Investigadores han identificado una nueva forma de ataque que permite a actores maliciosos comprometer cuentas de usuarios al inducirlos a aprobar solicitudes de autenticación desde portales falsificados. Esta vulnerabilidad no surge de un error en la implementación de las claves FIDO, sino de una función legítima que puede ser explotada por atacantes.
Funcionamiento del ataque
Las claves FIDO son autenticadores basados en hardware o software diseñados para prevenir el phishing al vincular los inicios de sesión a dominios específicos mediante criptografía. En este caso, los atacantes abusan de una función legítima: el inicio de sesión multidispositivo.
El ataque se lleva a cabo mediante un correo electrónico de phishing que induce al usuario a iniciar sesión en una página falsa que imita un portal corporativo. Una vez que la víctima introduce sus credenciales, el sitio fraudulento retransmite la información a la página real. Luego, el sitio malicioso solicita el uso del método de transporte híbrido para la autenticación, lo que genera un código QR que se envía al usuario en el portal falso.
Si el usuario escanea el código QR con su dispositivo móvil, los atacantes pueden acceder sin autorización a la cuenta. Este proceso permite a los actores maliciosos aprovecharse de una función segura para convertirla en una vulnerabilidad de phishing.
Actor responsable y contexto
La actividad fue observada por la empresa Expel como parte de una campaña de phishing. Se atribuye a un actor llamado PoisonSeed, que ha sido detectado utilizando credenciales comprometidas para enviar mensajes de spam con frases semilla de criptomonedas y vaciar monederos digitales.
Los investigadores explicaron que el ataque se basa en la técnica «adversario en el intermediario» (AitM), donde los atacantes interceptan y retransmiten información durante el proceso de autenticación. Esta técnica no funciona en todos los escenarios, sino específicamente en usuarios que se autentican mediante flujos entre dispositivos sin comprobaciones de proximidad estrictas.
Recomendaciones para mitigar la amenaza
Para proteger mejor las cuentas de usuario, las organizaciones deben combinar la autenticación FIDO2 con comprobaciones que verifiquen el dispositivo utilizado. Los inicios de sesión deben realizarse en el mismo dispositivo que contiene la clave de acceso para limitar el riesgo de phishing.
Los equipos de seguridad deben estar atentos a inicios de sesión inusuales con códigos QR o nuevos registros de claves de acceso. Las opciones de recuperación de cuentas deben utilizar métodos resistentes al phishing, y las pantallas de inicio de sesión, especialmente para inicios de sesión multidispositivo, deben mostrar detalles útiles como la ubicación, el tipo de dispositivo o advertencias claras.
Los hallazgos subrayan la necesidad de adoptar una autenticación resistente al phishing en todas las etapas del ciclo de vida de una cuenta, incluidas las fases de recuperación, ya que el uso de un método de autenticación susceptible al phishing puede debilitar toda la infraestructura de identidad.