Llega una invitación a una reunión de Teams o a un evento online. Para entrar, te piden escribir un código en una página de Microsoft. La página es la de verdad, con su dirección y su candado, y el código funciona. Al terminar no pasa nada raro. Pero acabas de darle a un desconocido acceso a tu correo, tus archivos y tu Teams, sin que haya tocado tu contraseña y sin que la verificación en dos pasos le haya frenado.

◢¿Qué es el inicio de sesión con código de dispositivo?

El mecanismo es un estándar abierto, no algo exclusivo de Microsoft. Pero los casos que han documentado Microsoft y el FBI apuntan a cuentas de Microsoft 365, y se entiende: la cuenta de un empleado abre a la vez su correo, sus archivos y su Teams.

◢¿Cómo funciona el phishing con código de dispositivo?

1. ▹El atacante solicita un código real a Microsoft desde su propio equipo.
2. ▹Te lo envía disfrazado de otra cosa, por ejemplo como el ID de una reunión de Teams.
3. ▹Tú lo escribes en la página auténtica de Microsoft e inicias sesión como siempre, incluido el segundo factor.
4. ▹Microsoft entrega los permisos al equipo del atacante, que ya puede entrar en tu cuenta.

Microsoft subraya que no hay ningún fallo en su código: la técnica abusa de un mecanismo estándar que funciona tal como está diseñado. Por eso los consejos de siempre ("mira bien la dirección de la página") aquí no sirven. La dirección es correcta.

◢¿Por qué no lo para la verificación en dos pasos?

Porque eres tú quien la completa. El atacante no necesita tu contraseña ni tu código del móvil: espera a que tú los uses y se queda con el resultado. El FBI lo resume en su aviso: el atacante accede a servicios como Outlook, Teams y OneDrive "sin necesitar una contraseña ni completar ningún desafío adicional de MFA".

Además, el acceso dura. Microsoft explica que el atacante sigue dentro mientras los tokens sean válidos, y por eso recomienda revocarlos en cuanto se sospeche que alguien ha caído.

◢¿Qué señuelos usan?

Los casos documentados se parecen mucho a los correos de trabajo normales:

• ▹Invitaciones a reuniones de Teams enviadas por correo, en las que el código aparece como "ID de la reunión". Es el caso de Storm-2372, una campaña activa desde agosto de 2024.
• ▹Mensajes que imitan WhatsApp, Signal o Teams, después de ganarse la confianza de la víctima haciéndose pasar por alguien relevante para ella.
• ▹Invitaciones a eventos online o encuentros que llevan a una pantalla donde se pide el código.
• ▹Correos que suplantan servicios de documentos compartidos o de productividad en la nube, como los que describe el FBI para Kali365.

Hay que poner en contexto los dos casos. Microsoft considera, con confianza moderada, que Storm-2372 responde a intereses rusos, y sus objetivos eran sobre todo gobiernos, ONG, empresas tecnológicas, defensa, telecomunicaciones, sanidad, universidades y energía. Kali365 es otra cosa: phishing como servicio, que según el FBI pone la técnica al alcance de atacantes con pocos conocimientos. Con un kit así, el engaño ya no depende de un grupo con muchos recursos y puede llegarle a cualquier empresa que use Microsoft 365.

◢¿Qué hace el atacante cuando entra?

En la campaña que analizó Microsoft, el atacante buscaba en el buzón palabras como "password", "admin" o "credentials" y se llevaba esos correos. También usaba la cuenta robada para enviar el mismo engaño a otras personas de la organización, que ahora lo recibían desde una dirección de confianza.

Es fácil imaginar el escenario en una empresa normal: con el correo de alguien de administración, un atacante puede leer facturas pendientes y pedir a un proveedor que cambie la cuenta bancaria. Es justo el acceso que buscan quienes preparan un fraude del CEO: vigilar el buzón y atacar en el momento oportuno.

◢Qué hacer en la empresa para evitarlo

En la práctica:

◢Qué tiene que saber la plantilla

La regla para cualquier empleado es sencilla: nunca escribas un código en una página de Microsoft si no lo ha mostrado un aparato que tienes delante y que tú mismo estás configurando. Ninguna reunión, documento o evento legítimo necesita que escribas un código en la página de inicio de sesión de Microsoft para abrirlo.

Si alguien te pide hacerlo por correo, por WhatsApp o en mitad de una conversación, para y avisa a quien lleve la informática. Y si ya lo has hecho, dilo cuanto antes. No es motivo de vergüenza: la página era auténtica y el engaño está diseñado para que cualquiera caiga. Las mismas pautas que repaso en cómo saber si un correo es phishing ayudan a sospechar a tiempo.

◢Un engaño que no se ve en la barra de direcciones

Durante años hemos enseñado a mirar la dirección de la página antes de escribir nada. Este ataque se salta ese consejo, y por eso hay que explicarlo de forma específica, con ejemplos que la gente reconozca. Es justo lo que trabajo en las formaciones de ciberseguridad para plantillas: que cada persona sepa qué le pueden pedir y qué no debe hacer nunca, aunque la página parezca de fiar.