan servicios legítimos para evitar sospechas.
Preguntas frecuentes sobre kits de phishing Jalisco y OmegaLord
¿Cómo evaden estos kits la autenticación multifactor?
Jalisco usa códigos de dispositivo OAuth 2.0 para autorizar accesos sin credenciales, mientras OmegaLord roba números telefónicos para interceptar códigos MFA.
¿Qué tipo de datos buscan los atacantes tras comprometer una cuenta?
Buscan información sensible en plataformas SaaS como SharePoint, incluyendo datos personales, financieros y comunicaciones internas.
