Una nueva herramienta maliciosa podría permitir a los ciberdelincuentes conservar el acceso a una cuenta incluso después de que su propietario cambie la contraseña y cierre las sesiones abiertas. La amenaza, identificada como iAuthFlow v2, combina técnicas de phishing con el robo de sesiones y el registro de nuevas claves de acceso o passkeys controladas por los atacantes.
Según un informe de la compañía de ciberseguridad Abnormal, recogido por TechCrunch, iAuthFlow v2 se comercializa en foros rusos de la web oscura por más de 10.000 dólares.
PUBLICIDAD
La herramienta puede dirigirse a cuentas de servicios como Google, Microsoft, iCloud o LinkedIn y busca establecer un método de acceso adicional que puede sobrevivir a un cambio de contraseña.
El funcionamiento de esta amenaza demuestra que cambiar una contraseña, aunque sigue siendo una medida importante tras una posible intrusión, ya no siempre resulta suficiente para expulsar a un atacante de una cuenta comprometida.
Un ataque que comienza con una página de phishing
El primer paso de iAuthFlow v2 consiste en engañar a la víctima mediante una técnica de phishing. Los atacantes crean una página que aparenta pertenecer a un servicio legítimo y buscan convencer al usuario de que introduzca sus credenciales.
PUBLICIDAD
Cuando la víctima inicia sesión en una de estas páginas falsas, sus datos pueden terminar en manos de los delincuentes. Sin embargo, el objetivo de la herramienta no se limita al robo de la contraseña.
El sistema también puede obtener información relacionada con una sesión autenticada. Esto permite a los atacantes intentar acceder a la cuenta mientras la víctima cree que está iniciando sesión en un servicio legítimo.
La siguiente fase es la que convierte a iAuthFlow v2 en una amenaza especialmente preocupante. Una vez que consigue acceso, la herramienta intenta registrar en secreto una nueva passkey o clave de acceso vinculada a la cuenta y controlada por el atacante.
PUBLICIDAD
La passkey puede convertirse en una puerta de acceso
Las passkeys fueron diseñadas como una alternativa más segura a las contraseñas tradicionales. Utilizan criptografía y permiten iniciar sesión mediante mecanismos como la huella dactilar, el reconocimiento facial o el PIN del dispositivo.
A diferencia de una contraseña, la clave privada permanece en el dispositivo del usuario y no se comparte directamente con el servicio. Esta característica hace que las passkeys sean especialmente resistentes frente a ataques de phishing convencionales.
El problema aparece cuando un atacante consigue registrar su propia passkey dentro de una cuenta ajena.
En ese escenario, el delincuente puede contar con un método adicional de autenticación que no depende de la contraseña original. Por este motivo, cambiar la contraseña posteriormente podría no eliminar automáticamente el acceso fraudulento.
PUBLICIDAD
Abnormal realizó una demostración de la herramienta y comprobó que iAuthFlow v2 llegó a generar una nueva passkey apenas seis segundos después de que la víctima completara la autenticación.
Esto permitiría al atacante conservar una posible vía de acceso incluso después de que el propietario modificara su contraseña y cerrara las sesiones abiertas en otros dispositivos.
Los sistemas de seguridad pueden bloquear el ataque
El funcionamiento de iAuthFlow v2 no significa que el ataque tenga éxito en todas las ocasiones. Algunos servicios pueden detectar comportamientos sospechosos y exigir una verificación adicional antes de permitir que se registre una nueva passkey.
PUBLICIDAD
En el caso de una cuenta de Google, por ejemplo, determinados cambios relacionados con los métodos de acceso pueden activar mecanismos adicionales de seguridad o requerir que el usuario confirme su identidad.
Sin embargo, el descubrimiento pone de manifiesto una nueva dificultad en la recuperación de cuentas comprometidas. Los atacantes ya no solo pueden intentar robar una contraseña, sino también modificar otros elementos de la configuración para mantener el acceso durante más tiempo.
Por ello, una respuesta de seguridad completa debe ir más allá de cambiar la contraseña.
Qué hacer si se sospecha de una intrusión
Abnormal recomienda revisar todos los métodos de autenticación registrados en la cuenta. Esto incluye las passkeys, claves de seguridad y cualquier otro mecanismo utilizado para iniciar sesión.
PUBLICIDAD
También conviene comprobar los métodos de recuperación, los accesos delegados, las aplicaciones conectadas y los permisos concedidos a servicios externos. Cualquier elemento desconocido debe considerarse una posible señal de que otra persona ha conseguido modificar la configuración de la cuenta.
Otra recomendación es revisar las reglas y filtros del correo electrónico. Los atacantes pueden crear reenvíos automáticos para recibir copias de los mensajes de la víctima incluso después de perder el acceso directo a la cuenta.
También es recomendable consultar los registros de actividad y comprobar la configuración de la verificación en dos pasos. Finalmente, deben eliminarse todos los métodos de autenticación que el propietario no reconozca.
PUBLICIDAD
PUBLICIDAD