El ataque cambió de objetivo: ahora quiere ser usted
Un informe de inteligencia de amenazas divulgado por Infosecurity Magazine señala que el phishing AiTM (adversary-in-the-middle, adversario en el medio) se convirtió en el principal vector de acceso inicial contra los despachos de abogados. Según el mismo informe, los ataques basados en identidad ya representan el 56% de todas las amenazas observadas en el sector jurídico. La lectura disponible públicamente indica además que la técnica está migrando hacia proveedores de servicios profesionales de otros segmentos.
Lo que hace que el AiTM sea diferente del phishing clásico es el mecanismo. En lugar de solo capturar usuario y contraseña, el atacante interpone una página intermedia que retransmite la autenticación en tiempo real y captura la cookie de sesión, el archivo temporal que mantiene al usuario conectado después de la verificación. Con esa cookie en su poder, el segundo factor tradicional ya fue cumplido y no se solicita de nuevo. Reportajes complementarios de Infosecurity Magazine muestran que las campañas de phishing también han explotado plataformas legítimas de colaboración como canal de entrega, lo que aumenta la credibilidad del señuelo.
Queda la pregunta que le interesa a quien decide: si su segundo factor puede ser eludido sin que nadie lo perciba, ¿qué está protegiendo exactamente la cuenta de quien firma contratos en su empresa?
Por qué esto le habla a cualquier empresa, no solo a los despachos jurídicos
El sector jurídico aparece en los titulares por una razón económica simple: los despachos concentran contratos, datos de fusiones y adquisiciones, información societaria y secretos de clientes. Un único buzón de correo comprometido allí vale mucho. Pero el razonamiento del atacante es replicable. Las empresas de contabilidad, comercio, industria, construcción y salud también guardan propuestas, listas de precios, datos bancarios de proveedores y conversaciones que revelan quién aprueba los pagos.
El punto central es un cambio de objetivo. El activo atacado dejó de ser el servidor y pasó a ser la identidad. Eso desplaza la conversación sobre el presupuesto: proteger solo el perímetro de la red resuelve poco cuando la puerta utilizada es una credencial válida accedida desde afuera, con sesión legítima y sin malware involucrado. Para el líder de TI interno, la cifra del 56% es un argumento objetivo para revisar la prioridad de la capa de identidad.
También hay un efecto en cadena que suele pasar desapercibido. Una cuenta comprometida en una empresa se convierte en remitente confiable para clientes, proveedores y socios. Así nacen variaciones como la estafa del falso abogado o del falso proveedor, en la que el mensaje viene de la dirección real, con historial real, pidiendo un cambio de datos bancarios que parece plausible. No hace falta invadir el área financiera cuando se puede escribir desde el buzón de alguien en quien el área financiera confía.
Para los emprendedores de TI que atienden carteras de clientes, el dato tiene una lectura comercial directa: revisar la postura de autenticación de toda la base antes del primer incidente es más barato, y mucho más cómodo, que revisarla después.
La buena noticia: esa puerta tiene una cerradura conocida
El primer movimiento, y el de mayor impacto por cada peso invertido, es adoptar MFA resistente a phishing. Estándares como FIDO2 y passkeys vinculan la autenticación criptográficamente a la dirección legítima del servicio, de modo que una página intermedia simplemente no logra retransmitir la credencial. Es la diferencia entre un segundo factor que confirma una acción y un segundo factor que confirma la identidad del destino. Los códigos por SMS y las aprobaciones por push siguen siendo mejores que la contraseña sola, pero son justamente el escenario que el AiTM fue diseñado para vencer.
El segundo movimiento son las políticas de acceso condicional, reglas que solo liberan la sesión cuando el acceso proviene de un dispositivo conocido, gestionado y en conformidad. Vincular la sesión a un dispositivo confiable le quita valor a la cookie robada: incluso capturada, no abre nada en otra máquina. Sumado a eso, el monitoreo 24/7 con detección de inicio de sesión anómalo y revocación automática de sesión acorta la ventana entre el robo de la credencial y el intento de fraude, que es donde el perjuicio realmente ocurre.
