El fallo era simple: el inicio de sesión permitía elegir a dónde se enviaba el código de acceso. Demostrarlo en un sitio web en vivo fue la parte difícil.
TL;DR
- Durante una evaluación autorizada, un agente de pentesting con IA encontró por sí solo un bypass de autenticación crítico en el sitio web de producción de una importante aseguradora.
- Una solicitud de inicio de sesión permitía al usuario elegir a dónde se enviaba el código de un solo uso.
- El ataque fue la parte fácil. Probarlo en un sitio en vivo requirió un contexto web construido durante más de una década.
El inicio de sesión funcionó. Entonces el agente se detuvo.
El agente de pentesting con IA de Reflectiz estaba mapeando el flujo de inicio de sesión de un sitio web de producción de una gran aseguradora, que tiene millones de usuarios.
El agente solicitó un código de acceso y lo dirigió a una bandeja de correo electrónico que controlaba. El código llegó. El inicio de sesión se completó. Sus barreras de seguridad detuvieron la prueba después de que el inicio de sesión tuviera éxito.
El agente había descubierto por sí solo un bypass de autenticación de gravedad crítica. Reflectiz lo reportó a la aseguradora.
La falla: la solicitud elegía a dónde iba el código
Un código de un solo uso (OTP) solo demuestra quién eres si se envía a un lugar ya vinculado a la cuenta. Aquí, ese vínculo estaba roto.
La solicitud de inicio de sesión contenía dos campos que decidían la entrega: el canal y la dirección. Normalmente, el código se enviaba por mensaje de texto al número de teléfono de la cuenta. Pero la solicitud podía cambiar el canal. Al cambiarlo a correo electrónico, el servidor enviaba el código a la dirección que indicara la solicitud, no a la registrada en la cuenta.
Simplificada, la solicitud se veía así:
El servidor nunca verificó que la dirección perteneciera a la cuenta.
Vincular un código a su cuenta es una de las comprobaciones más básicas en autenticación. La guía de pruebas de OWASP lo pregunta con claridad: "¿Están los OTP vinculados a la cuenta de usuario correcta…?"
Un atacante con los identificadores de cliente necesarios podría potencialmente usar la falla para acceder a la cuenta de ese cliente.
De un campo sospechoso a un bypass comprobado
El agente comenzó con reconocimiento, examinando el JavaScript del sitio y las llamadas a la API detrás de sus páginas. Ese análisis reveló la solicitud de OTP y dos valores que parecían controlar cómo y dónde se enviaba el código. Valores como esos pueden sugerir una hipótesis, pero no son un hallazgo, ya que el servidor podría rechazar los cambios o bloquearlos más adelante en el inicio de sesión. Así que el agente construyó una prueba específica en torno a ambos valores y la ejecutó a través del flujo de inicio de sesión en vivo, lo que confirmó el bypass.
¿Quieres ver cómo funciona ese proceso de prueba? Reserva una demostración técnica para examinar cómo Reflectiz investiga los flujos de trabajo de sitios web, valida hallazgos y controla la ejecución.
El contexto web es la parte difícil
Muchas pruebas automatizadas se detienen en la puerta de inicio de sesión, pero gran parte de lo importante está detrás de ella. Un sistema de pruebas que no puede alcanzar un flujo de trabajo no puede evaluar lo que sucede dentro de él.
Reflectiz resolvió ese problema mucho antes de que existiera el agente. La compañía ha pasado más de una década escaneando miles de sitios web de producción, lo que implicó iniciar sesión, recibir códigos de verificación y navegar por flujos de varios pasos. Así, en sitios que la compañía ya monitorea, el agente comienza con ese contexto en lugar de una URL en blanco.
El pentesting agéntico de Reflectiz pone ese contexto web a trabajar. Impulsa un navegador real a través de los flujos que sigue un cliente, incluidos códigos de un solo uso y 2FA.
El CTO y cofundador de Reflectiz, Ysrael Gurt, un hacker ético de larga trayectoria, construyó el agente sobre esa base.
Un hallazgo no es un informe de cobertura
Una vulnerabilidad confirmada puede mostrar qué falló, pero no muestra cuánto de la aplicación se probó.
La prueba de OTP se ejecutó junto con otros planes de ataque en el mismo sitio. El pentesting agéntico de Reflectiz combina esa investigación abierta con un plan estructurado: probar cada endpoint descubierto contra cada categoría de ataque aplicable. Un agente validador separado reproduce cada hallazgo sospechoso con la misma carga útil y contexto antes de reportarlo.
El resultado es un registro de cobertura de qué pruebas se ejecutaron, sus resultados registrados y cualquier exclusión.
Haber pasado un pentest no es lo mismo que ser seguro
La aseguradora dijo que había sometido el sitio a pruebas de penetración unos seis meses antes. Esta evaluación encontró una falla de inicio de sesión explotable, aunque no está claro cuándo se introdujo la debilidad.
Eso no es un reflejo de los probadores humanos, porque un probador experto también podría haber encontrado esta falla. Es más un reflejo de la naturaleza de las pruebas puntuales. Tienen su lugar, pero ¿con qué frecuencia puede alguien permitirse mirar?
Los sitios web cambian con cada versión, pero los calendarios de pentesting no. Son rígidos, lo que no es muy útil contra atacantes que ahora usan IA para encontrar fallos rápidamente y no esperarán a la próxima ventana de prueba.
Las pruebas agénticas mantienen el ritmo. Pueden repetir pruebas focalizadas con la frecuencia con que cambie el sitio, siempre que el agente tenga el acceso adecuado y límites claros, y produzca evidencia que un revisor pueda verificar.
Reflectiz reporta hasta 10 veces la capacidad de prueba al mismo costo operativo que el pentesting manual tradicional. La comparación se refiere al volumen de pruebas, no a una garantía de 10 veces más vulnerabilidades encontradas. En la demostración, pregunta cómo el alcance, la profundidad de las pruebas y la frecuencia afectan la capacidad y el costo para tus aplicaciones.
Trae tu flujo de trabajo web más difícil a la demostración
Reserva una demostración técnica de 30 minutos con un especialista en seguridad web de Reflectiz. Antes de la demostración, piensa en un flujo de trabajo que sea importante para tu negocio. Podría ser inicio de sesión, recuperación de cuenta, pago o un portal de cliente.
Durante la demostración podrás revisar:
- Cómo el agente navega flujos de trabajo autenticados de varios pasos
- Qué evidencia encuentra para respaldar un hallazgo validado
- Cómo se documentan el alcance, las barreras de seguridad y la cobertura
Discute los requisitos de tu aplicación y en qué consistiría una primera evaluación. No se requiere compromiso y no es necesario probar tu sitio web durante la demostración.
Reserva tu demostración de pentesting agéntico
Deja una respuesta