Nuevo Kit de Phishing Aprovecha Passkeys para Mantener el Acceso Tras el Reseteo de Contraseñas

Introducción

En el panorama actual de la ciberseguridad, los mecanismos de autenticación evolucionan a gran velocidad, buscando dejar atrás las tradicionales contraseñas en favor de métodos más robustos como las passkeys. Sin embargo, recientes investigaciones revelan que los ciberdelincuentes también están adaptando sus tácticas. Un ejemplo destacado es el descubrimiento de iAuthFlow V2, un kit de phishing avanzado que utiliza passkeys para garantizar el acceso persistente a cuentas comprometidas, incluso tras el cambio de contraseñas o la revocación de sesiones activas. Este hallazgo subraya la necesidad de revisar y reforzar los controles de autenticación en entornos empresariales y de usuario final.

Contexto del Incidente

La introducción de passkeys, basadas en estándares FIDO2/WebAuthn, ha sido promovida como un salto cualitativo frente a la vulnerabilidad inherente de las contraseñas. Grandes proveedores como Google, Microsoft y Apple ya soportan passkeys como alternativa primaria de autenticación. Sin embargo, el auge de estos mecanismos ha despertado el interés de grupos criminales que buscan explotar posibles deficiencias en su implementación, especialmente en flujos de registro y recuperación de credenciales.

El kit iAuthFlow V2, documentado por investigadores de seguridad tras su aparición en foros clandestinos a finales de mayo de 2024, representa la primera herramienta pública que automatiza ataques de phishing dirigidos específicamente a la captura y registro malicioso de passkeys. Su objetivo es evadir las defensas tradicionales, manteniendo persistencia en las cuentas incluso cuando la víctima toma medidas de remediación tras un incidente.

Detalles Técnicos

El funcionamiento de iAuthFlow V2 se basa en la explotación de flujos de autenticación WebAuthn, aprovechando la posibilidad de registrar passkeys adicionales durante sesiones de phishing. Mediante la técnica de adversary-in-the-middle (AiTM), el kit intercepta el proceso de autenticación multifactor, presentando a la víctima una interfaz idéntica a la legítima y solicitando la creación o registro de una passkey aparentemente como parte de un proceso de seguridad rutinario.

Una vez que la víctima introduce sus credenciales y completa el registro de la passkey, el atacante obtiene una passkey controlada por él mismo, vinculada a la cuenta objetivo. Esta passkey puede ser empleada para acceder al servicio más adelante, independientemente de que la contraseña haya sido cambiada o las sesiones activas revocadas. El kit utiliza técnicas de proxy inverso similares a las empleadas por frameworks como Evilginx, pero añade soporte completo para WebAuthn.

– CVE relevantes: Aunque el ataque no explota vulnerabilidades en el estándar, sí se aprovecha de errores de configuración y falta de controles en la gestión de credenciales WebAuthn por parte de los proveedores de servicios.
– Vectores de ataque: Phishing AiTM, manipulación de flujos de autenticación, registro malicioso de passkeys.
– TTP MITRE ATT&CK: T1556.003 (Hijacking of Web Sessions), T1110 (Brute Force), T1204 (User Execution).
– IoC: URLs de phishing, fingerprints de proxies inversos, logs de creación de passkeys sospechosos.

Impacto y Riesgos

El principal riesgo reside en la persistencia del acceso. Una vez registrada la passkey del atacante, la víctima puede cambiar la contraseña y finalizar sesiones, pero el acceso mediante passkey sigue siendo posible mientras esta no sea explícitamente revocada.

– Versiones afectadas: Cualquier implementación de FIDO2/WebAuthn que permita el registro de múltiples passkeys sin controles adicionales.
– Exposición: Grandes plataformas cloud, servicios bancarios, entornos corporativos con autenticación sin contraseña.
– Impacto económico: El uso malicioso de passkeys puede facilitar fraudes, robo de datos y suplantación de identidad prolongada, con potenciales multas bajo GDPR (hasta 20 millones de euros o el 4% del volumen de negocio anual).

Medidas de Mitigación y Recomendaciones

Para mitigar este riesgo, se recomienda:

– Revisar los flujos de registro y recuperación de passkeys, limitando o auditando la creación de nuevas credenciales.
– Implementar alertas y aprobaciones administrativas para el registro de passkeys adicionales, especialmente en cuentas privilegiadas.
– Monitorizar logs de actividad WebAuthn en busca de patrones anómalos.
– Educar a los usuarios sobre amenazas AiTM y la importancia de verificar siempre la URL y los certificados de los servicios.
– Desplegar frameworks de detección de proxies inversos y phishing avanzado en los perímetros de la organización.

Opinión de Expertos

Especialistas en ciberseguridad como Kevin Mitnick (KnowBe4) y Jen Easterly (CISA) coinciden en que la transición a passkeys no elimina, sino que transforma los riesgos. “El eslabón más débil sigue siendo el usuario final y la confianza excesiva en la interfaz”, apunta Mitnick. Easterly añade: “Las organizaciones deben asumir que los atacantes evolucionarán sus técnicas y que la autenticación robusta requiere múltiples capas defensivas, no solo tecnología”.

Implicaciones para Empresas y Usuarios

Para las empresas, el incidente recalca la importancia de auditar la gestión de autenticación, actualizar políticas de acceso y reforzar la formación en concienciación. El cumplimiento normativo bajo GDPR y la inminente NIS2 obliga a las organizaciones a proteger adecuadamente las credenciales y responder rápido ante accesos no autorizados.

Para los usuarios finales, crece la necesidad de desconfiar de cualquier solicitud inesperada de registro de passkeys y notificar inmediatamente cualquier anomalía en sus cuentas.

Conclusiones

El caso de iAuthFlow V2 marca un punto de inflexión en la evolución del phishing y el abuso de nuevas tecnologías de autenticación. Aunque las passkeys representan un avance, su adopción masiva exige controles más estrictos y vigilancia constante. Las empresas deben anticiparse a estas amenazas, reforzando sus mecanismos de detección y respuesta para evitar accesos persistentes y daños económicos o reputacionales.

(Fuente: www.securityweek.com)