La capa siguiente se ocupa de lo que viene después del acceso inicial. EDR (Endpoint Detection and Response, detección y respuesta en endpoints) impide que el atacante establezca persistencia en los dispositivos. La gestión de parches cierra las fallas usadas para escalar privilegios. El backup inmutable, aquel que no puede ser alterado ni borrado dentro del período de retención, sumado a un plan de continuidad probado, garantiza que un intento de extorsión no detenga la operación. Y la capacitación periódica de los usuarios mantiene al equipo capaz de reconocer la solicitud extraña antes del clic.
Nada de esto exige un proyecto de dos años. Exige secuencia: identidad primero, endpoint después, resiliencia siempre, con pistas de auditoría que atienden exigencias contractuales de clientes y marcos regulatorios de privacidad como GDPR y LGPD.
¿Su empresa lograría detectar una sesión secuestrada antes del perjuicio?
Esa es la pregunta que separa a quien tiene seguridad de quien solo tiene herramientas instaladas. La respuesta práctica es bastante alcanzable. Un inventario honesto de qué cuentas todavía dependen de SMS o push simple, comenzando por socios, dirección, área financiera y TI, suele revelar en pocas horas dónde está la exposición real. A partir de ahí, migrar ese grupo a MFA resistente a phishing y aplicar acceso condicional con dispositivo confiable ya elimina la mayor parte del valor de una cookie robada.
El resto es operación continua y bien distribuida: monitoreo 24/7 que detecta un inicio de sesión improbable y revoca la sesión sin esperar al horario laboral, EDR activo en los endpoints, gestión de parches con cadencia definida, backup inmutable probado en restauración, capacitación recurrente y soporte remoto estructurado para responder rápido cuando algo parezca fuera de lugar. Empresas de 5 a 5000 empleados operan este conjunto todos los días, muchas con un equipo reducido y el apoyo de un modelo de TI gestionada. El AiTM es sofisticado, pero no es invencible: depende de un eslabón específico, y ese eslabón tiene un reemplazo maduro y disponible. Quien hace ese cambio de forma organizada sale del ciclo de reaccionar ante sustos y pasa a operar con previsibilidad.
Preguntas frecuentes
¿Qué es el phishing AiTM y por qué elude el MFA?
El phishing AiTM (adversary-in-the-middle, adversario en el medio) es una técnica en la que el atacante coloca una página intermedia entre el usuario y el servicio real, retransmitiendo la autenticación en tiempo real. Como el inicio de sesión legítimo se completa, el atacante captura la cookie de sesión, el archivo que mantiene al usuario autenticado. Con esa cookie, el segundo factor ya fue cumplido y no se solicita nuevamente, lo que permite el acceso sin contraseña ni código.
¿El MFA por SMS o push todavía vale la pena?
Sí, cualquier segundo factor es mejor que una contraseña aislada y aún bloquea la mayoría de los ataques automatizados. El punto es que el SMS y el push simple no protegen contra el secuestro de sesión, porque no verifican si el sitio que solicita la autenticación es el legítimo. Por eso la recomendación es evolucionar hacia un MFA resistente al phishing, con estándares como FIDO2 y passkeys, priorizando las cuentas de socios, dirección, finanzas y TI.
¿Por cuáles cuentas comenzar la migración de autenticación?
La prioridad debe seguir el valor de lo que la cuenta accede y el poder de decisión de quien la usa. Socios, C-levels, finanzas, jurídico y administradores de TI concentran contratos, aprobaciones de pago y privilegios elevados, siendo los objetivos más rentables. Después de ese núcleo, la expansión al resto de la organización puede realizarse en oleadas, sin interrumpir la operación.
Si quiere mapear dónde su empresa aún depende de autenticación vulnerable, converse con nuestros especialistas en un Diagnóstico Estratégico de TI, Sin Compromiso.