Phishing azul: bots con pase de Microsoft
Los investigadores de Proofpoint han descrito el ataque BluePhishing: los ciberdelincuentes pueden introducir agentes de IA maliciosos en el entorno corporativo de Microsoft Entra utilizando páginas auténticas de inicio de sesión de Microsoft y engañando al usuario.
Microsoft Entra Agent ID es una extensión del sistema Microsoft Entra que permite a las empresas crear agentes de IA, asignarles identidades digitales y definir a qué servicios y datos tendrán acceso. Para crear agentes en masa, Microsoft ha previsto «plantillas de agentes»: modelos a partir de los cuales se pueden generar numerosas identidades con distintos permisos.
Según Proofpoint, el atacante primero crea una plantilla de este tipo en un entorno de Microsoft Entra bajo su control. Configura las credenciales y los permisos del agente, así como la posibilidad de que otras organizaciones aprueben la plantilla. Después, el delincuente genera un enlace a una página auténtica de Microsoft en la que se pedirá al usuario que dé su consentimiento para instalar la plantilla y conceder los permisos indicados.
Para preparar el ataque, el ciberdelincuente necesita cierta información sobre el objetivo: el identificador de su tenant —una organización independiente en el entorno en la nube de Microsoft— y los datos de un usuario concreto al que pueda convencer de forma personalizada para que haga clic en el enlace. El enlace se puede enviar por correo electrónico, redes sociales o mensajería. Tanto la página de inicio de sesión como la ventana de solicitud de permisos son auténticas, por lo que no aparecen los indicios habituales de un sitio web falso.
Si el empleado aprueba la solicitud, el agente malicioso aparecerá en el entorno corporativo. Cuantos más privilegios tenga la persona que da su consentimiento, más graves pueden ser los daños. Para conceder permisos a una aplicación en toda la organización hace falta un administrador con los derechos correspondientes. Según la política de la empresa, un usuario normal puede aprobar algunos permisos delegados.
Una vez instalado, el agente obtiene el permiso AgentIdentity.CreateAsManager. Este permite crear identidades adicionales vinculadas a la misma plantilla. Una plantilla puede admitir hasta 250 identidades de agente, de modo que en la red de la empresa puede aparecer todo un grupo de bots maliciosos con distintas tareas.
A continuación, el atacante obtiene tokens de acceso para las identidades creadas. Estos permiten a los agentes actuar como miembros autorizados del entorno corporativo y acceder a los recursos permitidos; los ciberdelincuentes pueden robar los datos obtenidos.
Proofpoint recomienda concienciar a los empleados sobre los riesgos de consentir la instalación de agentes, especialmente cuando se trata de plantillas de terceros procedentes de fuentes no fiables. La configuración del consentimiento de los usuarios, que limita la aprobación de aplicaciones de terceros, también se aplica a las plantillas de agentes y a sus identidades.
Los investigadores señalan que el identificador de una plantilla de agente es el mismo en todos los tenants que la han aprobado. Esto puede ayudar a detectar o eliminar una plantilla maliciosa conocida. Para limitar los daños, Proofpoint recomienda aplicar el principio de mínimo privilegio y utilizar políticas de Conditional Access para agentes, así como Entra ID Protection para agentes. Los eventos relacionados con los agentes y sus plantillas aparecen en el registro de auditoría, de forma similar a las operaciones de consentimiento para instalar aplicaciones.
PEREC.RU
La seguridad corporativa tiene sus rituales: dar al agente un nombre digital, detallar cuidadosamente sus atribuciones y confiar en que nadie traerá a la oficina una plantilla ajena con el sello auténtico de Microsoft. BluePhishing resulta especialmente desagradable porque rompe la imagen habitual del phishing: a la víctima no le plantan una página cutre ni le piden que se crea lo de la herencia de un príncipe nigeriano. Le muestran una ventana legítima de consentimiento y confían en el viejo y fiable «si lo pregunta Microsoft, le doy a aceptar».
Aquí la tecnología no tanto fuerza la puerta como pide al empleado que la abra y la sujete. El sistema de identidades y permisos puede ser perfectamente razonable; el problema empieza cuando la organización concede consentimientos más deprisa de lo que alcanza a entender a quién le está dando el pase. En una historia así, el administrador no es simplemente un usuario con un cargo vistoso, sino alguien cuyo único clic puede convertir un error local en un problema a escala corporativa.
La posibilidad de crear cientos de agentes adicionales es especialmente llamativa. La industria lo llama escalabilidad; el ciberdelincuente, una reserva de ejecutores; y el departamento de seguridad acaba con la entretenida tarea de distinguir el trabajo automatizado útil de una muchedumbre digital que viene a por los datos. No hay magia: una plantilla, un permiso, un token de acceso. Como de costumbre, los disgustos más caros se montan con piezas perfectamente normales.
Las recomendaciones de Proofpoint —limitar los permisos, revisar los consentimientos y vigilar los registros— suenan menos vistosas que otra presentación sobre la «revolución de la IA», pero son precisamente las que funcionan. El principio del mínimo privilegio resulta aburrido hasta que se descubre que, por alguna razón, al agente se le permitió hacer más de lo necesario. Y el registro de auditoría solo sirve si alguien lo lee, no si se conserva como un icono digital por si llega una inspección.
También hay un lado incómodo para quienes venden la automatización como una forma de sacar al ser humano de los procesos: el ser humano sigue en el circuito, solo que ahora su papel consiste en pulsar el botón de consentimiento sin confundir una plantilla de confianza con una ajena. En este modelo gana quien sabe integrarse discretamente en un procedimiento normal; pierde la organización que toma la autenticidad de la página como prueba de buenas intenciones.
Así que BluePhishing no es una condena de los agentes de IA ni un motivo para apagar todas las novedades. Es un recordatorio de que un pase digital no se vuelve seguro por estar bien presentado. Pero la esperanza de que todo el mundo revise cada permiso sigue dependiendo del componente menos fiable del sistema: una persona cansada que solo quiere cerrar la ventana emergente y volver al trabajo.
