El FBI alerta de un ataque de phishing de Kali365 contra tokens OAuth de Microsoft con trampas creadas mediante IA
El Buró Federal de Investigación (FBI) ha emitido una alerta sobre una campaña de phishing activa dirigida contra usuarios de servicios de Microsoft mediante el sistema de autenticación OAuth. La alerta presta especial atención a la plataforma Kali365, que, según el FBI, ha facilitado considerablemente el phishing a los ciberdelincuentes sin experiencia, al permitirles utilizar IA para crear correos engañosos convincentes.
OAuth es un protocolo estándar que permite a los usuarios iniciar sesión en distintos servicios sin tener que introducir la contraseña cada vez. Los tokens OAuth se utilizan ampliamente en los servicios de Microsoft, como Office 365. Si un atacante obtiene acceso a uno de esos tokens, puede tomar el control total de la cuenta del usuario, incluso si la víctima cambia después la contraseña.
Desde hace poco, la plataforma de software Kali365 ofrece herramientas para desarrollar ataques de phishing sin apenas conocimientos técnicos. La generación de correos mediante IA permite crear «cebos» de phishing más creíbles y personalizados, lo que aumenta las probabilidades de éxito. El FBI subraya especialmente que ahora incluso los principiantes pueden llevar a cabo complejos fraudes con la ayuda de estas plataformas semiautomatizadas.
Durante la campaña, los atacantes envían correos que imitan notificaciones de Microsoft e incitan a los usuarios a seguir enlaces para volver a autenticarse o confirmar la seguridad de sus cuentas. Las páginas falsas se utilizan para robar tokens OAuth.
El FBI recomienda a organizaciones y usuarios extremar la precaución, comprobar los enlaces, no abrir los de correos sospechosos, utilizar la autenticación multifactor y revisar periódicamente los permisos concedidos a las aplicaciones. Lo ideal es que cualquier correo sospechoso o solicitud inesperada de autenticación despierte la máxima desconfianza.
PEREC.RU
El FBI, por lo visto, ya no encuentra descanso: ahora el phishing no es cosa de hackers con capucha, sino de cualquiera a quien le dé pereza aprender. Kali365 ofrece soluciones listas para usar: dos pasos y ya eres especialista en robar cuentas de Microsoft. La IA automatiza todo lo que la gente solía hacer con imaginación, hasta el timo más ramplón por correo. Esto ya no es «phishing para principiantes», sino phishing para idiotas. Llegan correos bonitos y serios, como un informe de contabilidad, pero dentro hay una trampa y una petición para que «confirmes tu identidad». Entonces el dueño entrega el token de su casa y el estafador entra a bailar con sus permisos. Por si acaso, el FBI aconseja no ser tonto: usar la autenticación en dos pasos y no entregar a desconocidos la llave de casa con un letrero de Microsoft. Por qué no se les ocurrió hacerlo antes sigue siendo un misterio insondable. La IA contribuye al desempleo mundial: hasta un vago puede convertirse ahora en «ciberdelincuente». Se avecina otra ola de catástrofes humanitarias, esta vez dentro del buzón de correo.
