Todo puede comenzar con algo tan mundano como arrastrar un enlace al navegador. En tres segundos, un actor de amenazas obtiene los tokens necesarios para tomar el control de su cuenta de Microsoft 365, sin que usted haya hecho nada que la formación tradicional en seguridad informática pueda detectar. Simplemente siguió lo que parecían instrucciones normales. Esa es la característica definitoria del cibercrimen moderno: no entra por la fuerza, sino que se cuela silenciosamente en medio del flujo de trabajo cotidiano para convertir una acción rutinaria en el momento en que todo sale mal.
Por qué estos ataques siguen funcionando
Estos ataques funcionan debido a hábitos que todos hemos desarrollado en línea: hacer clic en CAPTCHAs, aceptar avisos de cookies, presionar una combinación de teclas para continuar. Esa reflejividad entrenada es exactamente lo que los atacantes esperan explotar. Es el mecanismo central detrás de los ataques ClickFix: se muestra a la víctima un aviso falso que le indica que presione una secuencia de atajos de teclado, lo que pega y ejecuta comandos proporcionados por el atacante en su propia máquina. No hay vulnerabilidades que explotar ni enfrentamiento con cortafuegos; solo una mentira convincente insertada en el momento adecuado. ClickFix se disparó en 2025 y sigue activo, pero los atacantes ya han evolucionado el concepto hacia algo más sofisticado.
Una nueva variante de ataque dirigida a sesiones de Microsoft 365
La variante más reciente, ConsentFix, traslada la superficie de ataque a los flujos de consentimiento OAuth de Microsoft 365, esos avisos de inicio de sesión que los usuarios han aprendido a pasar por alto sin apenas prestar atención. La preparación es engañosamente limpia. Un señuelo de phishing llega, a menudo a través de plataformas de confianza como Dropbox o DocSend, a veces protegido con contraseña, lo que también dificulta la inspección por parte de las herramientas de seguridad. La víctima hace clic, se encuentra con lo que parece una pantalla de autenticación estándar de Microsoft y se le pide que complete el proceso arrastrando un enlace de callback de localhost al navegador. Ese paso de arrastrar y soltar es la trampa: en lugar de finalizar un paso de autenticación inofensivo, el usuario entrega involuntariamente los tokens OAuth, entregando al atacante acceso a la sesión de correo electrónico y otros servicios de Microsoft 365 sin contraseña y evitando la autenticación multifactor (MFA). La víctima no está escribiendo credenciales en un formulario falso; está completando lo que parece un flujo de autenticación legítimo, y la sesión en sí es lo que se roba.
Los delincuentes comparten el manual abiertamente
A principios de marzo de 2026, se publicó una guía detallada de ConsentFix en un foro público de cibercrimen ruso. Incluía código funcional, capturas de pantalla de la infraestructura y un tutorial en vídeo que mostraba exactamente cómo construir y desplegar el ataque. La infraestructura se apoyaba en servicios gratuitos o ampliamente disponibles, y la publicación también describía cómo los atacantes perfilan a las víctimas antes de enviar un solo mensaje de phishing, utilizando LinkedIn y herramientas similares para mapear organizaciones y adaptar los señuelos a personas reales. Lo que antes era una técnica que requería una habilidad técnica significativa ahora viene empaquetado con documentación e instrucciones paso a paso. La barrera de entrada sigue bajando.
Cómo reducir su exposición
La concienciación sigue teniendo un papel importante. Estos ataques dependen de que las personas avancen por flujos de trabajo familiares sin detenerse. Preguntarse por qué un sitio web quiere que presione teclas o arrastre un enlace extraño al navegador suele ser suficiente para cortocircuitar todo el proceso. Pero la concienciación por sí sola no cerrará la brecha, porque estos ataques están diseñados específicamente para parecer rutinarios. Los defensores también necesitan cobertura de detección para las huellas que dejan: actividad inusual de PowerShell originada en procesos de usuario normales, o nuevos inicios de sesión desde ubicaciones inesperadas. La monitorización de endpoints e identidad puede captar esas señales antes de que un breve lapsus de juicio se convierta en un compromiso total de la cuenta. El trabajo del atacante es interrumpir un flujo de trabajo normal en el momento exacto y dejar que la víctima haga el resto. Comprender ese patrón es el primer paso para detenerlo.
No hay trucos, solo arte de la guerra cibernética.
Tradecraft Tuesday, patrocinado y escrito por Huntress Labs, ofrece a los profesionales de ciberseguridad un análisis en profundidad de los últimos actores de amenazas, vectores de ataque y estrategias de mitigación. Cada sesión semanal incluye recorridos técnicos de incidentes recientes, desgloses completos de tendencias de malware e indicadores de compromiso actualizados. Los participantes obtienen informes detallados sobre campañas de amenazas emergentes y variantes de ransomware, metodologías de defensa basadas en evidencia, interacción directa con analistas de Huntress para obtener información sobre respuesta a incidentes, y acceso a inteligencia de amenazas procesable y orientación de detección.
Deja una respuesta